Hoe machine learning een bijdrage aan legal tech kan leveren #legaltechtuesday

Geplaatst op in Innovatie, 3 reacties

De term die je het meest tegenkomt bij legal tech, is machine learning of ML. Vaak onder de mooie marketingterm artificial intelligence of AI. Dit belooft dan gouden bergen: perfecte herkenning van teksten, onvermoeibaar spitten in dossiers en ga zo maar door. De robot die contracten leest en alle fouten spot, hoe mooi is dat. AI of ML heeft zeker nuttige toepassingen, maar laat u niet gek maken: lang niet alle legal tech heeft AI nodig.

De gebieden waar AI of ML toegevoegde waarde heeft, zitten vooral in de big data analyse: er is een hele berg data waar geen mens structuur ik kan zien. Machine Learning algoritmes zijn ontworpen om die structuur te ontdekken, te leren wat de achterliggende patronen zijn. Die patronen helpen herkennen welke vragen bij welke antwoorden horen, welke producten samen gaan of wanneer je een bepaalde input ‘frauduleus’ of ‘verdacht’ of ‘interessant’ noemt. Daar genereert het systeem dan formules bij, die worden losgelaten op nieuwe input om zo zonder menselijke tussenkomst nieuwe output te kunnen leveren.

Een ML systeem is daarmee heel goed in het evalueren van invoer op standaardkwesties: is dit normaal of is dit apart. Dat maakt AI een geschikte kandidaat voor ondersteuning van bedrijfsprocessen. Denk aan het goedkeuren van vakantieaanvragen of reisverzoeken, maar ook projectvoorstellen of offerte-aanvragen door klanten kunnen op deze manier worden ondersteund.

Een risico bij ML is wel dat de afwijkende gevallen onder de radar kunnen verdwijnen. Een bekend voorbeeld is een betalingsfraude-detectiesysteem dat met 98% juistheid betalingen als niet-frauduleus aanmerkt. Dit omdat hij gewoon alle betalingen als niet-frauduleus aanmerkt, want het aantal fraudegevallen was slechts 2%. Dat is natuurlijk niet de bedoeling.

Inzet van AI bij advisering kan op vier niveaus de bedrijfsvoering ondersteunen:

  • Pre-screening
  • Eerste filter
  • Goedkeuren van gewone gevallen
  • Negatieve beslissingen
Het eerste niveau is een AI inzetten als een aparte pre-screening of pre-check: mensen kunnen hun aanvraag of verzoek door een AI laten bekijken, die dan zijn bevindingen geeft. Dit verandert niets aan het eigenlijke traject en is vergelijkbaar met even informeel een medewerker bellen met de vraag of je aanvraag in principe akkoord is. Het zal schelen in de kansloze aanvragen en je kunt mensen tips geven om een aanvraag sterker te maken.

Meer winst krijg je als organisatie door de AI als eerste filter in te zetten. De aanvraag of het verzoek wordt dan eerst door de AI bekeken, en de bevindingen worden dan aan de behandelend medewerker verstrekt. Deze kan dan bijvoorbeeld zien of er afwijkingen op de normaal zijn, of welke onderdelen speciale aandacht nodig hebben. Dat verkleint de doorlooptijd, want een aanvraag waar de AI niets bijzonders aan ziet, kan dan eenvoudiger worden toegewezen. Een risico is natuurlijk dat de AI iets mist en de mens daar niet meer naar kijkt.

Nog sneller gaat het wanneer je die categorie “niets bijzonders” direct goedkeurt. Met zo’n raketloket win je nog meer tijd, omdat er nu in het geheel geen mens meer zit tussen de aanvraag en de positieve beoordeling. Uiteraard zit hier kans op fouten (een vals positief) maar je kunt dan steekproefsgewijs een handmatige controle uitvoeren, of de AI een voorlopige beoordeling laten geven en toezeggen dat een mens binnen zeg 14 dagen nog kan piepen. Dat laatste haalt natuurlijk de snelheid er weer uit, want varen op een voorlopige beslissing zal niet iedereen aandurven.

Spannender wordt het als de AI ook negatieve beslissingen gaat nemen. Want een AI die met enige zekerheid kan zeggen dat iets mag, kan net zo goed zeggen dat het niet mag. En dan krijg je dus een raketloket waar je ook binnen 5 seconden hoort dat het niet mag, wat je wilt. In ieder geval geldt dat dan de AI in staat moet zijn het besluit goed te motiveren, zeker wanneer de aanvrager persoonlijk geraakt wordt. De AVG (GDPR) verbiedt immers om op basis van persoonsgegevens geautomatiseerde besluiten te nemen, zoals het afwijzen van hypotheekaanvragen of het weigeren van aankopen op krediet.

