Aon neemt cybercrime voortaan standaard in inboedelverzekering op

Geplaatst op in Innovatie, 26 reacties

Verzekeraar Aon neemt vanaf 1 september cybercrime standaard op in de inboedelverzekering. Dat las ik bij Tweakers onlangs. In de polis staat te lezen dat voornamelijk onkosten worden betaald voor situaties zoals phishing, ransomware of identiteitsfraude. De daadwerkelijke schade wordt zelden vergoed, wat niet zo gek is want juridisch gezien heb je als consument geen schade bij dataverlies (data is niets) of benodigde herinstallatie (je tijd kost geen geld).

De polisvoorwaarden zijn nog best leesbaar en to the point, wat natuurlijk mede komt omdat het wettelijk verplicht is om in eenvoudige taal te communiceren. En oh wat zou het fijn zijn als privacyverklaringen eens net zo goed leesbaar zouden zijn.

Even lezen geeft dan toch wat aardige dingen. Het eerste dat mij opviel, is dat je de app van de bank moet gebruiken. Als je wordt beroofd via internetbankieren via de site, dan valt dat buiten de dekking. Dat laat wel zien hoe men de risico’s inschat bij bankieren via browsers.

Oh, jailbreak je je systeem dan ben je niet gedekt. Die term is breder gedefinieerd dan alleen iOS overigens, hoewel het mij raar aandoet om deze toch Apple-specifieke term te gebruiken. Het gaat om iedere vorm van het uitschakelen of omzeilen van de beveiliging van de fabrikant tegen het zomaar installeren van apps. Daar zit natuurlijk achter dat je zo malafide apps binnen kunt krijgen, zodat je het risico op schadebrengende gebeurtenissen vergroot.

Wat me in negatieve zin opvalt, is dat de voorwaarden niet eisen dat je je OS en veelgebruikte software bijwerkt. Zou dat zijn omdat de meeste moderne OS’en dat toch al doen automatisch (Windows 10 zelfs zonder optie dat te weigeren)? Anders voelt het als een merkwaardige omissie.

Ik lees in de comments nog diverse mensen die zelf prima weten hoe ze de beveiliging van hun computer regelen, maar daarbij desondanks de regels van de verzekeraar zouden overtreden. Bijvoorbeeld door hun telefoon te rooten maar wél keurig de malware buiten de deur houden. Moeten die dan wel of niet onder de dekking vallen? Altijd een lastige.

Ik ben uiteindelijk toch geneigd te zeggen van wel, máár met een hoge bewijslast dat je systeem echt veilig was ondanks al je eigen knutselwerk. Want de verzekeraar kan het verschil niet zien tussen een hacker (een echte) die beter dan Linus weet hoe zijn kernel dicht te timmeren, en een gedachteloze amateur die zomaar overtypt wat mensen op vage forums vertellen dat je moet doen om gratis Bejeweld te spelen. En gezien de eerste categorie veel zeldzamer is dan de tweede, vind ik dat je als echte hacker moet bewijzen dat je dat bent om alsnog aanspraak op de verzekering te maken.

Arnoud

Mogen mensen je kind buiten fotograferen en op Facebook zetten?

Geplaatst op in Informatiemaatschappij, Privacy, Uitingsvrijheid, 8 reacties

Een lezer tipte me over deze Viva-forumdiscussie:

Vorige week werd ik getagged op Facebook in een bericht van een winkelcentrum in de buurt. Hierop staat mijn kind in het midden met verder alleen een ander persoon die je alleen van De achterkant ziet weglopen. Mijn kind zie je vanaf de zijkant en precies midden in de foto. Nu hebben ze de foto “bewerkt” en heeft mijn kind accessoires op zichzelf gefotoshopt gekregen van de fotograaf. Dit als onderdeel van het onderwerp van het Facebook bericht. Mag dit zomaar geplaatst worden zonder mijn toestemming?
De foto blijkt dus te zijn gemaakt door een fotograaf die ingeschakeld was door het winkelcentrum, en de accessoires zijn dingen die in het winkelcentrum te koop zijn. Daarmee werd niet geprobeerd het kind anoniem te maken, het lijkt veeleerder te zijn gegaan om de foto lekker grappig te maken.

