RTL: bsn’s van miljoenen Nederlanders online te zien door verlopen domeinnaam

Geplaatst op in Ondernemingsvrijheid, 21 reacties

De zorgverzekeringsgegevens en burgerservicenummers van miljoenen Nederlanders waren online in te zien doordat een zorginstelling een domein liet verlopen, zo las ik bij Tweakers. Nieuwsorganisatie RTL had een verlopen domein van een zorginstelling overnemen en daarmee ook e-mails naar dat domein onderscheppen. De inloggegevens voor de Vecozo-database (een bedrijf dat digitale ondersteuning biedt aan zorginstellingen) werden in plaintext naar die e-mailadressen gestuurd. Erg pijnlijk, en het laat maar weer eens zien hoe slecht er in de praktijk met domeinnamen wordt omgegaan.

De truc is namelijk niet nieuw: regelmatig krijg ik vragen over houders van domeinnamen die merken dat deze eerder in gebruik zijn geweest. Men krijgt dan mail voor de oude eigenaar, en dat kan variëren van babbelmails tot complete dossiers, facturen of bestellingen – en in dit geval dus medische informatie en wachtwoorden om daarbij te kunnen:
In de gelekte dossiers van Kenter Jeugdhulp, de nieuwe naam van Jeugdriagg, staan volledige namen van jonge kinderen met zeer gevoelige details over hun privéleven, zoals psychische aandoeningen, de instabiele thuissituatie, het drugsgebruik en allerlei problemen op school.
De reden hierachter is even stom als simpel: Jeugdriagg veranderde in 2015 zijn naam in Kenter Jeugdhulp. Daar hoort natuurlijk ook een nieuwe domeinnaam bij, en kennelijk beslist er dan iemand dat het tientje per jaar voor de oude domeinnaam het geld niet waard is, zodat die wordt opgezegd. Na enige tijd komt die dan vrij, en RTL kon deze vervolgens registreren. Computers van anderen zien niet of de domeinnaam ondertussen bij een ander in gebruik is, zodat het aanleveren van informatie gewoon doorgaat. (Het bevreemdt mij wel dat er kennelijk tussen 2015 en 2020 niemand bij dergelijke mails merkte dat er bounces opgetreden waren.)

Aan dit citaat heb ik niets toe te voegen:

Z-CERT, het expertisecentrum op het gebied van cybersecurity in de zorg, noemt het datalek een pijnlijke wake-upcall voor de sector: “Dit incident toont aan dat cybersecurity meer is dan beveiliging tegen hackers en ransomware. De meeste incidenten vinden nog steeds plaats omdat de basis niet op orde is, zoals het tijdig patchen van software of het registreren van een verlopen domeinnaam”, aldus directeur Wim Hafkamp.
Helaas weet ik ook geen eenvoudige manier om dit op te lossen. Ergens een wettelijke regel toevoegen dat een zorgorganisatie overbodige domeinnamen niet meer mag opheffen, is vast te simpel?

Arnoud

Mag je WhatsApp-screenshots met anderen delen?

Geplaatst op in Privacy, Uitingsvrijheid, 27 reacties

Interessante vraag op Reddit:

Een kennis stuurt vaak screenshots heen en weer van privé WhatsApp gesprekken naar andere vrienden van die kennis, waarbij niet om toestemming gevraagd wordt. Kan deze persoon hiervoor legale consequenties voor ondervinden worden jegens schending van privacy?
Legaal gezien, pardon juridisch gezien maakt het niet heel veel uit met welk technisch middel zo’n gesprek doorgezet wordt. Of je nu een screenshot maakt, het voorleest of met de hand overtypt, waar het om gaat is dat je de inhoud van een conversatie deelt met derden.

Het opnemen of loggen van gesprekken waar je zelf deelnemer aan bent, is in Nederland toegestaan – ook zonder toestemming van je wederpartij. In andere landen (zoals Duitsland) kan dat anders liggen, maar hier is het juridisch prima om dat te doen. Een gesprek opnemen waar je géén deelnemer aan bent, is strafbaar (art. 139c Strafrecht).

De reden dat dat legaal is, is omdat wij vinden dat je bewijs moet kunnen bewaren van wat jij in een conversatie hebt gezegd, of wat je wederpartij tegen jou zei. Daaruit volgt natuurlijk meteen dat je die gesprekslogs (of screenshots dus) niet zomaar met derden mag delen, want dat gaat het doel te buiten. Doe je dat toch, dan kom je ook in het strafrecht terecht want het in strijd met de wet delen van gespreksopnames is strafbaar (art. 139e Strafrecht).

