Een cv toegemaild krijgen betekent nog geen vergoeding hoeven te betalen

Geplaatst op in Ondernemingsvrijheid, 13 reacties

De vordering van het bureau w&s op de werkgever tot betaling van een vergoeding wordt afgewezen: geen overeenkomst, geen vergoedingsplicht op grond van ongerechtvaardigde verrijking. Aldus de rechtbank Gelderland in een randgevalletje ICT-recht, die ik vooral toch noem omdat de ergernis van online razendsnel handelende recruiters ook mij als opdrachtgever de neus uitkomt. Kort en goed: als iemand je een cv stuurt en je benadert de kandidaat, dan zit je nergens aan vast tenzij je hebt gezegd van wel.

Een bedrijf had een vacature, en zoals dat dan gaat zet je die op internet. En zoals dat dan weer gaat, krijg je dan ongevraagd mails (en telefoontjes) van recruiters van het mindere soort, zoals hier:

Vanuit Michael Page bemiddel ik alle kandidaten op het gebied van Procurement & Supply Chain. Zover ik kon zien hebben wij nog niet eerder contact gehad, vandaar dat ik nu het algemene mailadres gebruik.
Mijn nekharen gaan daar meteen van overeind staan, het klinkt als een bekende smoes om mensen te mogen mailen “ik zag dat je interesse had maar had je mailadres niet”, dat werk.

Dit bedrijf had wel interesse en gaf aan “hoor graag meer”, waarop men het cv toegemaild kreeg. Ondertussen, aldus de recruiter, was men bezig de overeenkomst op te maken, die vervolgens kwam:

Graag zijn wij u met onze gespecialiseerde aanpak van dienst. Als u akkoord gaat met ons voorstel, verzoeken wij u vriendelijk om deze overeenkomst tot opdracht per mail te bevestigen. Mocht u eerst nog vragen of opmerkingen hebben, dan bespreken we dat uiteraard graag.
Het bedrijf had echter al genoeg gehad aan de toegemailde cv, en had de kandidaat in kwestie ook al in dienst genomen. Kassa, dacht de recruiter: mag ik even 38.000 euro want je bent achter onze rug om gaan bellen met deze mens?

Natuurlijk werd er niet betaald, waarop men naar de rechter stapte. En tot grote schok van menig recruiter ging dit feest niet door: “Nu er naar het oordeel van de rechtbank geen overeenkomst tot stand is gekomen, is er geen grondslag voor veroordeling van Midl tot nakoming.”

Wie ongevraagd cv’s stuurt, moet niet gek opkijken dat de ontvanger daar mee aan de slag gaat. En dat het jouw werkwijze is dat je geld krijgt voor die dienst, is daarbij niet relevant. Moet je maar vóóraf akkoord krijgen op je voorwaarden en je prijs.

Arnoud

Zweedse politie beboet voor gebruik gezichtsherkenning Clearview

Geplaatst op in Regulering, 8 reacties

De Zweedse politie heeft van de Zweedse privacytoezichthouder een boete van 250.000 euro opgelegd gekregen wegens het onrechtmatig gebruik van het gezichtsherkenningssysteem van het bedrijf Clearview AI. Dat meldde Security.nl onlangs. “De politie heeft onvoldoende organisatorische maatregelen ingevoerd om ervoor te zorgen dat het verwerken van persoonlijke data in dit geval volgens de wet plaatsvond”, aldus de Integritetsskyddsmyndigheten (IMY). Zo ontbrak een DPIA. Maar, zo lees ik op diverse plekken, wat is nu het probleem want de politie gebruikt dit toch alleen als hulpmiddel voor eerste leads?

De database van Clearview is opgebouwd door het scrapen van zo ongeveer alle social media sites, van Facebook tot Instagram en Venmo. En omdat die allemaal een Real Name Policy hebben, heb je een handige herkenningstool. Overheden leken de aantrekkelijkste doelgroep voor de dienst, dus daar is men heen gepivot en daarom lezen we nu dat er al tientallen zaken zijn opgelost van het soort waarvan je denkt “als ze nou toch de foto eens door Facebook heen konden halen dan hadden ze ‘m zo, de naarling”.