Juridisch gezien is dit een typisch gevalletje “portretrecht niet in opdracht”, of onder de AVG een belangenafweging-legitiem-belang (u weet het, portretrecht bestaat niet meer sinds de AVG). Inhoudelijk komt het altijd op het zelfde neer: hoe groot was het belang van het winkelcentrum om deze foto zo te mogen tonen, en hoe groot is het privacybelang van het kind waar de ouders voor verantwoordelijk zijn?

Het gaat wat ver om te zeggen dat een winkelcentrum géén belang heeft. Ook een bedrijf heeft vrijheid van meningsuiting, maar hoe meer het naar zuiver commerciële reclame neigt hoe minder dat belang mee zal wegen. Zeker in situaties als deze waarin je makkelijk even kunt vragen aan geportretteerden wat ze ervan vinden, of lokale acteurs vragen, enzovoorts.

De privacy op de openbare weg is niet heel groot, maar zeker ook niet nul. Weliswaar mag iedereen je fotograferen op de openbare weg – en zo’n winkelcentrum is openbare weg ook al is ‘ie in privé eigendom – maar de publicatie daarvan moet nog steeds door die belangenafweging heen. En zeker bij kinderen mag je meer dan normaal verwachten dat ze met rust gelaten worden.

Een interessante zijsprong is nog of fotograferen in het winkelcentrum verboden is, zie de stickers bij de deur. Dan zou ik zeggen, dan heb je een hógere privacyverwachting. En dan maakt het niet uit dat de fotograaf voor het winkelcentrum werkte; je mag je onbefotografeerd wanen na zo’n sticker en het winkelcentrum moet dan meer dan normaal waarschuwen en opvolgen.

Alles bij elkaar neig ik naar: nee, deze publicatie moet eraf want er is niet even gevraagd of het kan.

Arnoud

Het verschil tussen een cybercrimetool hebben en cybercrime plegen

Geplaatst op in Regulering, 11 reacties

Met enige regelmaat zie ik discussie en zorgen over het gebruik van tools waarmee je (ook of alleen maar) computergerelateerde misdrijven kunt plegen. Meestal gaat het dan over scanners om zwakheden in systemen op te sporen, of stresstesters waarmee je ook ddos-aanvallen kunt plegen. Het jargon is altijd heerlijk neutraal dan, en logisch want het hebben of aanbieden van tools die bestemd zijn voor misdrijven is strafbaar. En nu was er een jongen die een tool had voor het omzeilen van antivirussoftware, dus dacht het OM: die pakken we daarop, daar heb je geen verhaal op. Maar toch werd dat een vrijspraak.

De verdachte had (zoals te lezen in het arrest) virussen en andere malware geüpload naar een betaalde internetdienst, Razorscanner genaamd. Deze controleert dan je upload met alle virusscanners ter wereld – zodat jij weet of je malware daar voorbij zou komen. Zeer geruststellend voor de klant wordt tevens gemeld dat “De maker van Razorscanner garandeert dat de gegevens met betrekking tot de in het programma geüploade bestanden niet aan de makers van anti-virusproducten worden doorgegeven.” (Ik zou het hilarisch vinden als achteraf blijkt dat ze dat wel deden.)

Aanverwant is de dienst Razorcryptor, die malware kan verstoppen door het bijvoorbeeld te koppelen aan andere software. Deze dienst werd samen met Razorscanner aangeboden, op basis van pay-as-you-go met vooraf gekochte credits. De verdachte had credits gekocht, maar stelde alleen met Razorscanner te hebben gewerkt.

Het Hof begint met vaststellen wat er nu precies strafbaar is, en daar kwamen we natuurlijk voor. Artikel 139ab Strafrecht lid 2 bepaalt:

Met dezelfde straf [als computervredebreuk, lid 1] wordt gestraft hij die, met het oogmerk dat daarmee een misdrijf als bedoeld in artikel 138ab, eerste lid, 138b of 139c wordt gepleegd: a. een technisch hulpmiddel dat hoofdzakelijk geschikt gemaakt of ontworpen is tot het plegen van een zodanig misdrijf, vervaardigt, verkoopt, verwerft, invoert, verspreidt of anderszins ter beschikking stelt of voorhanden heeft, of (…)
De discussie die we meestal hebben, is of een bepaalde tool ontworpen is voor het plegen van computervredebreuk of de andere genoemde cybercrimedelicten. Een security scanner heeft ook legitieme doelen, denk aan een bedrijfsnetwerk dat je controleert op brakke byod-apparaten of een onderzoek voor je ISO certificering.