Over die laatste categorie bied ik in februari een elearning AI Compliance aan, waarbij je in de praktijk leert hoe hiermee om te gaan.

In de praktijk denk ik dat AI lange tijd vooral ingezet wordt in het voortraject. Dus als eerste filter of als directe goedkeuring van de gewone gevallen. Zo kunnen de mensen de rare dingen eruit halen en wordt hun werk interessanter: alleen nog de moeilijke gevallen, en niet meer de vele saaie, gewone dingen. Af en toe controleer je wat het filter doorlaat, zodat het beter gaat werken.

De grote paradox voor mij blijft dat je een AI juist zo veel mogelijk moet downplayen om deze geadopteerd te krijgen, terwijl het juist zo’n krachtig systeem lijkt te zijn. De inzet als autonoom systeem ligt dan snel voor de hand, maar je moet juist zo klein mogelijk beginnen. Ik denk dat dat begint bij de naam: zullen we gewoon ‘filter’ gaan zeggen of ‘prescreening’?

Arnoud

Vanaf morgen krijgen Apple-apps privacylabels

Geplaatst op in Privacy, 4 reacties

Ontwikkelaars van Apple-apps moeten vanaf morgen uitgebreide details geven over het datagebruik in hun apps en Apple gaat die tonen in ‘privacylabels’, meldde Tweakers onlangs. De regels gelden voor alle nieuwe apps en alle updates aan bestaande apps. Het idee, ingegeven door druk van de internationale consumententoezichthouders zoals onze ACM, is dat je met labels of iconen duidelijker communiceert dan met lappen tekst.

Het idee is hartstikke goed, en het blijft raar dat het zó lang heeft moeten duren. Alleen, dan zie ik in de voorbeelden “The following data may be used” en dan krijg ik jeuk. Wat een ontzettend gemiste kans dat er weer “may be” of “can” opduikt in die teksten. Dat zet je toch ook niet op ingrediëntenlijsten van voedsel?

Trackt die app nou mijn locatie of niet? Zo’n moeilijke vraag is dat niet voor de publisher daarvan. En als die het niet weet (oh ja we gebruiken drie frameworks geen idee eigenlijk) dan mag die het gaan uitzoeken voordat de app live gaat. In plaats van dat ik “deze reep bevat mogelijk pinda’s” lees met mijn allergie*.

Ik snap het ook niet want die developer-pagina bij Apple is heel duidelijk dat je het moet weten:

You’ll need to understand whether you and/or your third-party partners use data from your app to track users and, if so, which data is used for this purpose.
Daar zit geen stukje “maybe can sometimes” aan, toch? Waarom komt het nou zo in de appstore terecht?

Arnoud * Jaja, “kan sporen bevatten” ken ik natuurlijk maar dat is natuurlijk iets anders dan de hele peulvrucht.

ACM wijst fabrikanten en winkels op informatieplicht bij IoT-apparaten

Geplaatst op in Ondernemingsvrijheid, 11 reacties

Fabrikanten en winkels moeten klanten laten weten hoelang aangeboden Internet of Things-apparaten beveiligingsupdates ontvangen. Dat meldde Security.nl onlangs. Deze eis volgt uit de wet, en de Autoriteit Consument en Markt gaat deze marktpartijen nu expliciet wijzen op hoe dit uitpakt bij zogenaamd ‘slimme’ apparaten. Naast informatie over updates moet je ook te horen krijgen welke andere diensten er nodig zijn (zoals abonnementen bij apparaten) en wat er gebeurt met je persoonsgegevens.

Het is velen al lang een doorn in het oog. Koop je een nieuwe telefoon of ‘slim’ apparaat (wie een betere term weet, mag het zeggen) en blijk je al na een paar maanden geen updates meer te krijgen. Of had je toch een abonnement of zelfs maar een gratis registratie nodig. Of je stofzuiger doet het niet omdat in Amerika een server uitgevallen is. Dat voelt vrij essentieel allemaal, en dus dingen die je wil weten voordat je het product koopt.

De wet (art. 6:230m BW, gebaseerd op Europese regels) eist dat een winkelier je de “voornaamste kenmerken” van een product noemt, de dingen dus die essentieel zijn om te besluiten of je het wil hebben. Hieronder valt naast de prijs ook de wijze van levering, beperkingen aan interoperabiliteit, DRM beperkingen en hoe lang je updates mag verwachten.