Nou ja, zoals ik vorig jaar zei:

[V]an bronnen blijf je af tenzij je kunt bewijzen dat je erin mag en dat je mag doen wat je van plan bent. En dat gaat natuurlijk hartstikke mis: die gegevens staan daar niet zodat Clearview er een matching tool mee kan maken maar omdat mensen zichzelf op social media willen presenteren. Dat is dus een doelbindingsprobleem, in het jargon. Ook gaat het mis met de informatieplicht: Clearview vertelt niemand dat hun foto in hun bestand verwerkt wordt en dat er matches zijn gedaan door politiediensten of andere snuffelaars. Dat is onderdeel van de transparantie die de AVG eist.
Dit zijn natuurlijk fundamentele bezwaren, maar ze zijn ook vrij abstract. En dat is lastig want het tegenargument is natuurlijk, als het de politie helpt een lead te vinden dan is dat toch mooi? Wat Clearview doet, is immers ‘gewoon’ dertig matches geven van mensen die lijken op de verdachte, met naam en Facebookprofiel er bij. Die namen trek je dan alsnog zelf door de politiesystemen. Hoe is dat anders dan een buurtonderzoek waarbij iemand zei dat zhij Wim ten Brink had gezien op de plaats delict?

Nou ja, dat is anders omdat je bij buurtonderzoek als agent zelf filtert. Je vraagt het aan mensen uit de buurt, je weet dat wat je binnenkrijgt een tip is zonder onderbouwing en je gaat dat zelf combineren met andere informatie. Dat in tegenstelling tot Clearview, dat pretendeert ‘echte’ matches te geven en daarmee hoge betrouwbaarheid suggereert.

Ook is het met zulke systemen mogelijk dat een vals positief wordt gegeven, waar je dan geen indicatie van hebt. Want die persoon lijkt wel natuurlijk, dus die moeten we het toch maar eens even gaan vragen. En dan krijg je een bekende valkuil, namelijk dat als je iemand als mogelijke verdachte benadert, je eerder bevestiging ziet van dat beeld.

Dit nog los van het feit dat Clearview zelf ook weer met de informatie aan de slag gaat – en hoezo mag een privaat bedrijf weten welke personen de politie zoekt?

Arnoud

Ja, je mag een verdachte (licht) dwingen zijn vinger op zijn telefoon te zetten

Geplaatst op in Regulering, 32 reacties

Levert onder dwang gebruikmaken van vingerafdruk van verdachte ter ontgrendeling van bij hem in gebruik zijnde smartphone met het oog op bewijsgaring inbreuk op het o.m. in art. 6 EVRM vervatte nemo tenetur-beginsel op? Die vraag kreeg de Hoge Raad onlangs voorgelegd in een strafzaak, en het antwoord is nu gegeven: nee

We hebben het vaker over onder dwang ontgrendelen gehad. Lagere rechters hebben tot nu toe eigenlijk steeds gezegd dat dat mag, verdachte in de handboeien en dan de vinger gedwongen op de sensor om de telefoon zo te openen. (Wat je daarna mag doorzoeken, is weer een andere discussie. Maar open gaat ‘ie, want die agent is sterker dan jij.)

Het ging in deze zaak om de biometrische ontgrendeling van een in beslag genomen smartphone van een verdachte om ten behoeve van het opsporingsonderzoek (kort gezegd: diefstal in vereniging en oplichting) toegang te krijgen tot de inhoud daarvan. De iPhone die verdachte bij zijn aanhouding bij zich had, is in beslag genomen en door de politie meteen in ‘Flight Mode’ gezet, zodat de telefoon niet van afstand kon worden gewist.

Tijdens zijn verhoor heeft verdachte verklaard dat de in beslag genomen iPhone zijn toestel is en dat niemand anders dat toestel gebruikt. Aan verdachte is gevraagd, en daarna bevolen, de toegangscode van zijn telefoon te geven. Dat wilde hij niet.  Vervolgens is verdachte geboeid en is zijn rechterduim met fysieke dwang maar zonder geweld op de vingerafdrukscanner van de iPhone geplaatst. Hierdoor werd de iPhone ontsloten.

Nu dus bij de Hoge Raad de vraag: mocht dit, op deze manier? Voorop staat, aldus de HR, dat het mogelijk moet zijn om in beslag genomen voorwerpen te doorzoeken bij verdenkingen van misdrijven. Dat geldt ook voor de inhoud van smartphones, dus die moeten open kunnen als ze dicht zijn. Daarbij mag dwang worden toegepast: het afpakken van dingen die iemand vasthoudt, bijvoorbeeld. Idem voor vingers op smartphones zetten.