Het Hof heeft er geen moeite deze scandienst te zien als hulpmiddel voor het plegen van computervredebreuk. Je kunt nu je malware (waarmee binnendringen vaak gepleegd wordt) beter afstemmen op het omzeilen van de antivirussoftware van organisaties. Dat is dus effectieve hulp, en duidelijk enkel en alleen bestemd voor computervredebreuk. Verzin maar eens een legitieme reden waarom je zou willen dat iets een virusscanner omzeilt.

Maar het artikel kent nóg een bepaling, namelijk dat je dat hulpmiddel voorhanden hebt met het oogmerk dat daarmee computervredebreuk wordt gepleegd. Oftewel, dat je als verdachte ook echt dat misdrijf ging plegen. Enkel dat je het hulpmiddel hebt, is dus niet genoeg. Misschien had je het per abuis, misschien was je het als journalist of researcher aan het uitpluizen, of misschien was je gewoon nieuwsgierig.

Nee, dat laatste vind ik ook geen héle sterke. Maar tot mijn verbazing zag het Hof hier dat -even kort gezegd- wél aanwezig.

De verdachte heeft ter terechtzitting in hoger beroep verklaard dat hij tijdens zijn middelbareschoolperiode geïnteresseerd is geraakt in de werking van malware en de detectiemogelijkheden van anti-malwareprogramma’s. Onder andere met behulp van MSFencode verstopte de verdachte malware in bestanden en uploadde deze bestanden naar onder meer Razorscanner. Ook testte hij bestanden die hij vond op internet. …
Een concrete aanwijzing was nog dat hij dezelfde malware meerdere malen uploadde, maar nooit malware had gewijzigd nadat de scanner had gezegd dat deze wel gedetecteerd zou worden. Daarom
kan aan de inhoud van het strafdossier en de hiervoor weergegeven informatie geen bewijs worden ontleend dat de verdachte bestanden met daarin malware naar Razorscanner heeft geüpload louter met de bedoeling te vermijden dat de omstandigheid dat de daarin aanwezige malware door geen enkele of slechts een beperkt aantal anti-malwareprogramma’s detecteerbaar was, ter kennis zou worden gebracht van de producenten van dergelijke scanners.
Er is sprake van een geloofwaardige weerlegging die de verdenking ontkracht, aldus het Hof. Dit is niet alleen maar een “nee ik was gehackt” of “ik wilde alleen maar controleren of internet tegen een ddos kon”, hier is een onderbouwing gegeven die past bij de persoon en de feiten die zijn gevonden. (Wie nu denkt, ik verzin op dat moment ook wel een leuk verhaal dat past bij de feiten – de politie heeft meer feiten dan jij denkt, deelt niet alles met je en hangt je, terecht, op aan je leugens.) De verdachte gaat dus vrijuit.

Arnoud

 

Mag een werkgever op zakelijke telefoons wél installatie van de Coronamelder-app eisen?

Geplaatst op in Ondernemingsvrijheid, 74 reacties

Een lezer vroeg me:

Mag een bedrijf de Coronamelder-app verplicht installeren op zakelijke telefoons (eigendom van het bedrijf)? Heeft de OR hier nog een rol in?
Sinds kort is de Coronamelder-app beschikbaar, zij het nog niet landelijk. De bedoeling is dat hiermee mensen zich vrijwillig op de hoogte laten stellen als zij een besmettingsrisico hebben gelopen.

Vrijwillig, om draagvlak voor de notificatie te bevorderen en mensen niet het gevoel te geven dat ze verplicht gevolgd worden door de overheid. Of door private partijen, want als ik een bedrijf heb dan zou ik natuurlijk zeggen, zonder de app (en elke ochtend het “U bent nog niet besmet” symbool) mag je niet naar binnen. En dat is niet de bedoeling, al is het maar omdat een werkgever geen arts is en dus niet naar deze gegevens mag kijken.