In oktober maakte de ACM bekend dat grote spelers zoals Bol.com, Coolblue en de MediaMarkt expliciet informatie op dit punt gaan verstrekken. Zij hebben sinds die tijd informatie over de minimale update periode, en over andere compatibele producten. Ik kon zo snel nergens vinden dat je Ring-deurbel of Roomba-stofzuiger afhankelijk is van de dienstverlening van Amazon, maar wellicht ben ik een kniesoor.

De informatie over verwerking van persoonsgegevens lijkt vooralsnog nergens expliciet vermeld te worden, terwijl je toch heel vaak op zijn minst een account nodig hebt om de afluister-, pardon ‘slimme’ diensten te kunnen gebruiken.

Nou ja, voor mijn verjaardag (ja, die is vandaag, 0x2E alweer dank u) dan liever lekke warme domme sokken.

Arnoud

Gaan providers e-mail van Brein aan torrentgebruikers doorsturen?

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 37 reacties

Ziggo en KPN hebben nog geen duidelijk standpunt ingenomen over het plan van Brein om torrentgebruikers te waarschuwen, meldde Tweakers onlangs. Brein wil vanaf 15 december beginnen met het versturen van waarschuwingsberichten van torrentgebruiker, door IP-adressen te monitoren van mensen die BitTorrent of sites als Popcorn Time gebruiken en dan internetproviders te vragen een e-mail door te sturen.

Het moet gezegd, de voorbeeld-email van Brein klinkt erg neutraal. Bepaald geen blafbrief zoals menig auteursrechtjager uit de pen trekt. Er wordt zelfs rekening gehouden met het geval dat de houder van het IP-adres (het internetabonnement) van niets weet of zelfs de wifi gekaapt kan zijn. Wel dreigt men indirect met de gang naar de rechter als er niets gebeurt, maar op een wijze die ik niet heel onredelijk vind.

Maar goed, dat is fase twee. Eerst maar eens zien wat deze brieven doen. Alleen is daarvoor natuurlijk de medewerking van de providers nodig, en dat is nu dus de discussie. Er is geen directe wettelijke plicht voor zo’n doorstuuractie, hoewel het in het verleden wel bepleit is. Wel is er natuurlijk de plicht tot afgifte persoonsgegevens, maar de providers verzetten zich daar heftig tegen. Dit voelt dus als een stukje de-escalatie, Brein krijgt zo immers geen namen bij IP-adressen dus het privacy-argument vervalt daarmee voor een groot deel.

Desondanks geven de meeste providers aan dat ze niet al te happig zijn om hier aan mee te werken. Het zet natuurlijk een precedent, als je deze mails stuurt dan kun je tegen dreigbrief 2 geen nee meer zeggen, en de stap naar “en geef na brief 3 maar gewoon de NAW gegevens” wordt ook weer een stukje kleiner. Ik zie dus hoe dan ook de gang naar de rechter wel weer hangen.

Brein denkt dat het voorlichtingsprogramma het gebruik van illegaal aanbod zal verminderen. Met marktonderzoek gaat de stichting onderzoeken of dat ook echt zo is. Blijkt het toch tegen te vallen, dan sluit men handhaving tegen deze structurele seeders niet uit.

Arnoud

Hoe zet je opensourcelicenties in huwelijkse voorwaarden?

Geplaatst op in Intellectuele rechten, 20 reacties

Via Twitter kreeg ik de vraag wat er gebeurt als je open source schrijft en in een vechtscheiding gewikkeld raakt. Kan je ex dan die software van je afpakken? Dit naar aanleiding van een Amerikaanse familierechtadvocaat die tweette dat zoiets zeker wel mogelijk is, omdat de scheidingsrechter volgens equity regels de boedel opsplitst, en auteursrechten zitten daar gewoon in.  Dus dan kan de rechter die zomaar toewijzen aan je ex, als dat eerlijkheidshalve zo uitkomt.

Ook bij ons in Nederland is het natuurlijk zo dat auteursrechten in de huwelijkse boedel (gemeenschap van goederen) kunnen zitten. Juridisch zijn het vermogensrechten, die je kunt kopen en verkopen. En die kun je dus ook met je partner delen als je trouwt of een geregistreerd partnerschap sluit. Ongeacht of de partner enige bijdrage levert aan de software.

