Als je een legal tech kantoor wilt hebben, moet je klein beginnen #legaltechtuesday

Geplaatst op in Innovatie, 4 reacties

De grootste fout die softwareontwikkelaars maken: versie 3.  Dat is namelijk de versie waarbij men besluit de oude rommel eens weg te gooien en hélemaal opnieuw te beginnen. Lekker een schone lei, al die rare dingen het raam uit en een mooie, strakke set code. Dat kost alleen ontzettend veel tijd en je gaat alle oude fouten nog eens tegenkomen. Die oude code was namelijk zo raar en rommelig omdat er ontzettend veel fouten mee ondervangen moesten worden. Ditzelfde fenomeen zie je wanneer organisaties besluiten tools zoals legal tech software in te zetten. Laten we alles opnieuw invullen, de hele workflow aanpakken en alles netjes opnieuw neerzetten. Dat werkt dus net zo min.

Legal tech is software die een juridisch proces ondersteunt – maar meestal het proces op een nieuwe manier invult. De neiging van software is om groter en groter te worden (“totdat het ook kan e-mailen”, was ooit het mantra) en dat betekent dat je als klant dus een enorme verandering over je heen krijgt wanneer je zulke software inzet.

En vooral: je krijgt dan dus een enorme organisatieverandering wanneer je zulke software inzet. Zie mijn column van vorige maand: legal tech is een cultuurverandering. Hoe groter die is, hoe lastiger het is om die met succes door te voeren. Want je krijgt meer weerstand, en sowieso moet je meer moeite doen om iedereen al die veranderingen te laten doen. Dat verkleint serieus je kansen op succes.

Ik spreek ondertussen best veel mensen over legal tech (en krijg in de mail ook vele vertrouwelijke oorlogsverhalen, blijf ze sturen meiden&jongens), en de teneur is inderdaad vaak dat er een groot en glimmend ding naar binnen gereden wordt, mensen in frisse polo’s flitsende demo’s laten zien en de directie dan zegt “en vanaf nu alles hiermee”. Om vervolgens mensen aan te spreken op declarabele uren en niet te meten hoe vaak er met de nieuwe tool wordt gewerkt. Ja, vind je het gek.

En het grappige is, er is juist al héél veel winst te halen uit kleine stapjes. Zo veel laaghangend fruit, in het Engelse jargon, dat je kunt plukken. Zet een documentgenerator naast je oude set met templates. Voeg een knopje toe aan Word waarmee je jurisprudentie snel kunt opzoeken. gebruik tools die een specifieke klus versnellen, enzovoorts. Zo leren mensen proeven van dit soort vernieuwingen, en dat smaakt naar meer.

Arnoud

Moeten mensen bij een horecareservering hun contactgegevens opgeven?

Geplaatst op in Informatiemaatschappij, 24 reacties

Een lezer vroeg me:

Vanwege de coronacrisis is het bij restaurants, pretparken en dergelijke verplicht om je naam en/of adres op te geven. Geldt daarvoor ook de AVG en wat moeten ze je hierover informeren? En mogen die gegevens voor marketing worden gebruikt?

Als hygiënemaatregel geldt inderdaad sinds kort dat men verplicht is vooraf te reserveren (en dat een gezondheidscheck plaats moet vinden). Althans bij grotere zalen of ruimtes waar 100 man of meer kan zitten. Kleine cafés hoeven dus niet met reservering te werken.

De meeste bedrijven kiezen voor online reserveren, en de bouwers van zulke sites kiezen dan voor de standaard aanpak waarbij mensen naam en contactgegevens opgeven. Dat is immers hoe het altijd ging. Je zou ook per reservering een random getal kunnen genereren dat mensen kunnen noemen; mogelijk doet men dit niet omdat klanten die getallen kwijtraken.

Maar je valt inderdaad onder de AVG als je mensen laat reserveren. Dat het wettelijk verplicht is, maakt dat niet anders. Dat betekent alleen dat je in je privacyverklaring aangeeft dat je het vraagt omdát het wettelijk verplicht is.

Alleen: het ís niet verplicht om contactgegevens te vragen. De noodverordening eist alleen dat plekken op reservering worden uitgegeven, niet dat je weet hoe die personen heten of hoe je ze kunt benaderen. Ja, de minister wil die gegevens daarvoor gebruiken maar dat kan alleen met aparte toestemming.