Daarom zegt het wetsvoorstel dat er binnenkort aankomt, simpel en duidelijk:

Het is verboden een ander te verplichten tot het gebruik van de notificatieapplicatie dan wel enig ander vergelijkbaar digitaal middel.
Wie dan denkt, misschien zit hier toch een nuance in, verwijs ik graag naar de Memorie van Toelichting:
De regering kan niet genoeg benadrukken dat het niemand, werkgevers, zorgverzekeraars, onderwijsinstellingen, winkels of wie dan ook, is toegestaan het gebruik van CoronaMelder of welk vergelijkbaar digitaal hulpmiddel dan ook, direct of indirect verplicht mag stellen.
De werkgever uit de vraag heeft een leuke truc bedacht: het zijn toch zeker zijn telefoons, dan mag hij er toch apps op zetten die hij wil? En dat die app dan toevallig indirect de coronastatus van de werknemer kan onthullen, tsja ach. Maar nee, dat mag dus ook niet: “niemand .. toegestaan … direct of indirect”. Ik kan er niets anders van maken. Nee, dat mag niet.

Naast de standaardargumenten over privacy en volgen, is nog veel belangrijker dat met name werknemers ernstig gedupeerd worden door coronameldingen. Arbeidsrechtelijk is namelijk ongeregeld waar je staat als je vrijwillig thuis gaat zitten omdat de app zegt dat je mogelijk coronabesmet bent. Je bent niet ziek (tot een test zegt van wel, maar dat kan even duren) en de overheid noch je werkgever heeft je naar huis gestuurd, dus vrijgesteld van werk ben je ook niet. Dat is dus een serieus en acuut probleem als deze app afgedwongen zou gaan worden.

Arnoud

Maker bevestigt: nieuw seizoen Fortnite niet speelbaar op Apple-apparaten

Geplaatst op in Ondernemingsvrijheid, 26 reacties

Het nieuwe seizoen van het populaire battle-royalespel Fortnite gaat donderdag van start, maar zal niet speelbaar zijn op Apple-apparaten. Dat meldde Nu.nl onlangs, op gezag van ontwikkelaar Epic Games. Dit is het gevolg van een al wat langer lopend geschil tussen Epic en Apple, nadat de eerste een eigen betaalsysteem in de game-app had gebouwd, waarmee het bedrijf het afdragen van commissie in de App Store omzeilde. Dat is tegen de regels van het smartphonebedrijf, met dus als gevolg dat de app niet langer verkocht mag worden in de Store. Wat dan weer de vraag geeft: mag dat?

Het verdienmodel van Apple bij haar App Store is dat zij 30% commissie wil op alle verkopen van apps. Dat klinkt logisch: zij hebben de store gebouwd, dat kost geld en ze controleren apps ook nog eens. En die paar euro verkoopprijs, daar dertig procent van, ach ja.

Maar het gaat dus óók over in-app aankopen of abonnementen die de aanbieder van de app heeft. Niet voor niets zijn allerlei partijen (zoals Spotify) daar boos over. En dus ook Epic, dat begin augustus een eigen betaalsysteem in haar app opnam, waarbij spelers die daarmee spullen kopen korting krijgen.

Mag zo’n grote jongen als Apple dit doen? Het voelt wel érg scherp, dat je zo veel geld vraagt (dertig procent commissie is in vrijwel iedere markt een héél grote hap uit iemands omzet) en dat je als klant weinig keus hebt omdat die App Store van Apple nu eenmaal het onvermijdelijke kanaal is om je apps bij Apple-klanten te krijgen.

Het voornaamste argument voor mij is, hoe groot is Apple nu eigenlijk? Hoe belangrijk vinden we deze speler op de markt – en voor de juristen, wat is die markt nu eigenlijk. Zijn dat smartphones (dan is Apple namelijk niet zo groot), of high-end smartphones (dan zijn ze wel best groot) of misschien zelfs iPhones als superduperbijzondere eigen markt? Ik zit er mee, want ik heb het gevoel dat mensen iPhones niet zien als gewoon een keuze voor een merk, zoals je wel wisselt tussen leveranciers van Android-smartphones.