Sinds 2018 is het wel zo dat je standaard in een beperkte gemeenschap van goederen trouwt (huwelijkse voorwaarden). Grofweg is datgene dat je vóór het huwelijk al had, van jou alleen blijft tenzij je anders afspreekt. Dat wat je tijdens het huwelijk verkrijgt (schulden en bezit) is gemeenschappelijk. Ook weer tenzij je anders afspreekt.

Werkte je al aan die open source voordat je trouwde, dan ligt deze dus buiten de boedel en is dat recht alleen van jou. Ook als je er na het huwelijk nog verder aan werkt; het blijft hetzelfde vermogensrecht waar je aan schaaft. Wel heeft je partner bij de echtscheiding recht op een redelijke vergoeding

Zou je ná het huwelijk aan een nieuw project beginnen (en dus een nieuw auteursrecht scheppen) dan lijkt het erop dat dit een gemeenschappelijk recht zou zijn. Ik zeg ‘lijkt’ want ik kan geen recente basis daarvoor vinden. Onder het oude recht was dat in ieder geval wél zo. Raar voelt dat wel, zo’n creatieve prestatie lijkt me typisch iets dat alleen aan de makende partner toe moet komen. De wet kent het begrip ‘verknochtheid’ – goederen die aan één partij verknocht zijn, zijn in principe van die partij alleen. Maar dat lijkt vooral te gelden voor de morele rechten (naamsvermelding, verminking) en niet de economische rechten.

Wel is het zo dat de makende partner het ‘bestuur’ heeft over dit vermogensrecht. En dus tijdens het huwelijk zelf kan beslissen wat ermee gebeurt. Zoals dus het onder een opensourcelicentie gratis weggeven. Daar is dan geen instemming van de partner voor nodig.

Bij een scheiding is dus allereerst de vraag of het auteursrecht bij beiden ligt (met de maker als bestuurder) of alleen bij de maker. In het eerste geval kun je een discussie krijgen over of je een vergoeding aan je partner moet betalen voor de genoten winsten. Maar bij open source zijn de (financiële) winsten meestal nihil, mensen betalen niet voor licenties. Wel voor SLA’s en dergelijke, maar als je dat structureel aanbiedt dan ben je ondernemer en dan krijg je weer een heel andere discussie over de gemeenschap en de inkomsten uit onderneming.

Kort en goed: als je hier bezorgd over bent, maak dan huwelijkse voorwaarden waarin je dit specifiek regelt. Dat kan ook ná je huwelijk, je moet er alleen wel voor naar de notaris.

Arnoud

Hoe meer legal tech geadopteerd wordt, hoe meer het zal verdwijnen #legaltechtuesday

Geplaatst op in Innovatie, 1 reacties

Legal tech, het was een van de grootste hypewoorden het afgelopen jaar. Zo opende ik mijn eerste column op deze plaats. Terugblikkend in deze alweer laatste column kan ik alleen maar zeggen dat de term inherent een zeker hypeniveau in zich heeft. Raar is dat niet: fundamentele transformaties vereisen een hoop aandacht alvorens mensen er energie in kunnen en willen steken. Maar het gekke is vooral: hoe meer legal tech zijn plek vindt in de organisatie, hoe meer het zal verdwijnen in het spraakgebruik.

De term legal tech is breed: alle technologie en software waarmee de juridische sector zijn voordeel kan doen. In de klassieke vorm spreken we van automatisering: het versnellen en automatisch uitvoeren van bestaande processen. Met een typemachine of tekstverwerker een document opstellen gaat nu eenmaal makkelijker en is minder foutgevoelig dan met de hand deze acties uitvoeren. Maar legal tech is meer dan dat, het gaat om transformatie, verandering van de processen zelf. Dat transformeren gaat in drie stappen:

  1. De randzaken van het juridisch werk worden geautomatiseerd.
  2. Het inhoudelijk werk zelf wordt geautomatiseerd.
  3. Het inhoudelijk werk wordt anders uitgevoerd.
Die derde stap is natuurlijk het meest fundamenteel. De randzaken automatiseren stelt weinig voor, althans zo kijken we daar nu tegenaan. Maar voor veel kantoren was van typemachine naar computer toch een redelijk grote stap. (Mijn vader vertelde me ooit hoe hij als beginnend laborant zijn eerste paper aan de dames van de typekamer mocht voorleggen. De hoofdtypiste ging er doorheen en keurde het af; zo veel taalfouten daar gingen de dames niet hun dure tijd aan verspillen. Tegenwoordig typt iedereen zelf zijn papers.)