Als je dus contactgegevens vraagt bij een reservering, dan moet je uitleggen waarom je die nodig hebt. Dus niet “om uw reservering te beheren” maar concreet, wat doe je met die naam en met dat mailadres? Bevestig je het daarmee (en gaat het mailadres dus daarna weg) of kan men daarmee inloggen en annuleren? Stuur je informatie naar het 06-nummer dat je vroeg? Hoe lang bewaar je die gegevens, hoe krijgt men inzage en wanneer gooi je ze weg?

Er mag veel, maar je moet het wel aangeven. Ook direct marketing op die gegevens is toegestaan, maar daar moet je wel een opt-out bij aanbieden (op het reserveringsformulier dus, niet in de privacyverklaring) en je moet in de privacyverklaring uitleggen wat je ermee doet.

Maar let wel: als je zegt dat het wettelijk verplicht is om die gegevens te verstrekken, dan hang je. Dat is niet zo, en dan verwerk je ze onrechtmatig (want je gebruikt de verkeerde grondslag). En dan mag je niet zeggen “oh ja ik bedoelde uitvoering overeenkomst” of “het was stilzwijgende toestemming”.

Waarom werkt niemand eigenlijk met iets anders dan naam en contactgegevens bij reserveren?

Arnoud

Zit het auteursrecht in de weg als je iemands theorie wilt uitleggen in je cursus?

Geplaatst op in Intellectuele rechten, 9 reacties

Een lezer vroeg me:

Ik ontwikkel cursussen die ik commercieel als e-learning verkoop. Daarin leer ik mensen over bijvoorbeeld de piramide van Maslow, maar ik moet dan natuurlijk de nodige tekst en visuals overnemen uit de bron(nen) die ik gebruik. Loop ik dan tegen auteursrechten aan en maakt het uit dat ik de cursussen verkoop?

Citaatrecht geldt ook bij commerciële publicaties zoals cursussen. Er is dus in principe geen probleem, want als je in een cursus wilt uitleggen hoe een theorie, model of iets dergelijks in elkaar zit dan kan dat binnen het citaatrecht. Je moet dan niet meer dan nodig overnemen uit de bron, en je moet de bron noemen natuurlijk.

Dat “niet meer dan nodig” betekent concreet vooral dat je zo veel mogelijk je eigen woorden gebruikt, en alleen een stukje tekst of afbeelding als je echt niet anders kan. Bijvoorbeeld de kernzin van wat iemands theorie inhoudt, de autoritaire formulering waar je niet omheen kunt of een superduidelijk stukje dat je niet kunt missen.

Eigenlijk is auteursrecht ongeveer hetzelfde als wetenschappelijk citeren. Ook daar leen je soms werk van anderen, maar door de bron te noemen en te erkennen is dat verder geen probleem. Ik vind deze uitleg van de RUG een mooie samenvatting van hoe je citeert en vooral wanneer je parafraseert in plaats van te citeren. Zeker bij figuren en andere visuals zou ik altijd zeggen: maak je eigen. Niet alleen verminder je dan de auteursrechtelijke problemen, het staat ook gewoon mooier want je kunt het in jouw huisstijl doen en de nadruk leggen waar jij die nodig hebt.

Bij sommige methodes en protocollen kun je tegen merkrechten aanlopen. In de hoek van de zelfhulpmethodes zijn nogal wat namen als merk vastgelegd, en als jij die methode dan gaat uitleggen onder het noemen van die naam, dan kun je daar tegenaan lopen. Het kan wel, zolang je maar duidelijk aangeeft dat jij die methode uitlegt en dat die als merk bekend staat. Ga je zelf “onafhankelijke cursussen” in dat gedachtengoed aanbieden, dan kun je de merknaam niet noemen.

Arnoud

Hoe problematisch is de CLOUD Act nu echt?

Geplaatst op in Ondernemingsvrijheid, 26 reacties

Een hoop ophef en vraagtekens vorige week over het einde van Privacy Shield. Een belangrijke zorg was weggelegd voor de Cloud Act, want daarmee zouden Amerikaanse overheden ook toegang tot Europese data alhier kunnen vorderen. Daarmee zou de standaard oplossing – blijf in een Europees datacenter bij een Europees bedrijf – ook gevaar lopen. Hoe ver reikt die wet nu eigenlijk?

De Cloud Act is er gekomen naar aanleiding van een rechtszaak tussen Microsoft en de FBI over afgifte van data bij een Europese dochter van het Office-cloudbedrijf. Kort en goed zegt die wet, niet zeuren maar doen. Afgeven die hap, ook als die in het buitenland staat. Letterlijk (paragraaf 2713):

Electronic communication service providers and remote computing service providers must comply with the obligations of [this Act] to preserve, backup, or disclose the contents of a wire or electronic communication and any record or other information pertaining to a customer or subscriber within such provider’s possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States.

