Dus je kunt worden ontslagen door appjes die je baas stiekem meeleest op de desktop Whatsapp

Geplaatst op in Ondernemingsvrijheid, 39 reacties

?Een Amsterdams hotel heeft een assistent-manager op staande voet ontslagen, omdat zij loog dat ze ziek was. Dat meldde het AD vorige week. Het kwam uit omdat de werkgever zonder haar medeweten kon meelezen met haar whatsapp-berichten. Daaruit bleek glashard dat ze haar ziekte simuleerde – en sterker nog, dat ze ging solliciteren bij een ander bedrijf tijdens haar “ziek zijn”. Dat haal ik dan uit het vonnis. Wie nu denkt aan “onrechtmatig verkregen bewijs” moet minder rechtbankseries kijken.

Het meelezen was technisch vrij triviaal, lees ik: een collega kon namelijk haar werklaptop (waar WhatsApp Desktop op stond) ontgrendelen en de berichten lezen. Het wachtwoord was 1-2-3-4, wordt er dan fijntjes bijgezet. Ik denk dan, waarom kijkt hij in WhatsApp maar dat bleek niet te vermijden zo haal ik uit de brief die het bedrijf stuurde:

Tijdens het werken op de bedrijfslaptop en na het openen van Google Chrome popt automatisch uw Whatsapp op (er is dus geen sprake van hacken van uw account oid).

Toegang tot de laptop was nodig om het werk voort te zetten, en als WhatsApp dan automatisch opent in het gezicht van de collega dan is er weinig tegenin te brengen. Was de collega gaan snuffelen in haar WhatsApp applicatie, dan werd het misschien een ander verhaal.

Het gesprek laat aan duidelijkheid niets te wensen over: de werknemer had haar ziekte gesimuleerd en met opzet zodat ze lekker thuis kon blijven, en ook nog eens op gesprek bij een ander bedrijf. Dat maakte de werkgever zó boos dat deze overging tot ontslag op staande voet, wat wel een heel heftig middel is. (Ontslag wegens verstoorde arbeidsverhoudingen had ik logischer gevonden.)

De rechtbank ziet genoeg grond voor staande voet, namelijk bedrog. Actief je werkgever keihard voorliegen, dat is wel een héél ernstig misbruik van vertrouwen. Dan kun je inderdaad direct vertrekken en heb je ook geen recht op een uitkering.

Maar waren die bewijsmiddelen niet onrechtmatig verkregen? Tsja, het is natuurlijk zeer privé zo’n gesprek, en het is zeer niet de bedoeling dat de werkgever dat las. Dat is dan in zoverre een privacyschending. Echter,

Het staat buiten kijf dat de werkgever heeft kennis genomen van buitengewoon privacygevoelige informatie waarvan werknemer niet heeft gewild dat werkgever deze zou zien. Werknemer heeft echter zelf hieraan een bijdrage geleverd door de WhatsApp applicatie op de (werk-) laptop te installeren. Volgens de werkgever is het account van werknemer niet “gehackt” om bij de informatie te komen. Via een simpel wachtwoord (1,2,3,4) was de werklaptop te gebruiken en dat wachtwoord heeft de betrokken werknemer die met de laptop aan het werk wilde kennelijk gebruikt.

Daarbij komt natuurlijk dat het in Nederland al sinds jaar en dag gewoon toegestaan is om onrechtmatig verkregen bewijs te gebruiken in een rechtszaal. De waarheid is belangrijker – en de onrechtmatigheid van het verkrijgen kan gewoon apart bestraft worden. Even cru gezegd: had deze werkgever een illegale tap gemaakt van een telefoongesprek met de werknemer haar moeder, dan had die werkgever een strafrechtelijke boete gekregen maar had de opname nog steeds als bewijs kunnen dienen. Ik vind dat logischer dan ineens die opname niet meer willen beluisteren.

Arnoud

Apple weigert app-update omdat automatisch verlengen na proefperiode uit staat

Geplaatst op in Ondernemingsvrijheid, 6 reacties

Apple heeft de update van een yoga-app geweigerd, omdat het bedrijf erachter niet wil dat gebruikers na een proefperiode automatisch gaan betalen tenzij ze annuleren. Dat meldde Tweakers onlangs. Wie apps met een abonnement aan wil bieden in de appstore van Apple, moet dat doen via App Store Connect. In de regels daarvan staat dat klanten die een proefperiode starten automatisch betalende klanten worden tenzij ze zelf opzeggen. Het is dan niet toegestaan om in je app dat anders aan te pakken, jij als publisher van een app moet de leveringsvoorwaarden van App Store Connect ook volgen jegens jouw klanten. Dat is wel ergerlijk gezien de praktijk van een stilzwijgend omgezet proefabonnement sterk negatief wordt ervaren door klanten, en je als bedrijf dus wil kunnen scoren door dat eens niét te doen. Ook vermijd je zo een hoop klachten. Kan dat zomaar?

