Dankzij mijn lawyerbot weten we nu eindelijk hoe de eerste geheimhoudingsovereenkomst eruit zag

Geplaatst op in Iusmentis, 14 reacties

Zoals u weet, lanceerde ik in 2017 lawyerbot NDA Lynn: een online dienst die geheimhoudingscontracten oftewel NDA’s screent en direct advies geeft. De dienst is populair, ondertussen heb ik meer dan 14.000 NDA’s verzameld en ze blijven maar binnenkomen. Je ziet enorme variatie in zo ongeveer elke clausule. Sommige NDA’s zijn één kantje, andere veertien. Lijstjes en clausules worden ook steeds langer, lijkt het wel. Dus toen kreeg ik de gedachte: hier moet ik eens een statistische analyse op loslaten en zien of ik terug kan vinden wat de eerste geheimhoudingsovereenkomst moet zijn geweest. En dat is me gelukt.

Dankzij digitale historische taalkunde is het mogelijk om op basis van tekstfragmenten een serie teksten te herleiden tot “het origineel”. Ik gebruik aanhalingstekens want zeker weten doe je dat natuurlijk nooit, maar als we uitgaan van de aanname dat juristen andermans werk copypasten en daar dan dingen aan toevoegen – dus niet weghalen, want waarom zou je iets weghalen – dan kun je van clausules de steeds langere versies als ‘jonger’ beschouwen. Maar daar staat tegenover dat ook oude advocaten breedsprakig konden zijn. Je moet dus op meer zaken letten.

Een voorbeeld: een praktijk die we de laatste tien à twintig jaar zien, is dat men werkt met afkortingen. Die herken je aan hun hoofdletters. Bijvoorbeeld:

“Confidential Information” means information disclosed by the discloser or its subsidiaries to the receiver in relation to the Purpose, which is identified as confidential, or which can reasonably be considered confidential due to its nature, or the circumstances surrounding disclosure.
Tevens zijn er duidelijke scheidslijnen op basis van andere toevoegingen te trekken, zoals dat op zeker moment exportwetgeving ineens “een ding” wordt, er Supreme Court arresten komen over “entire agreement” clausules en dat NDA’s op zeker moment vaker over elektronische kopieën gaan spreken. Door naar dat soort zaken te zoeken, kun je grofweg NDA’s van een datum voorzien. Als beginjaartal houd ik daarbij 1979 aan, omdat dat het jaar was dat de eerste ‘echte’ wetgeving omtrent trade secrets van kracht werd.

Vervolgens volg ik de technologie van Gerhard Jäger, die deze truc uithaalt bij Romaanse talen:

Computational approaches to historical linguistics have been proposed since half a century. Within the last decade, this line of research has received a major boost, owing both to the transfer of ideas and software from computational biology and to the release of several large electronic data resources suitable for systematic comparative work. In this article, some of the central research topic of this new wave of computational historical linguistics are introduced and discussed. These are automatic assessment of genetic relatedness, automatic cognate detection, phylogenetic inference and ancestral state reconstruction. They will be demonstrated by means of a case study of automatically reconstructing a Proto-Romance word list from lexical data of 50 modern Romance languages and dialects.
De details zal ik u besparen, maar het komt neer op vele avonden stampwerk van mijn computer, die lange en korte versies van formuleringen vergelijkt, een hoop geblader in juridische wikipedia’s en lang gepeuter in halve clausules om te zien welke versie waar van afgeleid is. Maar het is me gelukt, en u mag hieronder klikken voor het resultaat: (Het echte nieuws is trouwens dat er kennelijk 14.000 keer een bedrijfsjurist of advocaat was die dacht, een NDA dat kan ik beter. Het is erger dan Javascript frameworks.)

Arnoud

 

RDC mag miljoenen Nederlandse autobezitters niet over datalek informeren

Geplaatst op in Privacy, 15 reacties

Ict-bedrijf RDC, waar de gegevens van miljoenen Nederlandse autobezitters werden gestolen, mag getroffen personen naar eigen zeggen niet over het datalek informeren. Dat meldde Security.nl onlangs. Het zou gaan om herleidbare gegevens van mogelijk 7,3 miljoen personen (afhankelijk van hoe veel dubbels er in de data zitten). Behalve om NAW-gegevens gaat het ook om e-mailadressen, kentekens, telefoonnummers en geboortedata, ideaal voor gerichte phishing natuurlijk. Maar RDC mag niets zeggen, omdat ze verwerker is.