Arnoud

Mag een tracking cookie van de AVG als je het “gerechtvaardigd belang” noemt?

Geplaatst op in Ondernemingsvrijheid, Privacy, 8 reacties

Een lezer vroeg me:

Sinds een tijdje valt het me op dat er steeds meer cookie-popups zijn die schermen met de term “gerechtvaardigd belang” als reden waarom ze cookies mogen plaatsen. Ook tracking cookies, terwijl dat toch gewoon onder toestemming valt volgens de AVG? Waar komt die term vandaan en hoezo is het niet misleidend om jouw commerciële belang op voorhand “gerechtvaardigd” te noemen?
Die term is inderdaad wat misleidend, zeker gezien hoe mensen de term nu gebruiken namelijk als schaamlap voor alles dat ze maar willen. Maar ‘gerechtvaardigd’ betekent niet dat jij het goed moet vinden, het betekent dat het binnen de wet past, van de wet te rechtvaardigen is.

In de kern komt het erop neer dat er situaties zijn waarin jij ook gewoon een belang hebt, bijvoorbeeld de bescherming van jouw eigendom (een grondrecht, immers). Dat belang moet je dan kunnen beschermen, zoals door cameratoezicht. De AVG zegt dan dat dat mag, mits je maar zo veel mogelijk de privacy van passanten beschermt.

Daar zit dan een hele belangenafweging in, inclusief zo mogelijk een opt-out op basis van persoonlijke omstandigheden. Maar in de kern zegt de AVG dus dat het mag, “in principe” zoals de AVG dat noemt.

Het lastige is natuurlijk wanneer een belang “gerechtvaardigd” is. De AVG gaat daar niet op in, en er is ook geen jurisprudentie hierover van het Hof van Justitie. Onze eigen Autoriteit Persoonsgegevens publiceerde in haar normuitleg hier wel een formulering over:

[Gerechtvaardigd] houdt in dat die belangen in (algemene) wetgeving of elders in het recht zijn benoemd als een rechtsbelang. Een belang dat ook in rechte beschermd wordt, dat beschermingswaardig wordt geacht en dat in beginsel gerespecteerd moet worden en ‘afgedwongen’ kan worden.
De insteek is dus dat een belang ergens te herleiden moet zijn tot de wet, zoals in mijn voorbeeld van het eigendomsrecht dat ik wil beschermen. Een ander belang zou kunnen zijn dat ik een rechtsvordering wil instellen tegen jou, omdat jij mijn schadeclaim niet betaalt. Daarvoor heb ik jouw persoonsgegevens nodig, en dat zou ik dan onder deze grondslag kunnen doen.

Bij al die cookiedingen wordt er geschermd met “direct marketing” als gerechtvaardigd belang, omdat de AVG dat expliciet noemt als een voorbeeld. Daar zet de AP tegenover:

Wat ook niet als een gerechtvaardigd belang kwalificeert, is bijvoorbeeld: het enkel dienen van zuiver commerciële belangen, winstmaximalisatie, het zonder gerechtvaardigd belang volgen van het gedrag van werknemers of het (koop)gedrag van (potentiële) klanten, etc
Over wat een “zuiver commercieel belang” is, heb ik het eerder gehad. Ik las dat als dat je “ik wil geld verdienen anders ga ik failliet” niet als belang mag opvoeren, maar de AP lijkt het te interpreteren als “iedere motivatie waarin ‘ik wil geld verdienen’ staat, is ongeldig”. Dat gaat wel héél ver, met name omdat grondrechten wél als gerechtvaardigd belang kunnen dienen en de vrijheid van ondernemerschap een grondrecht is. Net als de vrijheid van meningsuiting; als ik jouw privacy mag schenden door iets te publiceren, waarom dan niet door jou te tracken?

Specifiek bij cookies werkt dit trouwens bijna nooit. De Telecommunicatiewet eist toestemming voor ieder plaatsen of uitlezen van informatie, ongeacht wat de AVG eventueel zegt over de persoonsgegevens-aspecten van die informatie. Dus een cookie plaatsen of een remote software update uitvoeren mag alleen met toestemming.