Het doet wat gek aan dat Apple zich bemoeit met de voorwaarden tussen een app-aanbieder en haar klanten. Maar het is eigenlijk logisch: Apple krijgt 30% van die abonnementsprijs, en heeft er dus belang bij om te zorgen dat haar aanbieders zo veel mogelijk abonnementen afsluiten. En in de VS is het niet verboden om proefabonnementen stilzwijgend om te zetten naar echte (ook niet met een hele korte proeftermijn en een hele hoge prijs) dus het is legaal om zo’n voorwaarde te hebben. En dan dus ook voor Apple om te eisen dat jij die hebt.

Hier in Nederland ligt dat ongeveer hetzelfde, ook met de Wet Van Dam in de hand. De wet kent het concept “proefabonnement” eigenlijk niet. De enige plek waar zoiets voorkomt is op de zwarte lijst voor algemene voorwaarden (art. 6:236 sub s BW), waarin staat dat een abonnement ter kennismaking op bladen en tijdschriften etc niet stilzwijgend omgezet mag worden in een gewoon abonnement. Daaruit volgt dat het bij andere dienstverlening wél mag.

Hooguit kun je je afvragen dat als iemand zegt “proef” abonnement, of daarin besloten ligt dat het omgezet wordt naar een echt abonnement. Als dat niet zo is – en volgens mij is er geen algemene opvatting dat proefabonnementen altijd omgezet worden – dan heb je een probleem. Dat valt dan onder misleidende handelspraktijken want je moet expliciet en duidelijk informeren over essentiële kenmerken, en de duur en verlenging van een dienst valt onder die kenmerken. Als je dus alleen in je AV wat hebt staan over verlenging, is je contract vernietigbaar.

Als de uitleg duidelijk is dan mag het wel, en volgens mij mag je er dan zelfs een jaar van maken. Weliswaar is de bedoeling van de Wet Van Dam dat stilzwijgende verlenging maximaal met een maand mag, maar in de wet (art. 6:237 sub k BW) staat dat dit pas na het eerste jaar de grens is. Ik denk dus dat een omzetting van een proef naar een echt abonnement kan, zolang de totale lengte maar één jaar is en je dus vooraf expliciet bent gewaarschuwd dát het wordt omgezet.

Een probleem daarbij is dat het opzeggen vaak een stuk moeilijker is dan het aangaan. Dat is ook een klacht van die yogaäpp-aanbieder uit het artikel, omdat het opzeggen ook via Apple moet en mensen de knop niet altijd kunnen vinden. Hij krijgt er dan de schuld van. En ik moet zeggen, ik had er ook een lief ding voor over als mijn creditcardmaatschappij bij elke incasso een knopje “Beëindig deze incasso en zeg abonnement op” had in de online omgeving.

Arnoud

Wanneer kan een gewoon woord een merknaam zijn?

Geplaatst op in Intellectuele rechten, 10 reacties

Reiswebsite Booking.com mag haar bedrijfsnaam als merk vastleggen in de VS, las ik bij Ars Technica. De Supreme Court bepaalde dat hoewel de term ‘booking’ in het Engels natuurlijk vrij generiek is, de toevoeging van ‘.com’ het tot een unieke naam maakte. Hoewel mensen inderdaad “a booking” zouden maken bij een willekeurige dienstverlener, zou niemand zeggen “I’m going to make a booking.com tonight”. Dat maakt deze combinatie geschikt om als merk te dienen. Het punt van merken is immers dat je bedrijven of producten van elkaar kunt onderscheiden. Dit is wel opvallend, omdat in Nederland juist altijd is gezegd dat een toevoeging zoals .com niets zegt, dat heeft iedereen. Ik kreeg dan ook vele vragen over hoe onderscheidend of creatief een merknaam moet zijn.

Het merkrecht is bedoeld om namen (en logo’s en zelfs vormgeving, zoals het getoonde Coca-Cola flesje) te beschermen. Dat wil zeggen: als je naam geschikt is om als merk te dienen. Het criterium daarvoor is dat je naam onderscheidend vermogen heeft, oftewel het vermogen om met de naam een product, dienst of bedrijf te onderscheiden van de concurrent. “Melk” is bijvoorbeeld geen geschikte merknaam voor dat witte goedje, maar “Boerenland melk” en “Den Eelder melk” zijn dat wel omdat je hier meteen al ziet dat dit twee aparte soorten melk zijn.