Zo’n bevel kan aan Microsoft in Redmond, Washington worden gegeven. Die zou dan haar Europese dochter kunnen opdragen die gegevens door te geven, aldus deze wet.

Maar dat kan eigenlijk niet, want binnen de regels voor concerns kán een moeder niet direct bevelen wat een dochterbedrijf moet doen. Aandelen geven wel zeggenschap, maar geen bestuursbevoegdheid. Je moet dus het bestuur overtuigen, en dat kan eigenlijk alleen door te zeggen dat je het bestuur eruit gooit als ze niet doen wat je zegt. Dat zou nogal opvallen, en als in de statuten van die dochter ook nog vervelende dingen staan dan wordt dit helemaal een heilloze route.

Bovendien is er artikel 48 AVG:

Elke rechterlijke uitspraak en elk besluit van een administratieve autoriteit van een derde land op grond waarvan een verwerkingsverantwoordelijke of een verwerker persoonsgegevens moet doorgeven of verstrekken, mag alleen op enigerlei wijze worden erkend of afdwingbaar zijn indien zij gebaseerd zijn op een internationale overeenkomst, zoals een verdrag inzake wederzijdse rechtsbijstand, tussen het verzoekende derde landen en de Unie of een lidstaat, onverminderd andere gronden voor doorgifte uit hoofde van dit hoofdstuk.

Een bevel onder de CLOUD Act voldoet niet aan de eisen van dit artikel. De Europese dochter moet dit dus naast zich neerleggen, op straffe van hoge boetes (in theorie 20 miljoen Euro, art. 48 jo. 83 lid 5 AVG).

En meer algemeen vraag ik me dus al tijden af, hoe gaat dit überhaupt werken, dat vanuit Amerika opvorderen van persoonsgegevens? Moet de Ierse dochter van Microsoft dan een achterdeur inbouwen, komt er een bevel tegen de Ierse directie en zo ja hoe gaan ze dat dan afdwingen? Er zijn immers geen verdragen over wederzijds erkennen van zulke inzagebevelen. Dat is waar we al heel lang rechtshulpverzoeken voor hebben immers.

Ik zie hoe er een risico is als je data in de VS hebt staan, want dan kan men erbij en dat mag dan dus. Maar als je data hier staat en de beherend entiteit is Europees (ook al is de moedermaatschappij Amerikaans) dan zie ik gewoon niet hoe in de praktijk die data naar de VS zou gaan als de FBI dat zou willen.

Arnoud

Ik krijg zo’n jeuk van dat “iedereen zet toch alles al op Facebook”-kulargument tegen privacy

Geplaatst op in Informatiemaatschappij, 19 reacties

Toen tijdens een van de persconferenties minister Hugo de Jonge (Volksgezondheid, CDA) alleen al het voornemen van een corona-app uitsprak, haalde men bijna collectief de neus op. Zo karakteriseerde Rosanne Hertzberger de ophef over de corona-app in een recente column in NRC. Zo raar he mensen, iedereen zet alles op Facebook maar als de overheid een snippertje data van je wil dan schieten we in de heiligste verontwaardiging en wordt 1984 bij stapels verbrand. Of zoiets. En man wat krijg ik een jeuk van dát kulargument. Maar in plaats van in een dikke factfree tirade te schieten, dacht ik ik duik eens in de literatuur of er ooit onderzoek naar gedaan is. En dat is er dus.

Met enige speurwerk vond ik het proefschrift van Joris Demmers, die in 2018 doctor werd op de vraag hoe en waarom consumenten hun data delen met bedrijven. Hij bekeek het vanuit het perspectief van marketing: hoe je consumenten verleidt om wél gegevens te geven. Daarbij speelt mee dat mensen wel degelijk de privacyzorgen kennen, en dat die zeker ook meewegen op het moment dat men een beslissing maakt (zoals iets posten of gegevens verstrekken). Het is dus niet zo dat men zich niet bewust is van de risico’s, of dat mensen het prima vinden om als een datapunt verhandeld te worden. De “privacy bestaat niet, get over it”-club is een hele kleine.