Het automatiseren van het inhoudelijk werk, dat is waar we nu een beetje in zitten. Contracten komen uit generatoren, modellen worden steeds slimmer, jurisprudentiedatabanken zijn niet alleen meer op één trefwoord of datum te vinden en fulltext door proefschriften heen kan ook al zonder problemen. We zijn daar bijna helemaal vertrouwd mee.

Legal tech is de derde stap: verandering van het juridisch werk zelf. Het analyseren van zaken met big data bijvoorbeeld: welke strategieën zijn handig, wat weten we van deze rechter gezien eerdere uitspraken of wat hebben we bij andere klanten geleerd van deze wederpartij. Het doorspitten van dossiers op red flags of aantrekkelijke bestanden. Of het door een kunstmatige intelligentie laten analyseren van een brief van een wederpartij: zit hier iets bijzonders in, kunnen we het met standaardargumenten afdoen of hoeven we niet te reageren?

Deze stap is nog erg nieuw, vrijwel niemand heeft deze al echt genomen. Daar zijn goede redenen voor, maar daardoor blijft het wel een echt nieuw iets. En nieuwe dingen, die zijn toch een beetje bijzonder. Dit is een reden dat het een eigen term blijft houden: legal tech, de volgende stap in juridische dienstverlening. En dat houdt dan weer de cyclus in stand – het heet iets nieuws te zijn, dus zal het wel nieuwerwets zijn, dus (we zijn een conservatieve beroepsgroep) laten we nog even kijken hoe het gaat.

Eerder schreef ik al, legal tech is eigenlijk een organisatieverandering. En die zijn altijd stug om door te voeren, helemaal als je het meteen groot aanpakt. Beter is dan ook om klein te beginnen: zoek het laaghangend fruit, in het Engelse jargon, dat je kunt plukken. Zet een documentgenerator naast je oude set met templates. Voeg een knopje toe aan Word waarmee je jurisprudentie snel kunt opzoeken. gebruik tools die een specifieke klus versnellen, enzovoorts. Zo leren mensen proeven van dit soort vernieuwingen, en dat smaakt naar meer.

Daar kreeg ik in de mail reacties over: Arnoud, dat soort dingen zijn toch geen legal tech, dat is gewoon automatisering. En dat is precies wat we nodig hebben, zulke reacties. Want zodra we het ‘gewoon’ de volgende stap gaan noemen, is het bijzondere, het beangstigende (mag ik dat zeggen) eraf. Dan is dit gewoon het ding dat we hierna gaan aanschaffen. Dan is legal tech gewoon de volgende stap.

En op het moment dat we daar zijn, dat we zeggen dat we gewoon de volgende stap in de vooruitgang voor juridische dienstverleners nemen, dan gebeurt er iets geks: dan valt die term ‘legal tech’ eraf. De toekomst van legal tech is dus het verdwijnen van de term. Maar als dat de prijs is voor grootschalige adoptie, dan zou ik dat fantastisch vinden.

Arnoud

 

Zucht. EU-raad wil toegang tot versleutelde data met techbedrijven onderzoeken

Geplaatst op in Regulering, 26 reacties

Zijn er technische oplossingen voor de autoriteiten om toegang tot versleutelde data te krijgen, schreef Security.nl onlangs. De Raadsresolutie Encryptie van de Europese Raad vormt volgens minister Grapperhaus van Justitie en Veiligheid het startpunt om samen met techbedrijven en andere partijen een onderzoek te doen naar de technische mogelijkheden om toegang tot versleutelde data te krijgen. Om een of andere reden blijven politici maar denken dat er een oplossing móet zijn om autoriteiten toegang te geven tot versleutelde data zonder dat criminelen dat ook kunnen. Het plaatje hiernaast is mijn kantoormuur nadat ik er met mijn hoofd tegenaan sloeg.

Versleuteling wordt namelijk ook misbruikt door criminelen, zo opent dan de Kamerbrief van Grapperhaus. End at terwijl “de opsporing steeds meer afhankelijk [is] van toegang tot digitale gegevens, terwijl versleuteling rechtmatige toegang tot digitale gegevens uitdagend of praktisch onmogelijk maakt. ” En dan komt er de grootste beleidsmatige fout van de afgelopen twintig jaar: wat offline geldt, moet ook online gelden. En omdat men offline kluizen kan openbreken, moet digitale encryptie dus ook open te breken zijn met machtiging van de rechter-commissaris. Eh ja, precies.