Je kunt het natuurlijk ook via de AVG spelen, want zo’n gesprekslogscreenshot is een persoonsgegeven en mag dus niet zonder toestemming of andere grondslag worden verspreid. Ik zou niet weten hoe je dat rechtbreidt.

De eigenlijk enige situatie waarin delen wél gerechtvaardigd is, is als je iets juridisch of nieuwswaardigs wil doen met dat gesprek. Een screenshot maken en delen met de politie bij een aangifte is natuurlijk wel toegestaan, net zoals het aan je werkgever geven omdat een collega je lastigvalt. Een journalist zou heel misschien een privégesprek kunnen screenshotten en gebruiken in het nieuws, al heb ik moeite met een concreet voorbeeld bedenken. Maar dit zijn echt uitzonderingen en zeker niet hetzelfde als “stuurt vaak screenshots naar andere vrienden”.

Arnoud

Met valse personalia internet bestellen is geen computervredebreuk

Geplaatst op in Regulering, Security, 18 reacties

Onder andermans naam een internetmodem bestellen en een contract afsluiten, is dat computervredebreuk? Je zit dan te internetten terwijl je weet dat je dat niet mag, dus je bent dan willens en wetens ergens binnengegaan (namelijk in de modem en het netwerk van Vodafone) waar je niet mocht zijn. Dat je geen beveiliging hebt doorbroken, is al tijden geen argument meer. Maar nee, toch is dit géén computerdelict. Dat blijkt uit een recent strafrecht vonnis uit Rotterdam.

De verdachte heeft zich met zijn partner op grote schaal en creatieve wijze schuldig gemaakt aan het veelvuldig oplichten van VodafoneZiggo en KPN gedurende een periode van bijna twee jaar, zo opent het vonnis. Hij nam onder valse persoonsgegevens contracten af, nam de modems in ontvangst en kon zo internetten en bellen zonder daarvoor te hoeven betalen. Kennelijk ging er iets mis bij VodafoneZiggo haar fraudecontrole, want “[i]n het huis van de verdachte en in een door hem gehuurde garagebox zijn maar liefst 1161 modems aangetroffen.” Maar goed, uiteindelijk toch gepakt.

Het OM noemde dit computervredebreuk, want “door met valse personalia via VodafoneZiggo modems te bestellen, deze aan te sluiten en te gebruiken en de kosten daarvan onbetaald te laten, is sprake van het wederrechtelijk binnendringen in deze modems.” Een argument dat je wel vaker hoort. Je weet dan dat je niet in die modems (of de bijbehorende servers) mag zijn, omdat je weet dat je geen abonnement hebt.

Toch klopt het niet:

De verdachte heeft niet op een andere wijze toegang gekregen tot en gebruik gemaakt van de goederen en diensten van VodafoneZiggo dan gebruikelijk. Niet kan dan ook worden gezegd dat hij door die gedragingen op een wederrechtelijke manier toegang heeft verworven tot de modems.
In mijn woorden, als je een computer of netwerk gewoon gebruikt zoals het bedoeld is, dan is het geen computervredebreuk. Ook niet als je eigenlijk onder valse voorwendselen opereerde, zoals hier dus met de nep-NAW gegevens. Dat sluit aan bij een eerder arrest uit Amsterdam, waarin de verdachte vervalste betaalopdrachten aan de computer van de Rabobank had aangeleverd:
de verdachte […] gebruik heeft gemaakt van hem door de Rabobank […] ter beschikking gestelde gegevens (pincode, overeenkomstnummer, software etc, met uitzondering van het door hem zelf samengestelde wachtwoord). De verdachte heeft door aldus te handelen op reglementaire, geautoriseerde wijze verbinding gezocht en verkregen met het computersysteem van de Rabobank […] toen hij zijn batch-bestanden verzond van zijn computer naar die van de Rabobank […]. Op geen enkele wijze noch op enig moment is hem de toegang geweigerd, ontzegd of anderszins geblokkeerd, noch is daarbij van de kant van de verdachte sprake geweest van manipulatie van toegangsgegevens.
Valse input geven aan een systeem is dus op zichzelf nog geen computervredebreuk. Pas als je de computer wat anders laat doen dan wat deze normaal gaat doen (zoals bij een SQL injectie) dan kom je in dat strafbare feit terecht.