Alleen, dan loop je ook tegen dat rechtsbeginsel aan dat mensen niet tegen zichzelf hoeven te getuigen, of meer algemeen mee te werken aan zijn eigen veroordeling (artikel 6 EVRM, nemo tenetur voor de juristen). Maar dat is geen absoluut recht

In artikel 6 EVRM ligt besloten dat, indien ten aanzien van een verdachte sprake is van een “criminal charge” in de zin van die bepaling, deze het recht heeft “to remain silent” en “not to incriminate oneself”. Beslissend voor de vraag of in een strafrechtelijke procedure het nemo tenetur-beginsel is geschonden, is of het gebruik tot het bewijs van het onder dwang van de verdachte verkregen materiaal in een strafzaak zijn recht om te zwijgen en daarmee zijn recht om zichzelf niet te belasten van zijn betekenis zou ontdoen.
Men citeert vervolgens een zaak van een verdachte die gedwongen braakmiddelen toegediend kreeg, om zo doorgeslikte drugs uit diens spijsverteringskanaal te krijgen. Dat was géén overtreding van artikel 6, want de verdachte hoefde zelf niets te zeggen of doen. (Wel was het een overtreding van het martelverbod uit artikel 3 EVRM, omdat dit veel te invasief is voor het beoogde doel en niet vergelijkbaar met bijvoorbeeld bloed of dna afnemen.)

De HR concludeert dan ook instemmend dat de verdachte hier ook niets hoefde te zeggen of doen, zodat hij niet gedwongen werd mee te werken aan zijn veroordeling. De mate van dwang was zeer beperkt, zodat ook artikel 3 niet overtreden werd. Deze werkwijze was dus legaal.

Arnoud

Mag ik mijn oude werklaptop geformatteerd inleveren bij einde dienstverband?

Geplaatst op in Ondernemingsvrijheid, Privacy, 25 reacties

Leuke vraag bij Tweakers:

Helaas helaas houdt het bij mijn huidige werkgever op en moet ik eerdaags mijn laptop inleveren. Nu overlappen er altijd wat privédingen op een zakelijk laptop voornamelijk wat internet gerelateerde dingen zoals wachtwoorden etc. hebben jullie goede tips hoe ik mijn laptop het beste kan opschonen en leeg in kan leveren?
Mijn advies zou zijn om persoonlijke dingen te wissen inderdaad, maar niet met superdestructieve acties als een factory reset of format c. Dat richt ook andere schade aan, lang niet ieder bedrijf neemt hardware opnieuw in gebruik door een factory reset. Denk aan reeds aangeschafte en geactiveerde software die de opvolger moet gaan overnemen. En of dat nou verstandig is of niet, de werkgever bepaalt hoe de opvolger moet werken met de oude laptop.

Ik blogde in 2018 over de situatie waarin een werknemer de gehele HD had geformatteerd, wat tot ontslag leidde. Maar de rechter draaide dat terug – hoewel wel met de overweging dat het ging om een privélaptop die ook voor werk gebruik werd.

Als werkgever mag je niet zomaar in oude mailboxen gaan snuffelen, of in persoonlijke mapjes gaan kijken. Mijn advies is dan ook altijd dat je zoekt naar wat je nodig hebt, in plaats van te gaan bladeren. Weet je niet wat je zoekt, dan blijf je van die laptop af.

Kom je bij het zoeken iets tegen dat privé lijkt (je zoekt op een klantnaam en dat is toevallig ook de naam van de partner van de ex-werknemer, bijvoorbeeld) dan blijf je daar natuurlijk af. Heb je pech, dan kom je dat tegen en dan moet je er strikte geheimhouding over betrachten.

Arnoud

Wie “onbeperkt bellen (FUP)” roept, moet ook echt de fair use policy erbij vermelden

Geplaatst op in Ondernemingsvrijheid, 8 reacties

Toezichthouder ACM heeft KPN terecht bestuurlijke boetes opgelegd wegens oneerlijke handelspraktijken. Dat las ik bij Emerce. De rechtbank Rotterdam bevestigde onlangs namelijk dat het misleidend is om bij een aanbieding van een mobiel bellen abonnement te spreken van “onbeperkt bellen”, terwijl het abonnement gelet op de Fair Use Policy niet onbeperkt bellen inhoudt. En als je die FUP wilde lezen, dan moest je héél goed zoeken.

Het voelt bizar lang geleden, maar al in 2008 maakte ik me druk over dit onderwerp. Je laat gewoon essentiële informatie weg als je zegt, je mag onbeperkt downloaden maar niet als je unfair veel downloadt. Zeg maar, onbeperkt spareribs maar als je te veel eet dan is dat niet netjes en moet je stoppen. Raar restaurant, zouden we dan zeggen.