Deze discussie loopt al sinds de jaren negentig, toen Phil Zimmerman het programma Pretty Good Privacy op internet zetten. Encryption for the masses, een total noviteit want tot die tijd konden eigenlijk alleen overheden fatsoenlijk encryptie toepassen. De reactie is dan ook altijd eentje van angst en zorg gebleven, en vooral: van een gebrek aan technisch inzicht.

Want het is niet een stukje onwil, van die encryptiesoftwarebouwers, om te weigeren een achterdeur of centrale extra sleutel in te bouwen voor de overheid. Of technische onmogelijkheid. Het kan prima. Menig bedrijf heeft encryptie met een achterdeur: de reservesleutel in de kluis bij de CISO of IT-dienst. Voor het geval de medewerker zijn of haar sleutel kwijtraakt. Met een beetje goede controle is dat binnen het bedrijf goed te beheersen.

Alleen: dat is binnen een bedrijf, binnen één organisatorische eenheid. Daar kun je regels voor jezelf opstellen, en heeft iedereen ook hetzelfde belang. Namelijk het bedrijf door laten draaien, die klant binnenhalen en die producten of diensten verkopen. Er zijn geen buitenstaanders die aan je data gaan zitten.

En dat is wat er bij overheidstoezicht en -toegang wel speelt. Daar wil een externe partij bij de versleutelde data, bij de sleutel dus. En dat kan maar op één manier: de sleutel in een doosje bij de opsporingsdiensten, die er dan gebruik van mogen maken wanneer dat binnen hun regels en procedures moet kunnen.

Als er zo’n doosje is, dan is de vraag wie er bij mag. En waarom zouden dat wel onze opsporingsdiensten mogen zijn en niet de Duitse? Of de Russische? Of Chinese? Dat praktische bezwaar maakt het voor mij al fundamenteel onmogelijk om er voor te zijn. En wat gebeurt er als de sleutel gestolen wordt, in theorie altijd mogelijk en gezien de hoeveelheid datalekken die we nu al zien zeker niet uit te sluiten?

“Kraakbare” encryptie, dus geen sleutel in een centraal doosje maar een zwakheid inbouwen, is een nog veel slechter idee. Zo kan er inderdaad geen sleutel gestolen worden, maar de kwaadwillenden kunnen (en zullen) die zwakheid vinden en er dan ook mee aan de haal gaan. Zonder dat iemand het merkt, want het is onmogelijk te zien of iemand anders een kopie van je bericht heeft gedecrypt.

Nee, dit blijft een heel slecht idee.

Arnoud

 

Als werknemers gaan WhatsAppen met elkaar, is dat dan privé of een datalek?

Geplaatst op in Ondernemingsvrijheid, Privacy, 18 reacties

Een lezer vroeg me:

In ons bedrijf zien we dat veel werknemers elkaar ‘op de app’ hebben, ze hebben op hun (vaak zakelijke, maar soms privé) telefoons WhatsApp geïnstalleerd en voegen elkaar toe. Dat is vaak werkoverleg, afstemmen van afspraken en dergelijke, soms ook privégebabbel. Nu is bij één werknemer het WhatsApp account gekaapt en zo heeft de kaper dus de gegevens (en chats) van die collega’s te pakken gekregen. Is dat een datalek en zijn wij daarvoor verantwoordelijk?
Dit is weer zo’n casus die laat zien waarom analogieën niet goed werken bij internetrecht. Want wat is in vredesnaam de analogie hier?

Eerste dat in me opkomt: collega’s die afspreken in het café wellicht. Daar komen ze elkaar tegen, ze wisselen elkaars nummer uit of noteren dingen op het prikbord van het café zodat ze dat kunnen zien. Dat zouden we een privéaangelegenheid noemen, en pas als er serieuze overlast kwam van die collega’s dan zou de werkgever er wellicht wat van kunnen zeggen.

Nee he, is het ook niet. Want die mix van zakelijke en privé communicatiemiddelen die doet het hem wel hier. En daar is niet echt een analogie voor.

Dus dan draai ik hem om, laten we beginnen bij het probleem. Een ongeautoriseerde derde heeft met een technische truc toegang gekregen tot zakelijke chats en contactgegevens van medewerkers van bedrijf X. Dat die mogelijk op privéapparaten lagen, doet er niet toe. Mijn aktetas is ook privé, diefstal van de inhoud daarvan is toch echt een zakelijke aangelegenheid.