Een veelgehoord misverstand is dat gewone, bestaande woorden geen merk kunnen zijn. Daar zeg ik dan altijd op: gazelle, randstad, diesel, telegraaf, hoezo mag dat niet? Dit zijn prima merknamen – alleen niet voor de letterlijke betekenis. Die spijkerbroeken zijn geen brandstof voor dieselmotoren, dus dat gaat goed.

In het Engels geldt hetzelfde criterium, en daarom had Booking.com een probleem want “booking” is natuurlijk letterlijk de dienst die je doet bij een booking-site. Althans dat vond het USPTO, het Amerikaanse merkenbureau. Daar ging de dienstverlener tegen in beroep, en bij de hoogste rechter krijgt men nu gelijk vanwege de toevoeging “.com”. Dat maakt het een unieke naam en dus geschikt als merk. Daarbij woog zwaar mee dat mensen in een enquête “booking.com” als een verwijzing naar die ene dienstverlener zagen, en niet een algemene term voor boekingssites op internet of iets dergelijks. Een beetje zoals bij ons “marktplaats” niet meer “de plek van de markt” betekent maar “die ene oranje website waar je je oude spullen kwijt kunt”.

Het gevaar dat meteen wordt gesignaleerd is dat dit merkrecht nu gebruikt kan worden om de concurrent te verhinderen het woord “booking” te gebruiken. Dat zou wel heel onhandig zijn op een concurrerende boekingwebsite, en om die reden zou dat ook niet moeten kunnen. Ik zeg “zou moeten” want ik lees in het Ars Technica artikel al meteen afschrikwekkende voorbeelden van bijvoorbeeld het bedrijf Monster (van die slechtvoordejeugdzijnde energiedrankjes) dat uitgave van een kinderboek met als titel “Albert and the Amazing Pillow Monsters” wist te verhinderen met een stevige blafbrief. Specifiek in de reisbranche maak ik me daar minder zorgen over, want die concurrenten zijn ook héle grote jongens met navenante juridische afdelingen en die herkennen een blaf echt als zodanig.

Arnoud

Consumentenbond wil dat Facebook gebruikers compenseert voor schenden privacy

Geplaatst op in Privacy, 15 reacties

De Consumentenbond en de Data Privacy Stichting hebben Facebook gedagvaard in een poging om het socialenetwerkbedrijf te dwingen gebruikers te compenseren voor het schenden van hun privacy. Dat meldde Tweakers dinsdag. Deelname is gratis, wel wordt 18% van de toe te kennen schadevergoeding aan een advocatenkantoor betaald dat op no-cure-no-pay basis (of nou ja, niet helemaal) de zaak doet. De exacte dagvaarding kan ik nog niet vinden maar de kern is natuurlijk geen toestemming (grondslag) en geen verplichte informatieverstrekking onder de AVG. Ik zeg #teamConsumentenbond.

De AVG is er natuurlijk al sinds 2018 maar de reden dat de Bond nu pas deze stap maakt, is dat het pas sinds kort mogelijk is om een massaclaim met schadevergoeding te brengen bij de Nederlandse rechter (art. 3:303a BW). Tot die tijd had de Bond alleen een verbod kunnen eisen, maar dat schiet niet zo op want dat zal Facebook niet echt pijn doen. Dan verzinnen ze weer wat nieuws. Een schadeclaim, en vooral heel veel vervolgclaims vanuit de rest van Europa, dát doet pijn.

Had dit nu niet beter via de toezichthouder kunnen gaan? Die is natuurlijk al naar Facebook aan het kijken en ik zie daar ook echt wel boetes vandaan komen. Alleen, het is voor de AP lastiger om een boete op te leggen dan voor de Consumentenbond om een schadeclaim te doen. Een boete vereist een heel bestuursrechtelijk traject: inspraak, reacties, concepten, toetsing aan boetekaders en richtlijnen, zorgvuldige besluitvorming et cetera. Dat duurt naar zijn aard twee jaar. (Plus AVG-gedoe over de competente leidende toezichthoudende autoriteit, juristen krijgen hoofdpijn van deze wetsartikelen, artsen staan versteld).

Terwijl een schadeclaim bij de burgerlijke rechter gewoon een jaartje is met een paar rondes verweerschriften en repliek/dupliek en dan een uitspraak. De onderbouwing kan makkelijker: een boete moet je gedetailleerd motiveren, de schadevergoeding kan -in theorie- zijn “wat uwedelachtbare billijk acht (artikel 6:97 BW)”. En ja, het grote probleem is natuurlijk dat de Bond geen harde getallen op de schade kan zetten. Wat is je schade doordat Facebook je profiel blootstelde aan rare advertenties of politieke manipulatie? Inderdaad, laat ik ook liever aan de dikke duim, pardon het rechtsgevoel van de rechter. Maar denk aan 50 tot 100 euro.