De Nederlandse uitzondering daarop is dat cookies die geen of geringe privacy-inbreuk maken, géén toestemming nodig hebben. Daarmee kun je dus bijvoorbeeld third-party analytics inzetten, hoewel daar tracking cookies bij komen kijken. Als je dat goed dichttimmert, dan is dat legaal zonder toestemming – en dán kun je je dus op gerechtvaardigd belang beroepen. Ik zou dus zeggen vrijheid van informatiegaring – weten hoe je site bezocht wordt.

Arnoud

Mag een online winkel je een virtueel winkelverbod geven als je te vaak retourneert?

Geplaatst op in Ondernemingsvrijheid, 37 reacties

Een lezer vroeg me:

Amazon komt soms in het nieuws omdat ze klanten verbannen als ze te veel terug sturen.  Nu vroeg ik me af, kan dit eigenlijk ook in Nederland gebeuren? Ik ken alleen het winkelverbod dat kan worden opgelegd als er daadwerkelijk een strafbaar feit is gepleegd. Maar retourneren onder de Wet koop op afstand is gewoon een recht. Hoe kijk jij hier tegenaan?
Dit onderwerp speelde een jaar of acht geleden, maar recent heb ik er eigenlijk niets meer over gehoord. Ik heb de indruk dat de meeste webwinkels er goed mee om kunnen gaan. Ik las een tijdje terug dat webwinkels vaker de retour kwijtschelden, omdat ze het risico al in de prijs verdisconteerd hebben.

Wie zich zorgen maakt over excessieve retouren, kan simpelweg de kosten van het retourneren bij de klant leggen. Dat is vaak al meer dan genoeg. Natuurlijk kun je als winkel meer schade lijden, door bijvoorbeeld verbroken verpakkingen of niet meer verkoopbare goederen. De kosten daarvan kun je van de prijs aftrekken als je die restitueert. Maar een retour weigeren, dat kan niet. Ook niet als je op je producten zet wanneer je gaat weigeren.

In theorie kan het, klanten weigeren die je te veel gedoe geven. Ook als dat gedoe gebaseerd is op legaal handelen, zoals het vanuit je wettelijk recht retourneren van een bestelling. Als gewone private onderneming staat het je vrij om mensen te weigeren (behalve natuurlijk op de bekende discriminerende gronden). “Ik vind het niet leuk dat u steeds bestelt en retourneert, dus vanaf nu neem ik geen bestellingen meer van u aan” is een prima argument. De klant kan niet eisen dat hij bij jou kan bestellen. Mogelijk ligt dat anders als je niveau Amazon bent én de producten nergens anders te krijgen bent, maar dat is in Nederland zelden aan de orde.

Praktisch gezien is het nog best lastig. Je moet dat namelijk zeggen vóórdat je de volgende bestelling aanneemt. Je kunt niet een gedane bestelling annuleren met die tekst, daarvoor ben je dan gewoon te laat. En bij webwinkels is het moeilijk om klanten te herkennen voordat ze een bestelling doen. Je zou dan ongeveer op het bestelformulier de adressen snel moeten scannen tegen je zwarte lijst en dan een foutmelding geven vóórdat men de knop “Bestelling met betaalplicht” indrukt.

Als je klanten een account laat maken, dan is het iets makkelijker omdat je dan het account kunt blokkeren en daarmee de dienstverlening van het regelmatig mogen bestellen opzegt. Maar ook dan: dat mag dan alleen gelden voor bestellingen die geplaatst worden nádat het verbod is aangezegd. En nee, die flauwe truc “uw bestelling is een uitnodiging en pas definitief als wij hem accepteren” gaat niet werken.

In beide gevallen geldt wel, het moet in je algemene voorwaarden staan en in je privacyverklaring toegelicht zijn wanneer en waarom je tot deze harde maatregel overgaat. Daarbij vind ik dat “als naar ons oordeel Klant excessief retourneert” een te magere bepaling is, juist omdat het een wettelijk recht is, je als klant de producten niet kunt beproeven én je al het middel hebt van retourverzendkosten bij de klant laten.