Onduidelijk is hoe de datadiefstal kon gebeuren. De NOS (hoi Joost) ontdekte dat de data te koop stond, maar de RDC had vooralsnog geen verklaring over het hoe en wat. Wel heeft men direct een melding bij de Autoriteit Persoonsgegevens gedaan, en de autohandelaren voor wie zij werken ingelicht.

De RDC biedt het product AutoMotive Dashboard (AMD) aan. Dit “biedt u een geïntegreerd platform met databases en functionaliteit voor het analyseren van statistische automotive marktinformatie.” Hiervoor krijgt men data van de RDW, zoals informatie over de vervaldatum van apk-keuringen en grove informatie over de eigenaren van auto’s, zoals de cijfers van de postcode en geboortejaar.

En nee, dat is niet hetzelfde als NAW-gegevens, e-mailadressen, telefoonnummers, geboortedata et cetera. Kennelijk levert de RDW ruwe data aan RDC, die dan gaat anonimiseren? Dat lijkt me risicovol en onnodig, maar een andere verklaring heb ik niet.

In ieder geval, als RDC verwerker is van deze persoonsgegevens dan mag zij niet zelf een datalek melden bij de betrokkenen. De AVG legt die plicht nadrukkelijk bij de verwerkingsverantwoordelijke, hier dus de Rijksdienst voor het wegverkeer. RDC moet het datalek doorgeven aan die verantwoordelijke, daarna moet die beslissen of het datalek meldingsplichtig is. Dat is hier natuurlijk een gegeven, maar het is wel de RDW haar beslissing.

Het doet wel raar aan, want als het lek bij RDC zit dan kunnen die het beste aangeven wat er is gebeurd en wat er is gelekt. Maar omdat je als betrokkene uiteindelijk niets te maken hebt met uitbesteedpartijen en zorgvuldig geselecteerde partners, klopt het juridisch wel. De RDW meldt het aan jou, en als je dan claims hebt dan dien je die bij de RDW in. Die lost het intern maar op met RDC.

Arnoud

Moet mijn internetprovider mijn mobiele data kosten vergoeden wanneer ik geen toegang internet heb?

Geplaatst op in Informatiemaatschappij, 17 reacties

Via Reddit:

Ik heb glasvezel er is sinds [afgelopen woensdag] ergens een breuk in de kabel, het bedrijf zegt dat het nog wel 5 werkdagen (t/m volgende week woensdag) kan duren. Momenteel zitten er bij mij thuis 3 mensen in thuisquarantaine die online lessen moeten volgen. Vandaag is dat geregeld door alle devices op een hotspot aan te sluiten, maar dit is erg duur. Dus mijn vraag is of mijn provider deze kosten moet vergoeden of misschien een andere optie (bijv. Wifikastje) voor ons regelen?

U heeft recht op een vergoeding bij een internet-, televisie-  of telefoniestoring die langer duurt dan 12 uur, zo meldt de Rijksoverheid dan. De wet (art. 7.1a Telecommunicatiewet) noemt het

Bij een volledige onderbreking van de levering van een als separate dienst te onderscheiden openbare elektronische communicatiedienst als gevolg van een storing in het netwerk van de aanbieder van die dienst (…)
Het moet dus gaan om een vollédige onderbreking, waarvan hier wel sprake lijkt te zijn. Ook moet het gaan om de dienst van internettoegang (of televisie of telefonie) op zichzelf. Een storing van zeg je DNS-servers zou dus hier buiten vallen, ook al is internetten knap ingewikkeld als die het niet doen (jaja, je kunt je overgeven aan Google’s 8.8.8.8, maar leg jij het mijn moeder uit?). En storingen in diensten van derden zoals Gmail of WhatsApp tellen natuurlijk helemaal niet mee.

De vergoeding wordt bij ministeriële regeling bepaald, en is per dag 1/30e deel van het abonnementsgeld. Een storing van in totaal 12 uur of minder telt niet mee. Als ik dan even snel een basic Ziggo pakketje erbij pak, dan is dat €68 per maand (met drie wifiboosters, dat dan weer wel) dus dan zou je voor acht dagen storing (68/30)*8=18,13 euro (rond de 2 euro per dag) ontvangen.