Het punt is dat privacyzorgen abstract zijn, terwijl wat daar tegenover staat juist concreet is: ik wil nu dat spelletje spelen, ik wil dit product hebben en ik wil graag reageren op die stelling. Het is een bekend fenomeen dat mensen abstracte risico’s als minder ernstig zien wanneer er concrete voordelen tegenover staan. Zo zal Hertzberger vast weten dat alcohol slecht voor je is, maar als er concreet een mooi wijntje op tafel komt bij het diner dan zal zij zoals de meeste mensen toch dat glas nemen. (Doe ik ook hoor.) Dat is dan concreet en fijn, en het abstracte risico van leverkwalen en ander drankgerelateerde ongein dat zakt dan weg. Maar hoe maak je die afweging?

Demmers laat in zijn onderzoek zien (p. 66-68) dat daarbij van belang is hoe dichtbij de kosten en de baten staan. Als de baten zeer dichtbij zijn, zeer concreet – nú snel inloggen – en de kosten zeer abstract en ver weg – Google weet nu iets meer van je – dan zullen de baten de doorslag geven. Dan ga je dus via Google inloggen. Zijn de kosten dichterbij – een autoverzekeraar wil je rijgedrag in detail hebben, elke rit – en de baten wat verder weg – je premie gaat 10% omlaag – dan laten mensen zich leiden door de kosten, de risico’s. Die verzekering neem je dus niet.

Demmers:

We showed that consumers hold relatively high-level, abstract mindsets in attitudinal privacy preference contexts, whereas they hold more concrete, low-level mindsets in behavioral contexts, which is in line with the idea to which an event is directly experienced determines the way it is mentally processed (Wakslak, 2007). In disclosure situations that are characterized by the common configuration of psychologically close benefits versus distant costs of disclosure, these diverging mindsets cause people to focus on the psychologically close benefits in behavioral privacy preference contexts, but on the psychologically distant, more abstractly construed costs in attitudinal contexts.

Een argument dat zegt “mensen plaatsen alles op Facebook dus moeten ze niet zeuren over een overheids-app” slaat de plank dus mis omdat het twee onvergelijkbare situaties betreft. Bij Facebook zijn de risico’s abstract en lastig inzichtelijk, en zijn de baten er direct en concreet. Het is léuk om iets op Facebook te zetten, met vrienden te interacteren en spelletjes te spelen. En concreter dan “dan krijg je meer reclame op maat” wordt het niet, qua kosten-analyse. Dus ik zie wel hoe men dan uitkomt bij gewoon doorgaan met Facebook. (Nog even los van dingen als het netwerkeffect of FOMO).

Terwijl bij zo’n overheidsapp de baten zeer abstract zijn maar de kosten reëel: je wordt ieder moment gevolgd, de overheid kijkt mee. Dat maakt dat de afweging dus heel begrijpelijk zeer anders uitvalt. Dus nee, het slaat nergens op om dit te zeggen – je vergelijkt appels met peren.

Arnoud

De adoptie van legal tech gaat de advocatuur gewoon bypassen #legaltechtuesday

Geplaatst op in Innovatie, 7 reacties

Jaja, het coronavirus zou de grote transformatie in legal tech land met zich meebrengen. Maar om heel eerlijk te zijn heb ik het idee dat dat toch wat rustiger gaat nu het lijkt (nadruk op lijkt) alsof die crisis aan het overwaaien is. Wat ik ondertussen wel heel grappig vind om te merken, is dat er wél steeds meer vraag en aandacht voor legal tech oplossingen komen vanuit andere dienstverleners. Ik heb dat al eerder geroepen, maar ik zie nu meer bevestiging: door legal tech kunnen andere beroepsgroepen meer van het juridische erbij gaan doen, want dat versterkt hún eigen dienstverlening. Oh en ze zullen goedkoper zijn voor dat juridische.

Bij Artificial Lawyer las ik over de lancering van de “Legal Business Services” groep van Deloitte, een van de Big 4 accountantskantoren. Dat gaf veel ach en wee in Amerika, als zo’n grote jongen met een bak met geld juridische diensten gaat verrichten dan is dat het einde van de advocatuur. Net zoals advocaten wel konden inpakken toen we rechtsbijstandsverzekeraars kregen. Niet dus. (En de grap is dat Deloitte in de meeste staten helemaal geen juridisch advies mág geven want adviesmonopolie.)

Het signaal is wel een mooie, want van een accountantskantoor zou je niet direct juridisch advieswerk zoals contracten verwachten. Maar het kan natuurlijk wel, en als je anno 2020 een nieuwe dienst in die niche opzet waarom zou je dat dan niet met legal tech doen? Dan ben je sneller, effectiever en met minder mensen klaar dan de traditionele dienstverleners.