Oplichting was het natuurlijk wel, wat deze meneer had gedaan. En daarvoor krijgt hij dan ook 18 maanden cel, waarvan 6 voorwaardelijk. De schadeclaim van VodafoneZiggo van een dik half miljoen wordt afgewezen “omdat een volmacht of uittreksel van de Kamer van Koophandel ontbreekt” waaruit kon blijken dat de persoon die deze indiende, gemachtigd was namens VZ te handelen. Auw.

Arnoud

Kun je een algoritme wel racistisch noemen?

Geplaatst op in Informatiemaatschappij, 84 reacties

Twitter lijkt witte mensen op foto’s eerder uit te lichten dan zwarte mensen, bleek deze week uit tests van gebruikers. Dat meldde Nu.nl onlangs. Het gaat om een experiment van Tony Arcieri, die ontdekte dat Twitter inzoomt op grote afbeeldingen en daarbij witte gezichten de voorkeur geeft, zoals hier naast kort te zien is. Dat sloot mooi aan op andere bevindingen, zoals dat Zoom bij het vervangen van de schermachtergrond gekleurde gezichten niet herkent, of in het verleden dat een gekleurde vinger door sensoren niet herkend wordt zodat je een droogblazer niet kunt activeren. En dan lees ik dus dat “algoritmes niet racistisch zijn”, wat ik een beetje gezocht-juridisch vind.

Het argument is dan natuurlijk dat een algoritme gewoon doet wat het gezegd is, en daarbij niet nadenkt en al helemaal geen intenties heeft. Net zo min als een deur kan discrimineren, kan een algoritme dat, even gechargeerd. Een deur kan open en dicht, en het zijn mensen die bepalen wanneer dat gebeurt. Die kunnen daarbij discriminerende criteria hanteren, die de deur dan uitvoert, maar dat maakt de deur niet zélf een racist.

Ehm, ja. Ik snap de noodzaak voor die discussie niet zo, want volgens mij is het wel algemeen duidelijk dat algoritmes niet kunnen denken. Maar “mensen die het Twitter-gezichtsherkenningsalgoritme hebben gebouwd, hebben daarbij racistische keuzes gemaakt” is gewoon onhandig veel langer, waarom zou je dat in vredesnaam op willen schrijven?

Een iets diepere zorg is dat er kennelijk een groep mensen is die denkt dat een algoritme per definitie niet discriminerend kan zijn. In die visie drijft een algoritme op feiten, namelijk wat het uit de data geconcludeerd heeft. En omdat data objectief is, en het algoritme niets meer doet dan objectief feiten analyseren en daaruit conclusies trekken, is de uitkomst van zo’n algoritme dus onmogelijk discriminerend te noemen. Twee plus twee is gewoon vier, ook voor waarden van twee die gelijk zijn aan een 80.000 x 80.000 matrix met informatie uit afbeeldingen.

Dat laatste is wat mij betreft écht onzin. Dat een computer iets doet, maakt het nog niet objectief. Zeker niet wanneer het algoritme drijft op een dataset waarvan allerminst is vastgesteld dat deze representatief is voor het gehele probleemgebied. Als je dataset alleen witte mannen bevat, en je laat de gehele bevolking werken met het daaruit verkregen algoritme, dan is die uitkomst niet objectief. Ik wil best geloven dat er geen intentie was om andersoortige mensen buiten te sluiten, achter te stellen of op andere wijze negatief te benaderen. Maar de uitkomst komt daar desondanks wel op neer. En juridisch gezien noemen we dat nog steeds discriminatie; intentie is niet van belang, alleen de uitkomst in de praktijk.

Uit het Nu.nl artikel:

Media spraken van “racistische algoritmes”, maar met dat label moeten we oppassen, zegt neuro-informaticus Sennay Ghebreab van de Universiteit van Amsterdam. “Effecten kunnen discriminerend zijn. Het probleem met refereren aan algoritmes die racistisch zijn, is dat je het probleem van de maatschappij naar het algoritme verschuift.”
Dit voelt voor mij als een totale drogreden. Er is niets mis met het algoritme, de maatschappij is fout dus wilt u even de maatschappij corrigeren zodat ik het algoritme met rust kan laten. Dat kan niet de bedoeling zijn, lijkt me zo. Helemaal omdat in de praktijk het zelden gaat om een diepgaand moeilijk te zien probleem dat pas door zo’n AI algoritme blootgelegd wordt: de datasets die men gebruikt, bevatten gewoon te weinig diversiteit in hun afbeeldingen. Dat is een zeer bekend probleem, en iets dat je dus gewoon moet fixen voordat je algoritmes gaat trainen op zulke datasets.