Die 2 euro per dag is net iets minder dan een T-Mobile prepaid sim met unlimited data, dus het dekt niet helemaal de kosten. En van een thuisnetwerk met drie wifiboosters naar een 4g simkaart met z’n allen voelt niet echt als de oplossing voor thuis leren en werken.

Juridisch gezien zit er alleen niet meer in. Het gaat om consumentendienstverlening, dus schade moet je in de consumentensfeer zoeken en dat is dan eigenlijk altijd lastig in geld uit te drukken. En als daar dan ook zo’n regeling bij zit van die 1/30e per dag je geld terug, dan heb je denk ik verder geen verhaal.

Bij een zakelijk contract zou dat anders zijn; daar is je schade immers al snel gederfde omzet en dat soort grappen. Maar daar mag de dienstverlener dan weer zijn aansprakelijkheid beperken en dat soort dingen uitsluiten. zodat je effectief op hetzelfde neerkomt.

Dus nee. Heel vervelend, maar juridisch niets aan te doen. Ik krijg nu visioenen van meerdere 4G sims aan elkaar koppelen en zo een bredere datalink maken, maar ik vermoed dat de uitleg die je dan nodig hebt niet in onderstaand commentaarveld past.

Arnoud

Moet je ook een DPIA uitvoeren op interne systemen?

Geplaatst op in Ondernemingsvrijheid, Privacy, 6 reacties

Een lezer vroeg me:

Volgens de AVG zijn er een aantal criteria wanneer je een DPIA moet uitvoeren. Maar vallen interne systemen, zoals o.a. een DMS, e-mail, backups ed. ook onder deze ‘plicht’ ? Ik vraag dit omdat onze FG ook die systemen als “hoog risico” aanmerkt, wat enorme vertraging geeft.
Een DPIA of data protection impact assessment is een verplicht nummer voor verwerkingen van persoonsgegevens met waarschijnlijk een hoog risico voor de betrokken personen (artikel 35 AVG). Meestal gaat het dan om nieuwe technologieën, maar dat hoeft niet.

Om te bepalen of het risico hoog is, moet je volgens de AVG kijken naar “de aard, de omvang, de context en de doeleinden” van de verwerking. Er is geen expliciete uitzondering voor intern versus extern, wat dat ook zou mogen betekenen in de context van verwerken van persoonsgegevens.

De AP heeft een lijst gepubliceerd van verwerkingen die in ieder geval eerst aan een DPIA onderworpen moeten worden. Hieronder valt onder meer heimelijk onderzoek van personeel door werkgevers, grootschalige fraudebestrijding (concreet: AI-analyse van je klantenbestand), grootschalig monitoren van personeel of klanten, stelselmatig monitoren van dataverkeer anders dan voor security, uitgebreid profileren en ga zo maar door.

Ik zie wel hoe een “intern” gebruik van persoonsgegevens onder deze kopjes kan vallen. De kern is voor mij wel dat het vrijwel altijd gaat om “grootschalig” gebruik. Dus één werknemer tijdelijk volgen vanwege een vermoeden van lekken van bedrijfsgeheimen zou geen DPIA vereisen.

Het uitrollen van een nieuw e-mailsysteem zou voor mij ook geen DPIA nodig hebben, maar wél als je er productiviteitsdingen in gaat toevoegen en daarmee werknemers monitort op hun effectiviteit. Een nieuwe procedure voor backups van bedrijfsdata lijkt me op zich ook niet hogo risico, met backups ging je sowieso al om alsof het goud was.

Arnoud

Pleeg je handel in voorkennis als je doet alsof je voorkennis verkoopt op het dark web?

Geplaatst op in Informatiemaatschappij, 11 reacties

Een intrigerend persbericht van de Amerikaanse beurstoezichthouder: “The Securities and Exchange Commission today charged James Roland Jones of Redondo Beach, California, with perpetrating a fraudulent scheme to sell what he called “insider tips” on the dark web.” Jones deed zich daar voor als een insider bij diverse beursgenoteerde bedrijven (en/of in contact met insiders) om zo te handelen in nog niet publieke, beursgevoelige informatie. Handel met voorkennis dus, “securities fraud” in het Amerikaanse jargon. Omdat het het dark web was (wat betekent dat je het met Google niet kunt vinden), dachten mensen daar lekker te scoren, het is natuurlijk heel aantrekkelijk om met voorkennis aandelen te kunnen kopen of verkopen. Alleen: Jones hád helemaal geen voorkennis, hij ging af op publieke informatie of deed gewoon een gok, kennelijk vaak genoeg met goed resultaat en bovendien kreeg je je geld terug als de tip niks was. Maar is dat dan fraude?