Arnoud

 

Mag YouTube video’s blokkeren die Covid-19-middel aanprijzen?

Geplaatst op in Uitingsvrijheid, 46 reacties

Hoever mag YouTube gaan in zijn strijd tegen misinformatie over corona, zo vroeg NRC zich onlangs af. En staat het verwijderen van video’s die niet aan de huisregels voldoen een open maatschappelijk debat over het coronabeleid van de overheid en het RIVM in de weg? Interviewer Ab Gietelink en huisarts Rob Elens hebben een kort geding tegen YouTube aangespannen omdat de videoreus video’s van de twee had verwijderd omdat ze in strijd zijn met de huisregels omtrent coronamisinformatie. De video’s prijzen het omstreden hydroxychloroquine aan als Covid-19-medicijn. Daar klinkt dus het verwijt van ‘censuur’, en hoewel ik liever wacht op het vonnis om de inhoudelijke kwestie te bespreken, toch alvast even over dat punt.

Op het moment dat iemand zegt dat er online censuur wordt gepleegd, krijg je altijd een tegenreactie dat dat niet kan – alleen de overheid pleegt censuur. Formeel klopt dat. De term censuur betekent in het juridisch jargon dat de overheid voorafgaand toezicht uitoefent op uitingen, oftewel je mag pas iets publiceren na goedkeuring. Ingrijpen achteraf (bijvoorbeeld strafrechtelijk vervolgen voor smaad) is dus geen censuur.

Een private partij kan in die definitie geen censuur plegen, om de simpele regel dat ze geen overheid is. En dat is ook wel logisch: hoezo kan een private partij eisen dat ik mijn uitingen voorafgaand aan hem voorleg? Ja, als we dat zo afgesproken hebben – denk aan werkgevers of opdrachtgevers die zoiets eisen. Maar als je dat zelf afspreekt, dan is het wat raar om vervolgens te klagen dat je privaat gecensureerd wordt.

Bij partijen als Youtube wreekt zich het feit dat zij wel private partijen zijn, maar zo machtig dat ze eigenlijk als een soort van overheid te zien zijn. Je kunt nauwelijks om ze heen. Ja, in theorie heb je andere sites, maar noem er eens twee waar jij regelmatig kijkt? Dailymotion hoor ik, ja op Vimeo staan ook films, maar hoe vaak kijkt men daar nou echt?

Ik begrijp dus wel dat mensen zeggen dat het voelt als censuur, zo’n grote partij die eigenlijk overkomt als overheid en die dan zegt “deze onderwerpen mag je niet meer bespreken”. Ik ben ooit afgestudeerd op de stelling dat als een partij zó groot is dat er effectief geen alternatieve platforms zijn (zeg maar, het marktplein versus het industrieterrein als enige twee opties voor demonstraties) dat die grote partij dan onder dezelfde regels als de overheid moet vallen.

Dat zou betekenen dat deze partij geen inhoudelijk beleid meer mag voeren over wat zij toelaat. Ik twijfel of Youtube daar is – het gaat niet perse om het publiceren van video, en er zijn ook grote platforms zoals Facebook of Instagram waar je terecht kunt om een minstens zo grote doelgroep te bereiken.

(NB iedere discussie over hydroxychloroquine, het RIVM- of overheidsbeleid en aanverwanten is off-topic. Discussie of de voorgaande zin censuur is, is wel toegestaan.)

Arnoud

Kan ik mijn data van de laptop van mijn opdrachtgever laten wissen?

Geplaatst op in Ondernemingsvrijheid, 18 reacties

Een lezer vroeg me:

Ik werk als zzp’er voor een verzekeraar. Tijdens mijn klus (waarbij ik een hoop gegevens moest verzamelen en verwerken) ging mijn laptop stuk, en vanwege de deadline kreeg ik toen een laptop van de opdrachtgever te leen. Daarop mocht ik ook privédata opslaan, dit staat expliciet in de leenovereenkomst. Echter, daarna ontstond ruzie en werd de overeenkomst opgezegd, waarna men van op afstand de laptop vergrendelde!  Nu kan ik niet meer bij de privédata die ik daar mocht opslaan. Bovendien ontdekte ik daarna dat men bepaalde resultaten toch ging gebruiken (ik zie ze terug in publicaties). Mag dat zomaar?
Het is nogal cru, maar ik zou zeggen dat een opdrachtgever inderdaad gerechtigd is de geleende laptop op te eisen als de opdracht ineens eindigt. Dat men deze nu op afstand vergrendelt, is het cyber-equivalent daarvan. Dat je de laptop voor privédoeleinden mocht gebruiken, impliceert voor mij nog niet dat je ook recht had op toegang tot de data na einde opdracht. Zoiets moet expliciet in de overeenkomst opgenomen zijn.