Ik blijf er bij: het gaat niet om de algoritmes, het gaat om de dataset.

Arnoud

 

Kan een model onder de AVG inzage in haar foto’s vorderen van de fotograaf?

Geplaatst op in Intellectuele rechten, Privacy, 46 reacties

Een lezer vroeg me:

Ik ben professioneel fotograaf en werk onder meer voor modellen. Portretten in opdracht dus, zoals dat in de Auteurswet heet. Een opdrachtgever krijgt van mij een paar foto’s, op basis van mijn professionele inschatting wat de ‘beste’ zijn. Nu is er een model dat op basis van de AVG “inzage in zijn persoonsgegevens” wil, oftewel een kopie van elke foto. Ik las dat een portretfoto inderdaad een persoonsgegeven is, dus kan dit zomaar? En gratis???
Het klopt dat een foto een persoonsgegeven is, en dat je in beginsel recht hebt op inzage in en kopieën van je persoonsgegevens. Dus ook een kopie van foto’s waar je (herkenbaar) op staat. Dat voelt hier wat ongepast, omdat hiermee het businessmodel van de fotograaf doorkruist wordt en er eigenlijk geen legitieme reden is voor het model om dit te eisen, gezien de afspraken over de fotosessie. (Jaja, ik weet het, je hebt geen belang nodig met artikel 15 AVG. Maar toch.)v

Ik zie twee opties om hier tegenin te gaan. Allereerst staat in de AVG dat het recht op inzage geen afbreuk mag doen aan andere rechten (artikel 15 lid 4), zoals het auteursrecht. Dan zoek je een compromis tussen inzagerecht en het exclusieve recht van de fotograaf. Dat kan bijvoorbeeld zijn dat je alle foto’s verkleind en/of met watermerk aanreikt: men kan dan controleren dat er niets raars op staat, maar er niet mee aan de haal gaan.

De tweede optie is dat je zegt dat deze foto’s vallen onder de exceptie van journalistieke en artistieke verwerkingen. Dan bestaat het recht van inzage in het geheel niet. Dit lijkt me een redelijke toepassing van die exceptie, maar zekerheid heb je er niet van totdat het ooit bij de rechter mocht komen.

Alles bij elkaar zou ik zeggen dat als je een redelijke gelegenheid biedt om de resterende foto’s te bekijken, al is het verkleind en met watermerk, dat je dan inhoudelijk aan de AVG voldoet.

Arnoud

Hoe krijg je het voor elkaar: “Google-beleid op stalkerware was een typo”

Geplaatst op in Privacy, 15 reacties

Google heeft het beleid omtrent stalkerware in de Play-appwinkel aangepast, las ik bij Tweakers. Op dit moment staat in de regels dat stalkerware wel gebruikt mag worden om zonder toestemming partners te volgen, maar mag het tracken van kinderen niet. In het nieuwe beleid is dit omgedraaid.

Inderdaad leest de oude tekst erg raar (vervettingen van mij ter illustratie):

Stalkerware apps transmit data to a party other than the PHA provider. Legitimate forms of these apps cannot be used by parents to track their children. However, these apps can be used to track a person (a spouse, for example) without their knowledge or permission unless a persistent notification is displayed while the data is being transmitted.
Met name dat laatste is natuurlijk bizar: het mag tenzij je de persoon meldt dat je het doet. Nee, daar had een rechter ook wel van gemaakt dat die tweede ‘can’ een ‘cannot’ had moeten zijn. En de eerste leest ook raar, hoezo zou dat nooit of te nimmer kunnen? Terwijl als daar “can” staat, je een soort van legitieme uitleg krijgt over waarvoor “legitieme stalkerware” gebruikt kan worden.

Legitieme stalkerware noem je trouwens natuurlijk niet zo, ik zou eerder aan parental controls of monitoring software denken. En ja, ook in Europa mag dat in principe, je kinderen online in de gaten houden. Het is wel een glijdende schaal: bij een zevenjarige die de familie-iPad mag gebruiken is een andere vorm van toezicht gepast dan een zeventienjarige met eigen laptop en telefoon (en iCloud-account). Er zijn geen harde regels, omdat het een afweging is van privacy van het kind (een grondrecht) versus de zorgplicht voor een goede opvoeding (ook een grondrecht, van het kind). En die maak je alleen op basis van wat dit kind nodig heeft.