Alleen: wie is verantwoordelijk voor die gegevens? Nou ja, dan zou ik dus zeggen net als bij die aktetas – de werkgever dus. Die staat mij toe dat mee naar huis te nemen in mijn eigen tas. Zijn risico. En natuurlijk dat gaat al 100 jaar goed met aktetassen*, maar dat doet niet af aan het principe.

Die lijn doortrekkend krijg je dus: al die gegevens in die WhatsApp accounts zijn zakelijk en de werkgever is daarvoor verantwoordelijk. Dus datalek en dus meldingsplicht vanuit de werkgever.

Alleen voelt dat ook weer zo raar, het is toch míjn telefoon en mijn contactenlijst met daarin toevallig collega’s Daan, Peter en Lisette. Ja, maar niet helemaal: die gegevens heb je via het werk verkregen om het werk beter uit te voeren. Dus toch zakelijk. Of toch niet, kreeg je die werk-06 om zakelijk met ze te bellen of om onzakelijk te chatten? Als ik een pakje op kantoor laat bezorgen, is dat ook geen zakelijke bestelling maar handig gebruik van iets waar ik bij kan.

Uiteindelijk bekijk ik het dan toch maar als een formele kwestie. En formeel zijn die contactgegevens door de werkgever verstrekt voor het werk. Dat de werknemer daarmee van alles privé mag doen, verandert daar niets aan. Ook niet als dat volkomen normaal is, dat privégebruik. Dus is het lekken daarvan een beveiligingsgebrek dat je de werkgever aanrekent. Idem voor de chats, voor zover daar zakelijke informatie in te vinden is.

Anders is dat bij de privénummers die collega’s elkaar geven. Die – en de privéchats – hebben niets met werk te maken en staan er dus los van.

Arnoud * Ik was vandaag jaar oud toen ik doorhad dat een aktetas een aktetas heet omdat je er aktes in vervoert. 





	


	





	

		
Keulse rechtbank dwingt Tutanota hele postvakken inzichtelijk te maken
			

				Geplaatst op  in  Ondernemingsvrijheid, Regulering, 20 reacties			

			


	
	

		
De arrondissementsrechtbank van Keulen heeft Tutanota opgedragen om op verzoek van de autoriteiten postvakken van gebruikers toegankelijk te maken en de tekst van e-mails in plain text in te laten zien. Dat meldde Tweakers afgelopen maandag. Tutanota levert end-to-end gecodeerde e-mailsoftware en een freemiumdienst voor gehoste e-mail, die dus niet afgeluisterd, getapt of ingezien kan worden omdat alle versleuteling bij de client plaatsvindt. Echter, toen een Keulse autoleverancier via Tutanota een afpersingsmail ontving en de politie een onderzoek startte, vonniste de Keulse rechtbank dat Tutanota dit mogelijk moet maken, omdat de webmaildienst ‘meewerkt aan het leveren van telecommunicatiediensten’. Houd de paracetamol bij de hand, want dit vergt héél veel juridische definities.



De kern van de zaak is dat telecommunicatiediensten in Europa verplicht aftapbaar moeten zijn bij ernstige misdrijven als deze. In Nederland is er dus geen twijfel dat KPN of Ziggo een telefoongesprek via haar netwerk moet laten tappen, en dat gaat dan zowel om IP-netwerkverkeer als gewone telefonie.



Tutanota is geen internetprovider maar wat juristen noemen een “dienst van de informatiemaatschappij”, en dat is wezenlijk wat anders. In ISO/OSI termen: die zitten in laag 7, en telecom zit grofweg in lagen 1 tot 5. Een ander niveau van technische werking, dat in de kern wettelijk omschreven wordt als een

gewoonlijk tegen vergoeding aangeboden dienst die geheel of hoofdzakelijk bestaat in het overbrengen van signalen via elektronische communicatienetwerken, waaronder telecommunicatiediensten en transmissiediensten op netwerken die voor omroep worden gebruikt, doch niet de dienst waarbij met behulp van elektronische communicatienetwerken en -diensten overgebrachte inhoud wordt geleverd of redactioneel wordt gecontroleerd.

Tutanota verspreidt informatie, geen signalen. Dat voelt vrij logisch, toch duurde het tot 2019 voor het Hof van Justitie hier een definitieve uitspraak over deed:

a web-based email service which does not itself provide internet access, such as the Gmail service provided by Google LLC, does not consist wholly or mainly in the conveyance of signals on electronic communications networks [] does not constitute an ‘electronic communications service’ within the meaning of that provision.