Bij telecom en internet is dit echter staande praktijk: zo ongeveer iedereen die “onbeperkt bellen/smsen/internetten” aanbiedt, verwijst daarbij met een sterretje naar een fair use policy, die neerkomt op “als je je naar ons oordeel niet netjes gedraagt, dan blokkeren we je/knijpen we je af”. Waarbij het dan vaak gaat om ‘gewoon’  veel downloaden, wat dan vaak wordt uitgedrukt als “meer dan 10x wat de rest doet”.

In deze zaak maakte KPN-dochter Telfort het nog bonter:

In het document Productinformatie en Tarieven staat dat voor Onbeperkt bellen een beperking geldt van 3000 minuten per maand (Fair Use Policy). Tevens is bepaald dat Telfort maatregelen mag nemen bij regelmatig niet-normaal, oneigenlijk of excessief gebruik van Onbeperkt bellen (bijvoorbeeld bij gebruik als babyfoon).
Onbeperkt definiëren als 3000 minuten, je moet er maar op komen. De ACM vond dit ook niet door de beugel kunnen en legde (ook voor andere gerelateerde overtredingen) totaal een bestuurlijke boete van € 2.630.000 op.

KPN ging daartegen in beroep bij de rechtbank, onder meer met het argument copypastefoutje:

Eiseres heeft geen Fair Use beleid toegepast op Onbeperkt bellen abonnementen. De in het document “Productinformatie en Tarieven” vermelde beperking van 3.000 minuten per maand berust op een vergissing: als gevolg van het vernieuwen van de productinformatie was deze regel per abuis toegevoegd. Eiseres heeft deze verwijzing dan ook onmiddellijk verwijderd uit de Productinformatie.
Dat is bij de rechtbank (gelukkig) geen argument: misleiding kan ook gebeuren als je dat zelf niet van plan was. Consumenten die dit lezen, denken hierdoor dat ze maar 3000 minuten mogen bellen en gebruiken het abonnement dus anders dan geadverteerd. Dat is gewoon niet eerlijk.

Verder moet je als aanbieder echt duidelijk uitleggen wát je fair use policy dan precies inhoudt, enkel die frase is niet genoeg.

Indien is vermeld dat een Fair Use Policy geldt, moet een consument de inhoud daarvan kunnen vinden. Door de inhoud niet te vermelden heeft eiseres essentiële informatie over de voornaamste kenmerken van de dienst weggelaten. De consument wist daardoor immers niet wat eiseres als “niet redelijk gebruik” zou aanmerken en wat daarvan de consequenties zouden zijn. Consumenten konden hierdoor geen geïnformeerde beslissing nemen. De rechtbank volgt dit standpunt van de ACM.
Dat bevestigt dus de kern: je moet echt concreet en direct aangeven wat de fair use policy inhoudt. Dus wat je regels zijn en wanneer je iets als “unfair” zou aanmerken. Enkel een generieke zin “wij mogen alles naar eigen oordeel onredelijk noemen” is niet genoeg. Je moet uitleggen wat redelijk en onredelijk gebruik is.

Helaas gaat de rechtbank niet in op de inhoud van de FUP, omdat dat geen onderdeel van het besluit van de ACM was. Voor mij een gemiste kans, want het zou best goed zijn eens duidelijkheid te krijgen waarom bijvoorbeeld “gebruik als babyfoon” (een veel voorkomend voorbeeld in FUP’s) onredelijk gebruik is. Als ik de hele nacht wil videobellen met mijn baby, waarom is dat dan onredelijk?

Arnoud

Gastblog: Ervaring uit de praktijk: hoe kun je het beste reageren bij een online auteursrechtinbreuk (3/3)

Geplaatst op in Intellectuele rechten, 55 reacties

Deze gastblog is geschreven door een bezoeker die anoniem wenst te blijven. Hij is meester in de rechten en procedeert regelmatig, maar is in het dagelijks leven niet werkzaam als jurist.

In de voorgaande twee blogs heb ik een situatie beschreven waarin de beheerder van een website eigenlijk niet zoveel fout deed, maar toch met een torenhoge claim werd geconfronteerd en uiteindelijk met 500 euro aan kosten bleef zitten. Een korte zoektocht op internet levert veel vergelijkbare verhalen op. Hieronder staat een aantal tips die je kunnen helpen om je tegen zo’n claim te kunnen verweren.