In Nederland geldt geen adviesmonopolie voor advocaten, iedereen mag juridische diensten verlenen. Alleen procederen is gedeeltelijk een afgeschermde markt. Dus als je als boekhouder, accountant, coach of welk beroep dan ook juridische diensten erbij wil doen, dan kan dat. En met legal tech kan dat vaak ook nog goedkoop én op het niveau van een advocaat of jurist. Dat zijn immers gewoon de documenten of kennis die je erbij koopt.

En omdat je het goedkoop inkoopt, kun je het goedkoop wegzetten als je wilt. Ik zie daarbij vooral interesse in het gratis (of bijna gratis) weggeven van de dienst. Als lokkertje, als upsell, als complimentje, hoe je het maar wil noemen. Waar het om gaat, is dat je jouw klanten wat extra’s kunt bieden dat de concurrent niet heeft. Daar hoef je niet perse geld voor te vragen, dat geld verdien je met wat je core business is.

Een bijeffect van die strategie is dat de prijs van juridisch advies omlaag gaat. Dat noemen we commodificatie, een term die ik al vaker heb laten vallen bij juridische dienstverlening. Goedkoop, standaard en simpel. En laat dat nou precies zijn waar computers goed in zijn. Ik ben heel benieuwd!

Arnoud

Deze startup kreeg zo veel haat op haar privacypolicy dat ze hem aanpaste, advocaten staan versteld

Geplaatst op in Privacy, 6 reacties

Als Ars Technica clickbaitkoppen mag doen, mag ik het ook. “Ars readers hated this startup’s privacy policy—so the company changed it”, meldde men onlangs. De Amerikaanse technieuwssite had zoekmachine Neeva gereviewd, maar de reacties van lezers gingen massaal en zeer negatief los op de privacypolicy van het bedrijf. Tot veler verrassing leidde dat tot daadwerkelijke verandering: CEO Sridhar Ramaswamy liet de policy aanpassen. Een lesje in hoe het wel moet.

Hoe kon dit nou gebeuren? Nou ja, de bedoelingen waren natuurlijk goed maar ja toen gingen de juristen moeilijk doen:

Ramaswamy told Ars that the company’s intention was to provide a secure and privacy-respecting platform from the start. But, he added—and we’re paraphrasing here—”lawyers will be lawyers,” and it was “on him” that he had not inspected the policies drafted by the company’s legal counsel closely enough.

En ja, ik herken dat: heel veel ondernemers denken dat als een jurist of advocaat iets opstelt, het wel zo zal moeten van de wet dus dan nemen we het maar over. Of de tekst is zó lang, dicht en onnavolgbaar dat men het van pure ellende maar online zet. (Als je klant tegen je zegt “Fantastische tekst, ik heb er geen woord aan veranderd en hij gaat meteen online” dan bedoelt hij “Ik kom er niét doorheen dus het zal wel.” Ik heb drie klanten die nog steeds een “wie dit leest krijgt een fles champagne”-clausule in hun algemene voorwaarden hebben.)

Wat ging er nu mis? Neeva presenteert zichzelf als een privacyvriendelijke zoekmachine, waarbij je betaalt voor de dienst. En dat is een mooie insteek voor een nichedienst, alleen moet je dan wel extra goed nadenken hoe je in je privacyverklaring dingen uitlegt. Dit werkt bijvoorbeeld niet:

We have not sold consumers’ personal information in the preceding 12 months.

Ik begrijp dat dit bedoeld was als een kanarie – zodra men wel data zou gaan verkopen, was dit statement een leugen en dan kun je ze daarop ‘pakken’. Maar dat werkte niet: mensen dachten dat Neeva dus alleen maar 12 maanden hoefde te wachten en dan commercieel los kon gaan. Dat is dus nu gewoon “We do not and never have sold consumers’ personal information”.

Wat ook niet hielp, was een generiek statement dat men informatie kon delen met affiliated companies. Er stond niet bij wat dat waren – zuster en dochterbedrijven? Zakenpartners? Bedrijven die tegen vergoeding klanten aanbrengen? Dus dat gaf enige ophef, met name omdat er niets stond over waarborgen of beperkingen.

Ook niet fijn:

we store the personal information we receive as described in this Privacy Policy for as long as you use our Services or as necessary to fulfill the purposes for which it was collected… [including pursuit of] legitimate business purposes.

Dat kan dus wel héél ver oplopen als je een paar jaar de dienst gebruikt, en wat zijn legitieme bedrijfsbelangen? Plus, in de advertenties stond dat men alles maximaal 90 dagen zou bewaren, dus wat is er nou waar? Dit werd dus meteen aangepast: automatisch verzamelde data (zoals zoekgeschiedenis) weg na 90 dagen, en alleen informatie die langer nodig is voor de dienst (zoals profielinformatie) bewaard zo lang de dienst afgenomen wordt.