Het maakt daarbij niet uit dat Google zelf backbone-kabels heeft liggen of andere verrichtingen doet die wél het overbrengen van signalen opleveren. Dat staat immers in principe los van de webmaildienst waar het hier om gaat.



Helaas heeft in de Tutanova-zaak de rechter niet gemotiveerd waarom zhij hier anders tegenaan kijkt. Ik zie zelf geen verschil in de werking van Tutanova en Gmail, internet-technisch bekeken. Ik hoop dus ook dat men in hoger beroep gaat, hoewel dat voor deze specifieke vordering niet uitmaakt: de Duitse justitie heeft in de tussentijd toegang tot de informatie van deze afperser.



Arnoud


	


	





	

		
Kun je eisen dat je persoonsgegevens uit een gerechtelijk vonnis worden gehaald?
			

				Geplaatst op  in  Privacy, 1 reacties			

			


	
	

		
Het is altijd een goed onderwerp voor verwarring: hoezo persoonsgegevens, dit is toch geanonimiseerd? En dat klopt, als iets geanonimiseerd is dan zitten er (per definitie) geen persoonsgegevens meer in. Maar de grap is: echt anonimiseren dat doet bijna niemand. Wat bijna iedereen doet, heet pseudonimiseren en je blijft dan gewoon onder de AVG vallen. Zelfs de rechtspraak, zoals een recent vonnis laat zien.



In deze zaak had de eiser eerder een rechtszaak tegen Google gevoerd over verbergen van zekere zoekresultaten bij een opdracht op zijn naam. Dat verloor hij, en de uitspraak werd gepubliceerd. Uiteraard conform de anonimiseringsrichtlijnen van de rechtspraak, maar desondanks vond de man het nodig om verwijdering van het gepubliceerde vonnis te vorderen.



Dat roept de vraag op, staan er nog persoonsgegevens in zo’n vonnis dan, als het geanonimiseerd is? Namen worden weggehaald, geboortedata tot jaren teruggebracht en adressen blijven natuurlijk ook buiten schot. Daarnaast worden ook meer indirect identificerende dingen weggehaald, zoals URLs waarin de naam van de eisende partij voorkomt.



Maar wat doe je met persoonlijke informatie in het vonnis zelf? De rechter moet bijvoorbeeld als argument brengen dat weliswaar iemands naam op een website staat, maar dat die vermelding niet onjuist of irrelevant lijkt. Daarvoor moet je in het vonnis de naam noemen en denk ik ook de tekst van de vermelding, anders onderbouw je je analyse niet. Maar dan staat er dus een naam én een tekst die iets over die meneer zegt, in het vonnis.



Nu komen we in een van de vele hoofdpijnstukken uit de AVG. In 2014 bepaalde het Hof van Justitie dat juridische analyses over een persoon an sich wel persoonsgegevens bevatten maar geen persoonsgegevens zijn. Je kunt dus niet bijvoorbeeld een vonnis of beschikking laten corrigeren omdat er een fout in staat (artikel 16 AVG) of laten wissen (artikel 17). Daar zijn eigen procedures voor.



Ik zeg eerlijk dat ik hier helemaal niets van snap; een juridische redenering dat ik een strafbaar feit heb gepleegd (om eens wat te noemen) lijkt mij evident een persoonsgegeven want er staat in dat ik een oplichter ben. Dat ik dat niet mag corrigeren of verwijderen, volgt gewoon uit de systematiek van de AVG – het is niet fout en niet irrelevant of overdadig of zo. Maar goed, het Hof heeft het gezegd en het Hof heeft per definitie gelijk.



De beschikking (de uitspraak in een verzoekschriftprocedure) is dus geen persoonsgegeven en kan niet worden verwijderd op grond van de AVG. Mogelijk kan dat wel gelden voor specifieke feitelijke stukjes:

In het hiervoor onder 4.6. genoemde arrest heeft het HvJEU immers overwogen dat de gegevens die de feitelijke basis vormen voor de juridische analyse persoonsgegevens in de zin van de Richtlijn persoonsgegevens kunnen zijn. De omstandigheid dat die feitelijke gegevens in een rechterlijke beslissing door de rechter worden vastgesteld conform de regels van het procesrecht maakt niet dat van persoonsgegevens geen sprake meer is.

De verzoekster had echter haar bezwaar vooral gericht op de juridische delen van de beschikking, en daar geldt dit argument dus niet bij. Maar inderdaad zitten er dus wel degelijk persoonsgegevens in geanonimiseerde vonnissen.



Arnoud