Tip 1: houd nauwkeurig een dossier bij.

Maak voor je dossier een screenshot van de pagina met de foto, en noteer zowel de URL van de pagina als de URL van de foto. Schrijf op wanneer je hebt gecorrespondeerd, gebeld, of andere acties hebt ondernomen. Een zaak kan langer dan een jaar lopen, en het is handig als je dingen terug kunt zoeken. Ook als je op een moment besluit juridische hulp in te schakelen, is een goed dossier waardevol.

Tip 2: verwijder niet alleen de verwijzing naar de foto, maar ook de foto zelf.

Wanneer andere websites de foto embedden, betaal je niet alleen voor de bandbreedte, maar kun je ook worden aangesproken voor de schade.

Tip 3: onderhandel slim met de wederpartij.

Procederen is duur en risicovol, dus schikken is voordeliger, ook voor de fotograaf. Tenzij de vordering overduidelijk geen stand houdt, kun je het beste aangeven dat je de juridische situatie niet in kunt schatten, en alleen over het tarief onderhandelen. Houd het vriendelijk.  Je kunt een reactie sturen als “Ik kan hier inhoudelijk niets over zeggen zonder juridisch advies in te winnen, maar dan ben ik al gauw honderd euro verder. Misschien kunnen we er beter onderling uitkomen. Hoeveel reken je normaal voor een foto?”.

Als de fotograaf de onderhandelingen toch weer de juridische kant op trekt, kun je dat nog een keer counteren met “daarvoor moet ik een jurist raadplegen terwijl ik het geld voor de jurist liever aan u geef, zeg maar wat uw voorkeur heeft”. De inhoudelijke discussie uit de weg gaan heeft twee voordelen: de sympathie van de fotograaf is voorbij zodra je zaken gaat betwisten, en onbedoeld kun je een deel van je bewijspositie prijsgeven.

Een paar feiten kun je wel noemen omdat die in de praktijk nooit ter discussie staan, bijvoorbeeld dat je de foto hebt verwijderd (waarmee je erkent dat er inderdaad een foto stond). In de blog van eergisteren beschreef ik dat de webmaster had gereageerd dat de foto was verwijderd, maar bleek later dat het verwijderen door een technische storing maar deels was gelukt. Toen de fotograaf weer contact opnam, legde de webmaster uit dat er een technische storing was en dat het verwijderen nog even kon duren. Voor zijn bewijspositie was het beter geweest als hij had gewacht totdat de foto alsnog weg was, en een reactie naar de fotograaf had gestuurd in de trant van ‘ik zie de foto niet meer (zie bijlage), heb je je cookies al weggegooid en je cache geleegd?’, met een screenshot van de pagina in de bijlage.

Sommige fotografen hanteren een tarieflijst zonder ooit een foto voor dat tarief te hebben verkocht. Als de tarieven excessief zijn, noem dan een redelijk bedrag per foto (bijvoorbeeld 75 euro) en een redelijk tarief voor het opsporen van jouw inbreuk (bijvoorbeeld 50 euro), maar geef aan dat je bereid bent meer te betalen als de fotograaf kan aantonen dat hij in het verleden een vergelijkbare foto voor gebruik op een vergelijkbare website voor een hoger bedrag heeft verkocht. Hiermee verleg je het procesrisico naar de fotograaf. Als hij in een procedure niet kan bewijzen dat zijn schade meer bedraagt dan wat jij hebt geboden, is hij de verliezende partij en draagt hij de proceskosten.

Als je eenmaal overeenstemming hebt bereikt, stel dan een vaststellingsovereenkomst op waarin je finale kwijting afspreekt, en de wederpartij je vrijwaart tegen toekomstige claims op dezelfde foto over dezelfde periode.

Tip 4: raadpleeg een expert als de fotograaf jouw redelijke bod niet accepteert.

Fotografen spelen dit spelletje vaker dan jij, en weten vaak precies hoe ze het moeten spelen. Online kun je veel vinden over de wettelijke aspecten van het auteursrecht, maar weinig over hoe je een juridisch conflict uit de weg gaat. Onderhandelen en procederen is een vak apart. Die ervaring hoeft niet de hoofdprijs te kosten: sommige advocaten rekenen een lager tarief aan particulieren, en zijn er juridische dienstverleners met een schappelijk tarief die veel ervaring hebben met auteursrechtzaken (hoi Arnoud).

Tip 5: blog over je behaalde resultaat.