Wat ging hier nou mis? Mijn vermoeden is dat men ‘gewoon’ ergens een privacy policy bestelde, en dat de jurist in kwestie zijn of haar best deed een keurig document te maken. Maar als je niet in detail doorspreekt wat belangrijk is, of als jurist wel denkt dat je weet wat belangrijk is, dan krijg je dit soort discrepanties.

Die quote hierboven over bewaartermijnen is bijvoorbeeld een heel normale voor juristen, dingen moeten weg als niet meer nodig (artikel 17 AVG, bij ons) dus dat schrijf je dan netjes op. Maar als de klant niet zegt “zoekdata gaat na 90 dagen weg”, hoe kom je er dan achter dat je die uitzondering moet maken? Dat is dus waar je extra werk in moet steken als juridisch adviseur, alleen vereist dat vaak meer gedoe dan oorspronkelijk begroot of voorzien. En dan kom je op het punt dat je een CEO moet uitleggen waarom een privacypolicy geen standaardtekstje is dat je er achteraf even op kwakt.

Arnoud

Oké zullen we gewoon stoppen met de US cloud want ik wil niet stééds uitspraken van 60 pagina’s samenvatten tot “stop nou eens met de US cloud”

Geplaatst op in Privacy, 57 reacties

Ja sorry, ik word een beetje chagrijnig van dit gedoe. Maar zoals ik -en velen met mij- al een paar jaar roep: je kunt niet vertrouwen op Privacy Shield, en je mag niet zomaar data van je klanten naar Amerika sturen. Ook niet in een clouddienst en ook niet als je er een verwerkersovereenkomst bij hebt. En ja, ze hebben ook gezegd dat Standard Contractual Clauses wél rechtsgeldig zijn. Maar dat is alleen omdat in die SCC staat dat je onmiddellijk moet stoppen met data naar Amerika sturen zodra blijkt dat dat land onveilig is. Oftewel, per direct.

Goed, ik ben alweer rustig. het gaat dus om de Schrems II-zaak. Oostenrijkse GDPR-activist Max Schrems wilde alweer heel wat jaartjes geleden weten waarom Facebook Ierland persoonsgegevens van hemzelf mocht verstrekken aan Facebook Inc. uit Californië. Amerika heeft immers niet echt hetzelfde niveau van bescherming van persoonsgegevens als wij. De Ierse AP besloot die vraag aan het Hof van Justitie voor te leggen, en die kwamen toen met de verstrekkende uitspraak dat de toenmalige Safe Harbor-overeenkomst niet rechtsgeldig was. Mede gezien de Snowden-onthullingen kun je Amerika met de beste wil van de wereld geen persoonsgegevensrespecterend land noemen.

Dat gaf politieke onrust, vandaar dat een jaartje later het Privacy Shield er kwam. Daarmee was er formeel weer een grondslag voor uitbesteden van dataverwerking in de VS, mits het bedrijf maar plechtig zei dat ze Privacy Shield zou respecteren en de Amerikaanse overheid zou doen alsof die ombudsman en mooie verklaringen uit het verdrag iets betekenden. Ja moehaha zeg ik dan, maar goed het was even een schaamlap zodat u tijd had om uw clouddiensten en Amerikaanse onderaannemers uit te faseren.

En nu is het dus zover, het Hof van Justitie zegt wederom dat Amerika niet veilig is voor persoonsgegevens en dat je die er dus niet heen mag brengen vanwege mooie woorden in die Privacy Shield overeenkomst. De Europese Commissie had gewoon niet kunnen en mogen concluderen dat Amerika veilig is (net zoals ze dat bij Safe Harbor niet hadden gemogen). Met name specifiek omdat de NSA en andere overheidsinstanties data mogen besnuffelen zonder enige mogelijkheid van klacht of bezwaar, en dat recht moet je wel hebben. En die ombudsman valt onder de minister van binnenlandse zaken en is daarmee niet onafhankelijk. Daarmee had Privacy Shield nooit gesloten mogen worden, en dat ding dat ze wel gesloten hebben is dus ongeldig.