Voor andere categorieën gebruik kan ik niet snel een legitieme case verzinnen. Ja, heel misschien bij werknemers die met zeer gevoelige informatie werken en waarvan je wilt kunnen aantonen dat die ze niet hebben gelekt of misbruikt. Maar daar zijn genoeg andere maatregelen voor dan een volg-app op hun telefoon – plus, je zou wel gek zijn als je zulke gevoelige informatie überhaupt toelaat op iemands eigen telefoon.

Weten jullie een use case voor “legitieme stalkerware” anders dan ouder-kind monitoring? (Detectivebureaus zijn dat denk ik niet, mede vanwege de eis tot persistente notificatie bij het doelwit van onderzoek.)

Arnoud

Mag je iemand zijn ontslag laten nemen als je zijn laptop onbeheerd aantreft?

Geplaatst op in Ondernemingsvrijheid, 58 reacties

Een lezer vroeg me:

Bij ons (redelijk groot) bedrijf gelden harde securityregels, waaronder de simpele eis je laptop te locken als je er van wegloopt. Als security officer zeg ik dan altijd, als ik een open laptop zie dan stuur ik vanuit jouw mailadres een ontslagmail naar je manager. Maar nu vroeg ik me af hoe bindend dat zou zijn op die persoon?
Een eis dat mensen hun laptop locken is een prima idee, en het is goed om met concrete voorbeelden te illustreren waarom. Het spreekt zeer tot de verbeelding dat iemand dan vanaf jouw mailadres iets raars naar je manager stuurt, dat geeft gedoe waar je géén zin in hebt.

Ik adviseer zelf om krokettenbeleid te voeren (in het Zuiden des lands ook wel vlaaienbeleid): je mailt alle collega’s “Mijn laptop stond open dus ik regel morgen kroketten”. En dat is dan soort van sociaal verplicht dat je dat doet.

Juridisch kun je een werknemer natuurlijk niet verplichten om kroketten (of vlaaien) te gaan kopen. En ik heb al een OR-lid in de mail gehad die dit potentieel pesten/bullying vond van de zwakkere werknemer, die zo legaal te grazen genomen kan worden door collega’s. Je daartegen wapenen vind ik wel een serieuze randvoorwaarde voor je bedrijf.

Deze constructie (je baas mailen “ik neem ontslag”) gaat voor mij nog een stapje verder. Afhankelijk van de werkrelatie, die je niet kent als langslopende security officer, kan het zijn dat deze persoon geloofd wordt (“Ha, eindelijk!”) en dan komen er processen op gang waar het héél lastig weer uit te komen is. Ik zou dit dus dringend afraden.

Formeel-juridisch is het niet bindend want die persoon heeft het niet gezegd, en daar is bewijs van want als goed werknemer ga jij natuurlijk een getuigenverklaring afleggen dat jij die mail hebt gestuurd. Maar je komt er pas achter als het ontslagproces al op gang is, en misschien is er dan al een arbeidsconflict ontstaan waardoor het hoe dan ook doorgezet wordt.

Dus misschien moeten we maar gewoon zeggen, de SO stuurt alleen mails naar de persoon zelf “Volgende keer je laptop afsluiten” of de laptop meenemen en een geel briefje achterlaten. Geen ontslagbrieven sturen, en geen kroketten aankondigen. Dan laat je iemand lopen in plaats van vettigheid eten, is nog beter voor de gezondheid ook.

Arnoud

Waarom hebben alle cookiepopups ineens een legitiem belang?

Geplaatst op in Privacy, 13 reacties

Een lezer vroeg me:

Sinds een tijdje valt me op dat allerlei cookiepopups niet alleen om toestemming vragen, maar ook opties aanbieden onder het kopje “legitiem belang”. Vaak kun je die opties niet uitzetten, maar soms wel alleen heet dat dan “bezwaar”. Wat is dit in vredesnaam?
Wie dit heeft bedacht, weet ik ook niet, maar ik vermoed dat diverse grote cookiepopuptechnologieleveranciers (dat is een branche) dit hebben ingevoerd op verzoek van organisaties zoals het Interactive Advertising Bureau (IAB). Iedereen die iets doet met cookies en tracking, ziet de bui namelijk wel hangen dat toestemming het niet lang meer uithoudt als reden (grondslag) om marketing en profiling te doen.