Los daarvan mag de opdrachtgever natuurlijk niet zomaar die data gebruiken, dat mag pas als uit de overeenkomst blijkt dat deze bruikbaar is. Zonder overeenkomst is hij niet bevoegd daarmee te werken. Zeker omdat op die data een databankrecht rust (mag u van me aannemen). Ik zou hem sommeren de data te vernietigen.

Het maakt natuurlijk nogal uit wat de reden is voor de ruzie. Als dat bijvoorbeeld gaat over dat er te veel is gefactureerd, dan zie ik wel hoe de opdrachtgever zou denken dat hij de resultaten mag gebruiken. Maar als de klacht is dat er prutswerk is geleverd, dan is het natuurlijk onzin om vervolgens wél met die data verder te werken.

Arnoud

Man van 22 is schuldig aan uitvoeren van ddos-aanvallen, maar krijgt geen straf

Geplaatst op in Regulering, Security, 14 reacties

Een man van 22 uit Scheemda is schuldig bevonden aan het uitvoeren van twee ddos-aanvallen op vrienden, las ik bij Tweakers. Hij krijgt daarvoor geen straf opgelegd. Het OM verdenkt hem van het uitvoeren van 76 aanvallen, maar de rechter acht dat slechts van twee bewezen. En gezien de beperkte schade van die twee, dat het feit in 2017 is begaan en het blanco strafblad tot dan toe is straf niet meer nodig. Opmerkelijk detail: meneer deed mee aan het Hack Right programma (een alternatief straftraject) maar rondde het niet af omdat hij daarvoor had moeten bekennen.

Het doet voor mensen gek aan dat iemand schuldig is aan een strafbaar feit (hier zelfs een misdrijf) maar desondanks geen straf krijgt. Maar dat kan: als de rechter geen reden ziet om straf op te leggen, dan hoeft dat natuurlijk niet. Zou de dader hier een beter mens van worden, of zou de maatschappij er beter van worden? Zo niet, dan is het verspilling van middelen.

In de comments zie ik nog de nodige discussie over dat HackRight programma. Dit is een speciaal programma om jonge hackers (men bedoelt: cybercriminelen) weer op het rechte pad te krijgen:

HackRight kan als alternatief voor een straf maar ook als onderdeel van of náást een straf opgelegd worden. Alleen jongeren die bekennen, geen zeer ernstige vormen van hacking hebben gepleegd en bereid zijn zich op een positieve manier te ontwikkelen, komen ervoor in aanmerking. Bovendien moet het om een eerste cyberdelict gaan. ‘Want dan is de kans dat ze hun gedrag veranderen het grootst’, licht Martijn Egberts toe. ‘Hack_Right bestaat uit vier modules, die je kunt zien als vier puzzelstukjes: herstel, training, alternatief en coaching. Elke module voegt iets toe aan de gedragsverandering van de jongeren.’
De term straftraject is wat verwarrend. Straf legt alleen de rechter op, en hier gaat het om een transactie, een schikking die je als verdachte met het OM afspreekt. Dat kan, maar betekent niet dat je veroordeeld bent. De rechter kan je niet veroordelen tot bijwonen van Hack Right, om de eenvoudige redenen dat dit niet in het wetboek van strafrecht als straf staat (artikel 9 Wetboek van Strafrecht).

Dat gezegd hebbende, je krijgt wel een strafblad als je hieraan meedoet want een OM-schikking of transactie wordt daarop vermeld. Dus als je als jongere in deze situatie zit, áltijd eerst met een advocaat overleggen.

Arnoud