In de meeste zaken die op rechtspraak.nl zijn gepubliceerd gaat de rechtbank mee in de tarieven van Foto Anoniem. Hoe meer signalen er zijn dat de tarieven in de praktijk veel lager zijn, hoe groter de kans dat de rechter in de toekomst niet meer meegaat in de hoge claims van fotografen. Bovendien help je anderen die door dezelfde fotograaf worden benaderd. Als iemand leest dat een bepaalde fotograaf voor 75 euro per foto wil schikken, kan hij hetzelfde bedrag aanbieden.

En tip van Arnoud er achteraan: ben je enigszins juridisch onderlegd, gebruik dan ook de argumenten uit het artikel Auteursrecht-trollen. Hoe ze te herkennen en hoe ze te bestrijden van professor Dirk Visser, Charlotte Vrendenbarg en Bram Bogaerts.

Arnoud

Banken gaan namen en adressen van internetoplichters geven

Geplaatst op in Privacy, Regulering, 18 reacties

De Nederlandse banken gaan op verzoek de namen en adressen van internetoplichters verstrekken aan slachtoffers van internetfraude. Dat las ik bij Privacynieuws. Slachtoffers kunnen dan via een civiele procedure proberen hun gestolen geld terug te vorderen. Na een gesprek met justitieminister Grapperhaus hebben banken eind vorig jaar besloten om onder voorwaarden de NAW-gegevens te overhandigen.

Het probleem van fraude en oplichting via internet is zo oud als, eh, internet: je weet niet met wie je aan de andere kant zaken doet, dus een fraudeur kan eenvoudig je geld of spullen afhandig maken en ondanks vele beloftes zijn wederprestatie niet nakomen. Of dat oplichting is, is de vraag, maar wie beroep of gewoonte maakt van via internet handelen zonder te leveren is in ieder geval strafbaar. Net als die Whatsappfraudeurs met hun “hoi mam ik ben mijn telefoon kwijt”-oplichterij.

Kom je bij het vervolgpunt: wie moet je hebben? Een anoniem mailadres of snel Marktplaats-account met prepaid 06 is zo gemaakt, en dan sta je dus nergens. Het bankrekeningnummer is vaak het enige aanknopingspunt, alleen blijken banken zich op het (op zich begrijpelijke) standpunt te stellen dat zij niet kunnen zien of er een strafbaar feit is gepleegd en dat ze vanuit privacyoogpunt niet zomaar persoonsgegevens afgeven. Ook stichting Brein kreeg ongelijk toen zij in 2013 deze probeerde te krijgen (ja, met Lycos/Pessers).

In november meldde minister Grapperhaus aan de Kamer dat er over deze situatie gesproken is, en dat er nu een doorbraak is gekomen:

De Nederlandse banken hebben mij naar aanleiding van deze gesprekken recent laten weten te hebben besloten een procedure in het leven te roepen om de NAWgegevens van een fraudeur aan slachtoffers van fraude te verstrekken. Het doel van de procedure is om benadeelden in de gelegenheid te stellen om, onder voorwaarden en met inachtneming van privacywetgeving (zoals de hierna genoemde 21 dagen termijn), met de vermeende fraudeur in contact te kunnen komen. De procedure houdt in dat de fraudeur eerst gevraagd wordt om het geld terug te storten. Als dat niet binnen 21 dagen is gebeurd, worden de NAWgegevens van de vermeende fraudeur verstrekt.
De procedure start nadat het slachtoffer aangifte heeft gedaan. Zo is bekend wie de gegevens eist, en zit er enige check op: valse aangifte is strafbaar, en vanwege de keten slachtoffer-politie-bank-rekeninghouder is het eenvoudig om daar op terug te komen. Ook bij eigenrichting weet je nu snel wie de (mogelijke) dader is.

Blijf je zitten met het probleem van de geldmuilezels: mensen die hun bankrekening verhuren “omdat er toch niets op staat en ik rood staan heb uitgezet”. En dan inderdaad 30% krijgen van het bedrag dat er op gestort wordt. Want met deze procedure kom je daar uit, en niet bij de werkelijke dader. Maar wellicht dat deze nieuwe procedure helpt om katvangers af te schrikken.