Handel met voorwetenschap (de Europese jargonterm) is natuurlijk al heel lang verboden, omdat het oneerlijk is naar andere beursdeelnemers toe. Een beursgenoteerd bedrijf moet iedereen gelijke kennis geven, en moet dus voorkomen dat werknemers of directieleden hun voorwetenschap die ze vanuit het werk opdoen, inzetten om snel te kopen of verkopen.

Het toezicht is relatief eenvoudig (je kunt zien wie er koopt of verkoopt immers) en daardoor vrij streng. Mensen hanteren dus trucjes, zoals de buurman een tip geven en dan de winst delen. Maar ook dat gaat opvallen, en dan krijg je dus dingen als het “dark web”, zeg maar een niet met Google te vinden forum waar je jezelf van alles kunt noemen en kunt handelen in je kennis. Zo ook Jones, die een forum had gevonden voor handel in zulke tips:

According to the complaint, in order to gain access to the insider trading forum, Jones lied about possessing material, nonpublic information.  By doing so, Jones allegedly gained access to the insider trading forum for a short period, but was unsuccessful in obtaining valuable material, nonpublic information.  The complaint further alleges that Jones subsequently devised a scheme to sell purported insider tips to others on the dark web.  The SEC alleges that, in the spring of 2017, Jones offered and sold on one of the dark web marketplaces various purported “insider tips” that he falsely described as material, nonpublic information from the insider trading forum or corporate insiders.
Het voelt wat ingewikkeld dat je zou handelen in voorwetenschap wanneer je niet daadwerkelijk voorwetenschap hebt. Want artikel 8 lid 1 Verordening Marktmisbruik definieert het zo:
Voor de toepassing van deze verordening doet handel met voorwetenschap zich voor wanneer een persoon die over voorwetenschap beschikt die informatie gebruikt om, voor eigen rekening of voor rekening van derden, rechtstreeks of middellijk financiële instrumenten te verwerven of te vervreemden waarop die informatie betrekking heeft.
Voorwetenschap is dan weer “niet openbaar gemaakte informatie die concreet is en die rechtstreeks of onrechtstreeks betrekking heeft op een of meer uitgevende instellingen of op een of meer financiële instrumenten en die, indien zij openbaar zou worden gemaakt, een significante invloed zou kunnen hebben op de koers van deze financiële instrumenten of daarvan afgeleide financiële instrumenten”. Maar die had Jones dus net niet. Dus nee, ik zie niet hoe dat strafbaar is. Misschien als je het gooit op gewoon ouderwetse oplichting, met een slinkse truc doen of je iets kunt leveren dat mensen willen hebben? Langs die weg is ook bijvoorbeeld je voordoen als huurmoordenaar en dan wegrennen met het geld strafbaar, ook al zeg je dan nog zo hard achteraf dat je toch echt nooit iemand zou vermoorden.

De SEC gooit het over die laatste boeg, door hem fraude bij aandelenhandel ten laste te leggen: liegen over de waarde van je informatie is fraude, en het gaat over aandelen dus het is aandelenfraude. Maar toch is het niet hetzelfde, volgens mij.

En nog een intrigerende: is het handel in voorwetenschap als je als directeur van je bedrijf zegt “volgens mij staan onze aandelen te hoog” zonder zelf te gaan kopen of verkopen?

Arnoud

Aangeklaagd worden door je (oud) werkgever voor een hobbyproject, kan dat?

Geplaatst op in Informatiemaatschappij, 12 reacties

Een beetje mysterieus bericht bij Tweakers:

De motivatie om deze topic te starten komt naar aanleiding van een bericht [link weggehaald]. Kort samengevat: Dennis en Ronald werkten bij een softwarebedrijf. Ze waren met een hobby-project bezig en hun (inmiddels) oud-werkgever klaagt ze aan voor 1 miljoen. Gebeuren dit soort zaken wel vaker? Ik ben nu zelf ZZP’er maar zal binnenkort in loondienst beginnen, en heb veel ICT-projectjes lopen waar ik aan werk.
Vrijwel ieder arbeidscontract van programmeurs, developers en aanverwante jobs heeft een concurrentieverbod: niet tijdens het dienstverband (dus ook niet op zaterdag op je eigen laptop) dingen doen die direct concurreren met de werkgever. Dat is rechtsgeldig, want een goed werknemer houdt rekening met de belangen van zijn werkgever en doet hem dus geen concurrentie aan.