Vele privacyjuristen hadden hier al rekening mee gehouden en dus ingezet op de zogeheten Standard Contractual Clauses (SCC). Dat zijn door de Europese Commissie opgestelde bepalingen waarmee je een standaardcontract samenstelt om grip te krijgen op een buitenlandse (niet-EU) partij die voor jou persoonsgegevens gaat verwerken. In dat contract dwing je keihard af dat men zich aan de GDPR houdt, onder meer met een recht van audit voor jou bij hem, een plicht van hem om rare dingen te melden en de plicht om klachten van gebruikers daadwerkelijk op te lossen.

Het Hof van Justitie zegt nu dat die constructie nog wél geldig is. Die is immers bedoeld voor situaties waarin de buitenlandse partij ergens zit waar ze rare dingen doen met persoonsgegevens. Dus dan is het prima als je samen keiharde afspraken maakt waarmee je die rare dingen buiten de deur houdt. Afdwingbaar, met boetes en rechtszaken. Dat kan gewoon. Daarom zegt het Hof, prima om naar Amerika met SCC te werken.

Alleen en nu komt ie: die afspraken moet je dan wel daadwerkelijk handhaven. Zo moet de Amerikaanse partij jou bijvoorbeeld informeren over rare praktijken of wetten die botsen met Europese rechten. Als jij onder FISA valt, zoals alle ICT-providers, dan moet jij dat aan je Europese klanten melden. En die mogen dan geen persoonsgegevens meer aan jou geven. Dus als je met SCC werkt, dan heb je jezelf contractueel verplicht om vandaag nog te stoppen met persoonsgegevens naar Amerika sturen.

Einde US cloud dus. Althans: voor laten we zeggen zakelijk gebruik door Europese bedrijven. Als jij zelf een Amerikaanse dienst gebruikt voor dienstverlening aan jou (hetzij zakelijk hetzij privé) dan blijft dat prima. Dat valt onder het kopje “toestemming”, dat nog steeds kan. Boeken bij een Amerikaans hotel, een Amerikaanse prijsvergelijker, lezen van een Amerikaanse krantwebsite, betalen met Paypal of een Amerikaans-gecontroleerde creditcard: allemaal prima. Gegevens van je klanten of je websitebezoekers door een Amerikaan laten analyseren: niet prima.

Ook niet als je een verwerkersovereenkomst hebt. Die zegt alleen maar dat die Amerikaan niets mag doen behalve wat jij hem opdraagt, maar dit borgt niet dat de NSA van die persoonsgegevens afblijft. En zolang dát niet geborgd is, mag je geen data laten verwerken in de VS.

Arnoud

Een koop wordt helemaal niet “definitief” door ontvangst van het product, wat krijgen we nou

Geplaatst op in Ondernemingsvrijheid, 142 reacties

Een man uit Emmen gaat het juridische gevecht aan met MediaMarkt nadat hij voor een paar euro drie peperdure computers van Apple kon aanschaffen op de website van de winkel. Dat meldde het AD onlangs. De term “juridisch gevecht” voelt wat overdreven voor mij, het is niet alsof deze man een pleitbaar standpunt heeft. Ja, het klopt dat je drie iMacs hebt ontvangen van de MediaMarkt en dat er in dat proces niemand piepte. Maar je hebt werkelijk nul komma nul kans – hoewel zeer ergerlijk, toegegeven dat de MediaMarkt nu vanwege mediadruk (“ahh de eenling tegen de mega-winkel”) zou kunnen bezwijken. Maar oh ja, het juridische punt dat hij heeft komt van achter de maan: dat je het product hebt, zegt werkelijk niets over je overeenkomst.

De MediaMarkt had een Otto gedaan: iMacs van zo’n 2000 euro stonden te koop voor twee euro negentien, en zoals het Nederlanders betaamt was de voorraad binnen de kortste keren leeggekocht. Waarop de MediaMarkt natuurlijk de computers terugeiste, want iedereen snapt dat deze prijs niet kon.

En dat is het énige relevante juridische criterium. Dat je betaaltd hebt, dat het proces van levering automatisch doorging en nergens zei “hee rare prijs, dit is even onder voorbehoud” of zelfs maar dat je het product in huis hebt gekregen dat is allemaal leuk en aardig maar geeft nul punten op het tentamen overeenkomstenrecht.

Een overeenkomst komt tot stand door aanbod en aanvaarding, en iets is alleen een aanbod als men werkelijk tegen die prijs wilde handelen. Maakt de aanbieder een fout, dan is je enige redding dat de fout toch realistisch klonk – dat je redelijkerwijs mocht vertrouwen op de juistheid van de mededeling. Dat is bij een zó lage prijs volstrekt niet verdedigbaar.