Arnoud

Erasmus Universiteit verplicht ondanks kritiek twee camera’s bij onlinetentamens

Geplaatst op in Privacy, 26 reacties

Studenten aan de Erasmus Universiteit in Rotterdam moeten vanaf deze week twee camera’s gebruiken bij onlinetentamens. Dat meldde Tweakers gisteren. Naast de standaard webcam moeten studenten namelijk nu een telefoon of tablet achter zich plaatsen. Zo kan extra toezicht worden gehouden, wat onder meer nodig is omdat daarmee een niet nader aangeduide fraudetechniek onmogelijk wordt. Zoals ook elders geeft de maatregel stevig protest, waarbij steevast de privacy van stal gehaald wordt en de andere kant dan zegt “hoezo, in de tentamenzaal is ook geen privacy”. Maar daar gaat het niet om.

Natuurlijk word je in een tentamenzaal in de gaten gehouden, dat is het hele punt van naar die zaal moeten komen. (Anders heet het immers een open boek take-home tentamen dan wel eindopdracht.)  En dat zal zeker enige stress geven, maar iedereen weet hoe dat gaat, waar de surveillanten op letten en dat voelt allemaal best redelijk. Af en toe gebeuren er rare dingen, zoals dat men ineens je waterflesje tegen het licht houdt – er zijn fraudeurs die neplabels maken met aan de binnenkant een cheat sheet – maar dat zijn uitzonderingen.

Bij proctoring word je ook in de gaten gehouden maar dan thuis. Dat voelt onprettig, men filmt je in de thuissituatie en die is bij studenten vaak klein en toont privézaken. Lang niet iedereen heeft een aparte studeerkamer of zelfs maar plek vanaf waar zeg het bed en de wc niet zichtbaar is. Daar een camera op moeten richten zodat je docent bij fraudevermoedens kan kijken hoe je erbij zit (en de AI-correctoren om de machine learning bij te stellen), ik snap wel dat dat niet zo fijn is.

Het punt is alleen wat subtieler. Een surveillant bekijkt de hele zaal, en niet continu jou. Ik heb zelf eens een herkansing gemaakt van iets waarbij ik de enige kandidaat was (nee, mondeling geen optie, lang verhaal). Dan zit er dus inderdaad een surveillant de gehele drie uur naar jou en alleen naar jou te kijken. Dat vond ik best even een ding. Dat lijkt wel op wat die camera’s doen. Maar het is nog iets subtieler.

De kern voor mij is dat het ongrijpbaar en daarmee oncontroleerbaar is, wat je dan aan moet zetten. Wat doet die proctoring software? Welke dingen worden opgenomen en vastgelegd, waar gaat het heen? Hoe geef ik aan dat ik écht de onderzetter van mijn thee liet vallen, en geen spiekbriefje heb? Die surveillant kun je dat uitleggen, de proctoring software praat niet terug. En wat nu als dat geluid van mijn huisgenoot in de keuken wordt opgevat als Morse-communicatie, hoe weerleg ik dat?

[Pop quiz: de aanwezigheid van een portretfoto in de achtergrond is een fraudesignaal. Waarom?]

Het is dat gebrek aan menselijke maat, de wetenschap dat er straks alléén naar die beelden wordt gekeken en zonder jouw betrokkenheid een uitspraak wordt gedaan die jij dan maar moet weerleggen, die dit zo bevreemdend maakt. En met de wetenschap dat de bewijslast omgekeerd is (hoewel dat van die diploma’s teruggedraaid werd) zou ik me dan ook ernstig bezorgd voelen.

Oh ja, en daar komt dan nog de hele zorg over technologie bij. Wat als je internetverbinding hapert, wat als je gebeld wordt of je telefoon besluit te rebooten voor een update? Komt voor jou rekening: van internet vallen betekent uitsluiting. Vliegtuigstand helpt natuurlijk niet want je telefoon moet de camerabeelden streamen. En voor de meeste mensen zijn dat onbeheersbare dingen.

Dus nee, ik zou ook zenuwachtig worden van deze manier van surveillance.

Arnoud

Kleurrijk Wonen ‘blurt’ camerabeelden van drone die woningen scant in Gelderland

Geplaatst op in Privacy, 20 reacties

Woningcorporatie Kleurrijk Wonen legt haar woningen, via opnames vanuit drones, vanuit de lucht vast. Dat las ik in de Gelderlander (dank, tipgever). De drone vliegt langs en de aangebrachte camera maakt beelden van de technische staat van de?muren, dakbedekking en kozijnen. Wel wordt beloofd de privacy van de bewoners te respecteren. Het had een bericht uit Juinen AI Wereldstad kunnen zijn.