Dit nog los van het (al dan niet per ongeluk) lekken van bedrijfsgeheimen of het inzetten van auteursrechtelijk beschermd materiaal van je werkgever. Want beiden kunnen zomaar gebeuren als je ~hetzelfde doet voor het werk en voor een eigen privéproject.

Je arbeidscontract kan nadere regels bevatten, bijvoorbeeld definiëren wat een “directe concurrent” is of een procedure voor toestemming. Wil je bijvoorbeeld in je eigen tijd een opensourcelibrary onderhouden die ook voor je werk relevant is, dan vraag je dus even toestemming. En doe dat álsjeblieft schriftelijk, of forward de mail met toestemming naar je privéadres.

Arbeidscontracten bevatten soms ook een “alles dat je programmeert is auteursrechtelijk van ons”. Dat is in zo brede bewoordingen niet rechtsgeldig, want je moet wel aan het contract kunnen zien om welke werken het gaat. In juridische taal: zo’n akte van overdracht moet “voldoende bepaalbaar” omschreven zijn, en “alles dat je de komende tien jaar doet” is het toppunt van vaag. Maar er zijn rechters genoeg die dan geen streep door die bepaling zetten maar gaan zeggen “wat zou wél redelijk zijn geweest” en de clausule dan zo lezen. Dus daar zul je rekening mee moeten houden.

De topicstarter heeft het over een schadeclaim van een miljoen. Dat is natuurlijk absurd, welke werknemer hééft er een miljoen. Mijn juridische nekharen gaan dan meteen overeind staan, want dat klinkt als een ex-werkgever die z’n gelijk wil afbluffen in plaats van op de inhoud discussiëren. Tegelijk zie ik ook vaak genoeg dat zo’n enorme claim een emotionele reactie is op een erg vervelende handeling van de werknemer, zoals het core product direct concurrentie aandoen mét een meegenomen klantenbestand en 80% van de architectonische kennis gedupliceerd.

Arnoud

 

Hoe zwaar weegt gezichtsherkenning in het strafrecht?

Geplaatst op in Regulering, 17 reacties

Het lijkt erop dat degene die op 5 augustus 2017 om 2.31 uur bij de geldautomaat is gefilmd, ook in de politiedatabase staat: Thomas. Zo introduceert Nu.nl een strafzaak waarin gezichtsherkenning door het politiesysteem CATCH centraal stond in het bewijs. Nadat ook twee onderzoekers de gezichten met elkaar vergelijken, concludeert het Centrum voor Biometrie namelijk dat Thomas veel overeenkomsten en geen significante verschillen vertoont met de persoon die om half drie ’s nachts pint. Hebbes, zegt de statistiek. Nope, zegt de rechtbank Den Bosch.

De strafzaak (vonnis) gaat over een hele trits feiten, niet alleen een keer pinnen met andermans pinpas, maar ook witwassen en lidmaatschap van een criminele organisatie. De rechtszaak is namelijk onderdeel van een groter onderzoek naar een bende die bankrekeningen plundert. En kennelijk is ‘Thomas’ (de naam is nep) de leider van dat netwerk want hij heeft statistisch gezien gepind met een gestolen pas?

Herkennen van mensen van foto’s is natuurlijk altijd lastig. Maar hier werd niet door menselijke getuigen of rechercheurs gekeken; het gaat om een automatisch gezichtsherkenningssysteem dat CATCH heet. De cijfers zijn schokkend: jaarlijks gaan zo’n duizend foto’s van verdachten door de database met 1.3 miljoen mensen. En dat levert dan 98 keer een match op. Nee, niet 980 of 98%, acht-en-negentig. Net geen honderd. Ja, ik val ook van mijn stoel.

Waarschijnlijk komt dat lage aantal omdat de meeste beveiligingscamera’s de kwaliteit van een aardappel hebben, als ik de beelden van Opsporing Verzocht mag geloven. Plus, veel criminelen weten natuurlijk dat ze hun gezicht moeten bedekken om niet te makkelijk herkend te worden. En men zal vast ook alleen een match willen geven als het systeem het heel zeker weet.