Toestemming was ooit het argument om persoonsgegevens te mogen verzamelen en om met cookies te kunnen werken. Dus iedereen zette lekker een dikke cookiemuur voor zijn site, waardoor we nu met het fenomeen jaklikmoeheid of consent fatigue zitten. En, belangrijker, waardoor toezichthouders eens beter zijn gaan kijken en de terechte vraag stellen waarom het eigenlijk vrijwillig is, dat mensen moeten klikken om je site te kunnen bekijken. Ja, het is jouw site en je mag mensen weigeren, maar in de AVG/GDPR staat nu eenmaal dat toestemming weigeren zonder gevolgen moet blijven – en weigeren is een gevolg, hoe je het ook wendt of keert.

Snel op zoek naar alternatieven, en dan komen we natuurlijk meteen uit bij artikel 6 lid 1 sub f AVG:

de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde,
waarbij iedereen dan meteen wijst op overweging 47 die zegt dat “verwerking van persoonsgegevens ten behoeve van direct marketing kan worden beschouwd als uitgevoerd met het oog op een gerechtvaardigd belang.” Het jargon spreekt overigens van “legitiem belang” omdat de Engelse tekst ‘legitimate interest’ zegt.

Toen is er ergens een brainstorm gekomen over welke soorten cookies en profiling onder dit kopje gerechtvaardigd kunnen worden. Je ziet dat terug in die menu’s: dingen als security & monitoring, first-party analytics en het beperken van overlast door excessief cookiegebruik (ja, serieus heb ik gezien). Daar is dan dus geen toestemming voor nodig, dus die blijven dan buiten het lijstje met dingen waar je toestemming voor moet geven.

Wel staat in de AVG dat je de mogelijkheid tot bezwaar maken moet hebben, op basis van persoonlijke omstandigheden. Bij marketing is de bezwaarmogelijkheid onbeperkt, er hoeft dan geen omstandigheid te worden opgegeven. Daarom zie je dan weer afmeldknopjes bij veel “legitiem belang” opties. Maar een afmeldoptie is in het algemeen niet verplicht. Bij security-opties (monitoring van gedrag om inbrekers-in-spe te pakken) is het natuurlijk niet zinnig om mensen zich te laten afmelden.

Arnoud

YouTube gaat gebruikers om ID-kaart vragen om leeftijd te controleren, mag dat?

Geplaatst op in Ondernemingsvrijheid, 37 reacties

YouTube gaat gebruikers om een ID-kaart of creditcard vragen als het niet kan vaststellen of een gebruiker achttien jaar of ouder is en video’s voor volwassenen wil bekijken. Dat meldde Nu.nl gisteren. De maatregel volgt uit de Audiovisual Media Services Directive (AVMSD) die in 2018 werd aangenomen en ongeveer nu van kracht is. Deze vereist dat diensten zoals Youtube zorgen dat minderjarigen niet zomaar schadelijke inhoud te zien krijgen, en een leeftijdscheck is daarbij een mogelijkheid. Wat natuurlijk de vraag oproept, mag dat zomaar, van iedereen een kopie identiteitskaart vragen?

Uit de blog van Youtube over dit onderwerp haal ik dat het niet een “upload je ID om verder te kunnen” is voor iedereen:

If our systems are unable to establish that a viewer is above the age of 18, we will request that they provide a valid ID or credit card to verify their age. We’ve built our age-verification process in keeping with Google’s Privacy and Security Principles.

Het gaat dus om het moeten aantonen van meerderjarigheid om zo content ongeschikt voor kinderen te mogen zien. En pas nadat Youtube zelf niet kan vaststellen (bijvoorbeeld uit je Google-profiel, de AI-analyse van je surfgedrag of een elders opgegeven en geverifieerde leeftijd) dat je 18 bent, wordt er om een kopie identiteitsbewijs gevraagd.

Natuurlijk mag je -moet je- bij die kopie je bsn afschermen. Het is immers verboden voor Youtube om dat getal te gebruiken voor welk doel dan ook. Maar andere gegevens, zoals je foto, lijken me wel relevant want hoe kunnen ze anders zien dat jij het bent? (Er zijn geen details gepubliceerd maar het lijkt me logisch dat jij op de foto gaat samen met je identiteitskaart.) Die mag je dus niet uitblurren.