Nee, ook niet bij de MediaMarkt. Ik weet dat ik die wel eens als voorbeeld heb opgevoerd: de “Wij zijn knettergek geworden-week” met bizar lage prijzen. Ja, als je dat bovenaan je site zet en dan een iMac van 2,19 opvoert dan mag ik er wel op vertrouwen dat je knettergek bent. En dan mag ik die Imac dus houden.

Maar hoewel de MediaMarkt het Gekkenhuis – we zijn helemaal koekoek noemt, zetten ze dat er dan dus wel bij. Het is natuurlijk geen argument dat omdat de prijzen soms opzettelijk krankzinnig zijn bij deze winkel, deze prijs dat óók was. De standaardsituatie bij de MediaMarkt is juist dat men niet gek geworden is. (Hun slogan is dus een van de weinige juridische disclaimers waar je wat aan hebt.)

En juridisch werkt het dan zo: als jij niet mocht vertrouwen op de prijs, dan was er geen aanbod. Zonder aanbod valt er niets te aanvaarden, en zonder aanvaarding geen overeenkomst. Niet, nop, nada. Nee, geen idee waarom je dan toch een iMac kreeg. Heel gek, stuur maar gauw terug. De MediaMarkt zal vast niet metéén aangifte van diefstal of verduistering doen maar een juridisch gevecht noem je het alleen als er enige winstkans is voor de houder van de computer.

Arnoud

Een auteursrechthebbende mag van Youtube alleen je postadres vragen (moehaha)

Geplaatst op in Ondernemingsvrijheid, Privacy, 16 reacties

Wanneer een film illegaal is geüpload op een onlineplatform zoals YouTube, kan de rechthebbende krachtens de richtlijn betreffende de handhaving van intellectuele eigendomsrechten bij de exploitant uitsluitend het postadres van de betrokken gebruiker opvragen, maar niet zijn e-mailadres, IP-adres of telefoonnummer. Dat las ik bij ITenRecht. Het Hof van Justitie bepaalde dat onlangs in een procedure tussen Constantin Film Verleih GmbH, een in Duitsland gevestigde distributeur van films en YouTube. En ja, ik weet dat je weinig hebt aan die informatie.

Al lange tijd proberen filmproducenten en handhavers zoals BREIN informatie te krijgen van Youtube over uploaders van illegaal materiaal. Youtube werkt daar niet aan mee (dat is namelijk niet handig voor het businessmodel, pardon Youtube staat voor de grondwettelijk vastgelegde privacy van haar gebruikers).

In 2004 verscheen een Europese Richtlijn (de Handhavingsrichtlijn) waarmee rechthebbenden een bevoegdheid kregen om bij platforms en andere tussenpersonen gegevens van uploaders te krijgen. Iets preciezer (artikel 8 lid 2): “de naam en het adres van de producenten, fabrikanten, distributeurs, leveranciers en andere eerdere bezitters”. Dat is vrij logisch voor de situatie waarin handelaren ergens gevestigd zijn en dingen in- en wederverkopen.

Bij Youtube is dit iets minder logisch. Dat bedrijf heeft alleen e-mailadressen, IP-adressen en mogelijk een telefoonnummer (bijvoorbeeld vanwege tweefactorauthenticatie). Is dat een “adres”? Dat is een lastige, want de Handhavingsrichtlijn specificeert dat niet en het staat ook niet in eerdere Europese regels als gedefinieerde term. Het Hof trekt dan de ietwat verrassende conclusie dat dit niét het geval is: als je zegt “naam en adres” van iemand, dan bedoel je een woon- of vestigingsadres, niet een IP-adres (het plaatje rechtsboven is dus een grapje).

Dat botst wel met het idee dat dit artikel van de Handhavingsrichtlijn bedoeld is om rechthebbenden te helpen handhaven door informatie op te vragen van platforms. En u weet het, als je rechten hebt en auteursrechten, dan winnen de auteursrechten. Alleen nu niet, en ik ben daar oprecht door verbaasd: het Hof concludeert dat de Europese wetgever het simpel wilde houden en (nog) niet wilde nadenken over IP-adressen en e-mail. (Of, denk ik, dat de lidstaten het daar niet over eens konden worden.) En dan kun je dus niet later uit die wet halen dat je alsnog die elektronische gegevens mag hebben.

Het is wel toegestaan dat lidstaten nadere regels maken die strenger zijn. Zo hebben we bij ons het Lycos/Pessers arrest, op grond waarvan je wél IP-adressen en e-mailadressen kunt opeisen van een dienstverlener. Dat arrest blijft gewoon overeind.

Arnoud