Maar hoe zeker is zeker? Dat weten we niet, en dat is ook fundamenteel lastig. Al is het maar vanwege de vraag of de werkelijke dader wel in het systeem zit. Anders krijg je gewoon “de best matchende persoon is deze” en als dat ook een hoog percentage betrouwbaarheid geeft, dan is de conclusie “dit is hem” snel gelegd. Natuurlijk kijken er dan nog mensen naar, maar “even checken, dit is hem toch” is heel wat anders dan “hier zijn duizend gezichten, welke is het”.

De rechtbank is er dan ook héél snel klaar mee:

De rechtbank is van oordeel dat in dit geval de ‘hit’ op verdachte in het zgn. CATCH-systeem (Centrale Automatische Technologie voor herkenning) onvoldoende is om te concluderen dat verdachte – buiten redelijke twijfel – als pinner kan worden aangemerkt. De opmerking dat twee onderzoekers zagen dat er veel overeenkomsten waren en geen significante afwijkingen, acht de rechtbank niet zodanig overtuigend dat de ‘hit’ als basis voor een bewezenverklaring kan dienen. Nu er buiten de herkenning geen andere bewijsmiddelen voorhanden zijn die verdachte verbinden aan een van de ten laste gelegde feiten, is de rechtbank van oordeel dat verdachte dient te worden vrijgesproken.

Bij een strafzaak moet het gaan om wettig en vooral overtuigend bewijs. Oftewel, geen redelijke twijfel. Enkel “hij lijkt best goed” is niet hetzelfde als “er is geen twijfel dat dit hem is”. Tussen de regels door lees ik dat de rechtbank alléén een fotoherkenning te weinig vindt. Had zijn telefoon even uitgepeild, een vingerafdruk genomen of iets anders dat hem op de plaats delict zet. Maar dit is echt te weinig.

Arnoud

Laten we ophouden te doen of het EPO ooit wat nieuws over softwarepatenten bepaalt

Geplaatst op in Intellectuele rechten, 3 reacties

Naar aanleiding van het persbericht van het EPO over de laatste uitspraak inzake softwarepatenten kreeg ik vele vragen, allemaal met de strekking “zijn softwarepatenten nu alsnog legaal geworden”. Het maakt nogal indruk natuurlijk: de Grote Kamer van Beroep bepaalde dat simulatiesoftware octrooieerbaar kan zijn, en dus niet categorisch uitgesloten zijn. Maar al meer dan twintig jaar gaat het over “kan”, en nooit over “is”. Want dat is het fundamentele probleem: het EPO neemt geen harde stelling, maar interpreteert het Europees Octrooiverdrag soort van pro-softwareoctrooi maar tegelijk ook weer niet. En elke nieuwe zaak voegt weer een nieuwe kronkel toe, zoals ook hier.

Deze zaak ging over het simuleren van systemen, een op zich relevante tak van sport binnen de technologie. Het is handig als je het rijgedrag van een nieuwe auto kunt simuleren, of in een computer kunt testen of een nieuwe chip zuiniger, sneller of wat dan ook is voordat je het ding van plakjes silicium gaat maken. Dus een betere simulatie-omgeving is dan goed voor de technologie, want dan komt de simulatie dichter bij de werkelijkheid.

Het probleem zit hem al sinds 1974 in de Europese octrooiwet: daar staat dat “software als zodanig” niet voor octrooi in aanmerking komt (idem voor algoritmen, wiskundige technieken trouwens). Maar wat betekent dat nou? Vele woorden zijn erover geschreven – vaak boos – maar nooit is er een definitieve uitspraak gekomen. Het EPO heeft zelf ook not een duidelijk standpunt in willen nemen maar is blijven modderen in de marge. Het begon bij de zogeheten IBM uitspraken eind jaren negentig, waarin men soort van erkende dat software die een bestaand systeem iets technisch nieuws laat doen, dat systeem ook technisch nieuw maakt. Dit omdat diezelfde vernieuwing gebakken op een chip toch ook octrooieerbaar zou zijn, en wat is het verschil tussen software in een geheugentje en een chip die exact hetzelfde doen?