Ik dacht bij vluchtig lezen even dat het ging over een drone die gewoon even langsvliegt en een snelle foto maakt, maar het is even heel wat meer: bij elke huurwoning van de corporatie wordt langdurig stilgehangen en worden detailfoto’s gemaakt van muren, dak en kozijnen. Bij met name dat laatste fronsten mijn juridische wenkbrauwen, want dan fotografeer je dus ook naar binnen.

Maar gelukkig, men is AVG proof aldus de website. Op foto’s is te zien dat men van bovenaf filmt, wel met een stevige zoom, en dat mensen en kentekens worden geblurd. k zie ramen die niet uitgeblurd zijn (eerste foto, linksboven) maar met deze kijkhoek is er weinig te zien.

Het is een typisch voorbeeld van de opkomst van drones: ik zie hoe dit sneller en effectiever is dan een mens langs laten gaan, en er is op zich goed nagedacht over privacy. Ik ga er vanuit dat het blurren zo snel mogelijk gebeurt. Het nieuwsbericht heeft het over “Na de inspectie worden alle persoonlijke gegevens (inclusief ramen) op de foto onherkenbaar gemaakt door vervagen oftewel blurren.” maar dat voelt wat te generiek en laat.

Arnoud

 

Autoriteiten verwijderen Emotet-malware op 25 april van besmette pc’s

Geplaatst op in Regulering, 3 reacties

Autoriteiten zullen de Emotet-malware waarvan de hoofdservers zijn overgenomen op 25 april van besmette computers verwijderen, las ik bij Security.nl, dat weer afging op een beveiligingsonderzoeker op Twitter. Vorige week lieten politie en het Openbaar Ministerie weten dat het gelukt was om het Emotet-netwerk over te nemen en de malware te deactiveren. Het ontmantelen is dan een logische actie, maar natuurlijk komt dan ook meteen de vraag: mag je het botnet zelf deïnstalleren bij mensen op hun computer?

“De Emotet-besmetting is niet langer actief op de computers van ruim 1 miljoen slachtoffers wereldwijd”, zo meldt de politie. Op twee van de hoofdservers van het Emotet-botnet, die zich in Nederland bevinden, wordt een software-update geplaatst voor alle besmette machines. Deze computers zullen de update automatisch binnenhalen, waarna de Emotet-besmetting in quarantaine wordt geplaatst, zo lieten het OM en de politie verder weten.

Dat verwijderen gaat an sich vrij eenvoudig: de software heeft een deïnstallatie-routine ingebouwd. Een en ander gaat op 25 april gebeuren, zodat tot die tijd het netwerk kan worden gemonitord op verkeer om de aanwezigheid van Emotet aan te tonen.

De vraag is dus vooral, welke bevoegdheid kan de politie hierbij inzetten? Deze vraag hebben we vaker gehad (2014: Blackshades, 2010 Bredolab) maar nu zijn er meer mogelijkheden. Sinds de Wet computercriminaliteit III hebben we namelijk onder meer dit wetsartikel 125o erbij in Strafvordering:

Indien bij een doorzoeking in een geautomatiseerd werk gegevens worden aangetroffen met betrekking tot welke of met behulp waarvan het strafbare feit is gepleegd, kan de officier van justitie dan wel indien deze de doorzoeking verricht, de rechter-commissaris bepalen dat die gegevens ontoegankelijk worden gemaakt voor zover dit noodzakelijk is ter beëindiging van het strafbare feit of ter voorkoming van nieuwe strafbare feiten.

De doorzoeking vond hier plaats in de centrale server, en daarbij werd dus de command&control software aangetroffen. Die mag dan ontoegankelijk worden gemaakt. Maar de strekking kun je breder lezen: ook de clientsoftware bij de slachtoffers thuis zijn “gegevens met behulp waarvan het strafbare feit is gepleegd” natuurlijk. En die mogen dan ook ontoegankelijk worden gemaakt.

De toe te passen methode van ontoegankelijkmaking, bijvoorbeeld wissen of versleutelen, zal volgens de memorie van toelichting moeten afhangen van de effectiviteit daarvan alsmede van de beginselen van proportionaliteit en subsidiariteit. Daarbij weegt zwaar dat het gaat om computers van derden. Maar daar staat in dit geval voor mij tegenover dat het kennelijk een eenvoudige instructie is, die een ingebouwde deactivatie uitvoert. Dat is heel wat anders dan met een zelfgebakken ingreep iets proberen weg te halen dat mogelijk een logische bom aan boord heeft als het dat merkt.

Arnoud