Waar ik bang voor ben, is dat het proces gewoon gaat eisen dat er nul aanpassingen op de ID zitten. Dus bsn leesbaar, en geen tekst er doorheen “Youtube age verification” zoals de beste praktijk is bij het verwerken van identiteitskaarten. Dat is niet hoe het hoort, maar vaak wel hoe het gaat. Want vaststellen dat er iéts gewijzigd is, dat kan wel. Maar vaststellen of er iets aangepast is dat aangepast mocht worden (of niet), dat is veel lastiger. Ik hoop dat we snel details krijgen.

Arnoud

Kan de winkel na aankoop nog voorwaarden over het retouren stellen?

Geplaatst op in Ondernemingsvrijheid, 25 reacties

Bij Gathering of Tweakers las ik het bericht van de koper van een televisie bij een webshop. Die was op zoek naar een zeer specifiek model, en dacht dat bij deze winkel gevonden te hebben zodat hij alles rustig thuis kon uitproberen. Alleen:

Nu krijg ik de TV geleverd en zit er een brief op met BELANGRIJKE INFORMATIE [klik hier, AE] VOORDAT U DEZE TV UITPAKT op een rood A5je met witte letters.
Naast diverse instructies (zoals “bewaar de verpakking 14 dagen”) stond daar ook het voor de topicstarter zeer vervelende “Zo kunt u het product maximaal 1 uur gebruiken”. Dat is nogal een verrassing, want ik zal u de technische details besparen maar deze televisie moet zeer specifiek werken:
Ik heb een 4K HDR TV welke 60FPS ondersteund gekocht. Ik heb geen ander apparaat wat dat aan moet kunnen dan mijn PC, welke daarvoor eerst nog een nieuwe videokaart moest hebben (Nvidia Gforce 1030). En mijn receiver moest een firmware update hebben, en de tv moest ingesteld worden, en op zoek naar software die 4K HDR op 60FPS correct kan weergeven. En ik moet meteen maar weten of de integratie met mijn Homey die in theorie goed zou moeten zijn ook echt goed werkt. Dat alles binnen een uur wat vooraf nergens aangegeven is en anders maar minimaal 15% van de aanschafprijs moeten aftikken?
Het doet natuurlijk raar aan, dat je pas na ontvangst van het product te horen krijgt dat je het maar één uur mag testen. En dat is natuurlijk ook niet wat in de wet staat. Die zegt dat je niet meer mag doen dan “noodzakelijk om de aard, de kenmerken en de werking [van het product] vast te stellen” (art. 6:230s lid 3 BW). Daar staat geen tijdslimiet, dat is logisch want bij een paar schoenen heb je een heel andere tijd nodig dan bij een televisie.

Hoe lang héb je nodig bij een televisie? Ik vind zelf een uur op zich best ruim: even aanzetten, zien dat het werkt met VodafoneZiggo digitaal, werkt de afstandsbediening een beetje intuïtief, komen er Advertenties In Mijn Menubalk, hoe hard hapert de Youtube-app et cetera. Dat heb je in een uurtje wel rond denk ik.

Ik zie dat het uitzoekwerk van deze topicstarter zeker weten meer dan een uur kost. De vraag is dan of dat valt binnen de wettelijke omschrijving, en of het dan redelijk is om die invulling te nemen. Ik twijfel daarover, omdat dit nogal specialistische vragen zijn die niet heel gebruikelijk zijn bij kopers van televisies bij ‘gewone’ winkels. Op zijn minst zou ik zeggen dat je dan een discussie moet zijn aangegaan met de webwinkel, zodat die weet wat jouw specifieke zorgen en informatiebehoeftes zijn. Dan kan de winkel ook begrijpen dat jij meer dan een uurtje nodig hebt.

Dat wil niet zeggen dat een winkel dus maar gewoon een uur mag hanteren en bij gemeten gebruik van een uur plus drie minuten gelijk de volle mep korting mag toepassen. Ik zie dat uur als een vuistregel, een richtlijn, een “let op, je bent aan het uitproberen” variant. Het doet me denken aan het Zalando-kaartje met “do not remove this tag” aan je nieuwe kleding: het is niet zo dat bij verwijderen je dús niet meer mag retourneren, maar je moet als consument nu wel even uitleggen waarom jij gewoon hebt getest binnen het noodzakelijke.

Arnoud