Vervolgens kom je dus in een enorm moeras terecht over zaken als “hetzelfde” en wat te doen met de niet-technische aspecten van zo’n nieuw systeem. Daar heb ik ooit een serieus artikel over geschreven, maar daarna had ik wel een week vakantie nodig. De kern van de aanpak komt op het volgende neer:

  1. We kijken allereerst of het systeem als geheel iets technisch heeft of doet. Indien niets, dan is het “software als zodanig”.
  2. Als dat wel zo is, kijken we wat er technisch nieuw aan is.
  3. We bedenken een probleem dat door dat nieuwe wordt opgelost, en we kijken of die oplossing voor de hand lag gezien dat probleem.
  4. Eventuele niet-technische dingen aan het systeem zijn deel van het probleem (“business requirements”, als het ware)
Dat punt 4 ligt niet goed bij octrooigemachtigden, omdat je normaal de nieuwe dingen niet mee mag laten doen aan het probleem. Want alles ligt voor de hand als je de oplossing kent, dus delen van de oplossing mogen niet in het probleem staan. Dus.

Maar goed, het EPO hanteert nu deze truc waardoor men vrij gemakkelijk de meeste softwarepatentaanvragen af kan schieten: je noemt iets “niet-technisch”, en je zegt vervolgens dat het probleem is hoe je dat niet-technische wilt implementeren en dan heb je eigenlijk de hele uitvinding al onderuit gehaald. Ja, dat werkt, maar om nou te zeggen dat daar diepe fundamentele redeneringen aan ten grondslag liggen, nee.

En van tijd tot tijd worden er dus nieuwe uitspraken gedaan over wat nou wel of niet “niet-technisch” mag zijn en wat dan “technisch” zou kunnen betekenen. Nu is er dus een nieuwe uitspraak aan het spectrum toegevoegd, namelijk over het simuleren van al dan niet technische systemen. Ik citeer even:

The Enlarged Board stated that a claimed feature of a computer-implemented invention may contribute to the technical character of the invention not only if it is related to a technical effect in the form of input (e.g. the measurement of a physical value) or output (e.g. a control signal for a machine). Such a direct link with physical reality is not required in every case. In particular, technical effects may also occur within the computer-implemented process (e.g. by specific adaptations of a computer or of data transfer).
Dit gaat dus over die eerste stap: een simulatiesysteem kan technisch zijn als de simulatie een technisch effect laat zien. (Ja, dat is een kwestie van labeltjes. U begint ‘m te voelen.) Dat effect hoeft niet perse te zijn dat het in de echte wereld ook zo werkt. (Precies.) Het kan ook iets zijn in de computer zelf, maar dan moet het wel meer zijn dan enkel dat er stroompjes gaan lopen in de computer. Maar wat dan? Nou ja, iets technisch. Dat zeggen we net.

Nou ja, u voelt de conclusie hopelijk al aankomen: dit voegt niets nieuws toe en hakt in ieder geval geen knopen door. Er is niets veranderd, er kon niets gepatenteerd worden dat niet al kon en er is niet ineens een categorie uitvindingen uitgesloten van octrooi. En zo zal het nog lange tijd doorgaan. Een echte gedurfde nieuwe uitspraak, ik geloof er niet meer in.

Arnoud

 

Gaat het om open source of open API’s bij de overheid?

Geplaatst op in Regulering, 6 reacties

De overheid heeft een moeizame relatie met ict, zo poneert een interessant Tweakers-artikel over openbaarheid bij overheids-ICT-projecten. Al geruime tijd (sinds 2002, Motie-Vendrik) worstelt men met het idee van openheid bij software en data die door de overheid wordt ontwikkeld. Het sterkst is het pleidooi geweest voor het openen (bevrijden) van software. Maar zelf neig ik er steeds meer naar om te zeggen: het gaat om de data en de API’s. Dat ga ik uitleggen.

Het Tweakers-artikel gaat in op een recente rechtszaak om vrije (vrij als in vrijheid) toegang te krijgen tot de broncode van de “Debat Direct”-app, waarmee het mogelijk is om debatten in het parlement live te bekijken of achteraf terug te kijken. Er is alleen geen Linux versie, uitsluitend MacOS en Windows worden ondersteund. In maart bepaalde de rechtbank dat deze app wettelijk niet openbaar hoeft te zijn, onder meer omdat de Wet openbaarheid van bestuur niet geldt voor de Tweede Kamer en de Wet hergebruik overheidsinformatie niet geldt voor apps.

Vervolgens blijkt dat de app gewoon Javascript is, niet eens obfuscated, zodat je je kunt afvragen wat er dan niet openbaar is aan die broncode. En het gevolg is natuurlijk dat alleen een licentie nodig is, want zonder licentie mag je niets met software, hoe openbaar of publiek beschikbaar de broncode ook is.

Vanaf 2021 moet alle nieuwe software van de overheid openbaar zijn, maar dat helpt natuurlijk niet voor al die legacy software die er al is. Of voor al die data en protocollen die er achter zitten. Gelukkig is er het Open Data portaal, waar je alvast een hoop overheidsdata in kunt vinden. Maar nog lang niet alles.

En ja die API’s dus. De Application Programming Interfaces dus, de manier waarop je als applicatie tegen een andere zegt wat ‘ie moet doen of geven. Die zijn de kern van het samenwerken tussen applicaties – en van het kunnen herimplementeren van functionaliteit, zoals bij die Debat Direct app. Als je weet hoe je moet vragen om een lijst van debatten en de livestream van debat 23, dan hoef je die hele app niet meer te hebben. Dat integreer je dan zelf in je dashboard of eigen app.

Wat mij betreft is dat de kern van vrije informatie: dat je overal bij kunt en alles kunt gebruiken waar je bij kunt. Of je dat nou doet met een bijgeleverde app of dat je er zelf eentje maakt, dat hoort niet ter zake te doen. Daarom: het gaat om de data (en de API).

Arnoud

En dan kun je niet meer je eigen ontwerpen snijden met je Cricut plotter

Geplaatst op in Ondernemingsvrijheid, 16 reacties

De nodige ophef: de nieuwste feature van de consumentenprinter en -snijmachine Cricut is dat je nog maar 20 ontwerpen per maand mag produceren, daarna moet je gaan betalen. Raar, want het ding is jarenlang verkocht voor de consumentenmarkt met als belofte “Creative freedom should be free. Cricut Design Space is free to use for all file types. There is no subscription required to cut your own images.” Natuurlijk is er al een petitie en krijgt de plotter overal nare reviews. Maar dit is een juridische blog, dus de vraag is: kun je hier juridisch wat aan doen?

(Voor wie wil, hier een demovideo van 30 seconden die laat zien hoe het apparaat werkt.)

Juridisch is de zaak terug te brengen tot de vraag: wat mocht je verwachten toen je dit apparaat kocht, was het redelijk dat je mocht verwachten onbeperkt en gedurende de gehele productlevensduur je eigen afbeeldingen gratis zo veel als je wilde te kunnen printen/snijden? Dat lijkt mij van wel, gezien teksten als hierboven. Vele mensen melden ook dat ze hun aankoop juist hadden gebaseerd op het feit dat was beloofd dat ze altijd hun eigen ontwerpen konden blijven printen.

In dat geval is de juridische stap simpel, op papier dan: je stapt naar de verkoper en je eist herstel van de tekortkoming, het opheffen/ongedaan maken van deze beperking op de dienstverlening. Dat is dus het Nederlandse bedrijf waar jij het kocht, niet de Amerikaanse fabrikant van een en ander. En die hebben dan meteen een probleem, want zij kunnen dit feitelijk niet herstellen. Dat betekent juridisch dat ze dan je geld terug moeten geven, en daarbij géén korting mogen inhouden voor de tijd dat het product wel werkte. Alleen moet je printer dan wel terug. Ik weet niet of iedereen daarop zit te wachten, maar op zich is er met het gerestitueerde geld vast een modernere printer te vinden.

Principiëler zou dan zijn de eis dat er wél hersteld moet worden. Want als een Nederlandse rechter dat aan zeg Coolblue op zou leggen (op straffe van een dwangsom) dan zouden zij gaan duwen bij de leverancier om hier wat aan te doen. Alleen is denk ik de Nederlandse markt niet groot genoeg om zo’n vuist effectief te laten zijn, en weet ik bovendien niet een juridisch argument om dit als rechter te bevelen. De wet (art. 7:21 BW) zegt namelijk dat herstel niet geëist kan worden als dat “van de verkoper niet gevergd kan worden”. En daarbij wegen de kosten zwaar. Het gaat hier om een apparaat van 200 euro (grofweg) dus ik denk dat je dan snel klaar bent.

Arnoud