Per persoon ja. En we hebben in Nederland iets van 14 miljoen volwassenen die dus kwalificeren als consument. Ook Facebook vindt iets van 14 miljoen maal 50 euro, zeker als er een dwangsom achteraan komt én andere consumentenbonden deze zelfde claim btrengen vanuit hun land. (Dit is meer dan de 10,4 miljoen Nederlandse Facebookgebruikers want daar zitten ook minderjarigen tussen en bovendien volgt Facebook je ook als je geen lid bent.)

Het voornaamste voor mij is dat dit volgens mij is hoe de AVG moet werken. Toezichthouders zijn leuk en aardig maar naar hun aard te grofmazig en traag om elke overtreding aan te pakken. Massaal kleinschalig handhaven werkt veel beter (daarom was ik ook zo blij met die Belgen). Het kan natuurlijk uit de hand lopen – lees daarvoor mijn World of 2K38 of voorinteken voor de graphic novel.

Arnoud

BKR krijgt boete van 830.000 euro wegens geld vragen voor inzage dossier

Geplaatst op in Ondernemingsvrijheid, 15 reacties

Het Nederlandse Bureau Krediet Registratie krijgt een boete van 830.000 euro omdat het geld vroeg aan mensen om versneld hun eigen dossiers in te zien. Dat meldde Tweakers maandag. Voor gratis inzage moest je vier weken wachten en een kopie identiteitsbewijs opsturen. Wie betaalde, kreeg direct toegang en wel elektronisch. Dat laatste maakt natuurlijk het verhaal rond gratis vanaf het begin een gotspe: hoezo kun je niet gewoon gratis je elektronische dossiers ontsluiten? Helemaal omdat het mensen betreft die naar hun aard financiële problemen hebben?

De boete was dus voor het niet gratis elektronisch antwoorden op elektronisch gedane verzoeken. Het moest per post, of je moest een betaald abonnement nemen. BKR maakt daarvan in haar kletspersbericht dat “uit de AVG niet duidelijk blijkt of het überhaupt verplicht is om digitaal inzage te faciliteren”. Ik citeer de AVG, artikel 12: “Wanneer de betrokkene zijn verzoek elektronisch indient, wordt de informatie indien mogelijk elektronisch verstrekt, tenzij de betrokkene anderszins verzoekt.” Oh en overweging 59: “De verwerkingsverantwoordelijke dient ook middelen te verstrekken om verzoeken elektronisch in te dienen, vooral wanneer persoonsgegevens langs elektronische weg worden verwerkt. ” Ik kan daar weinig onduidelijkheid in vinden.

Oh ja, het BKR zegt dan ook “De wet stelt duidelijk dat inzage verschaffen binnen een maand verplicht is”. Dat staat er niet, de AVG zegt “onverwijld en in ieder geval binnen een maand”. Dat is dus min(onverwijld, een maand) en niet onverwijld OR maand.

Daarnaast bleek dat het BKR dus actief communiceert dat je eens per jaar, en daarna werd dat twee keer, je gegevens mocht inzien. ‘Op onze website stond dat een consument een keer per jaar gratis inzage kon aanvragen, omdat wij zijn uitgegaan van de frequentie waarmee consumenten normaliter inzage doen. In de praktijk zijn we daar natuurlijk ruimhartig mee omgegaan. Dus is er naar ons idee geen sprake geweest van een overtreding van de AVG.’ Fijn dat je ruimhartig tegen je eigen regels in gaat, maar het is natuurlijk wél een overtreding van de AVG als je begint met dat het maar twee keer mag. Dat is niet wat in de wet staat, daar staat “met regelmatige tussenpozen”. Niet hetzelfde.

Dit is het digitale equivalent van dat bordje “de directie stelt zich niet aansprakelijk” of de website-disclaimer. Het slaat juridisch helemaal nergens op, maar toch schrik je een hoop mensen af. En dan zeggen “ja maar je kunt toch een jurist vragen” of “als mensen piepen dan zijn we ruimhartig”. Waar het om gaat is dat mensen niet hóeven te piepen. Zeker niet de BKR-geregistreerden: die zitten meestal niet in de financiële problemen omdat ze zeer assertief zijn en een jurist kunnen raadplegen bij juridische twijfels. Daarom vind ik het zo ergerlijk.

En och arme: ‘Het liefst zou Stichting BKR consumenten laten inloggen met DigiD en hun unieke BSN om gegevens te registreren en op te vragen, maar dat mag wettelijk niet omdat BKR geen overheidsinstantie is’.

Als laatste: ja, sinds 2019 is men gestopt met deze praktijk. En dat is leuk en aardig maar dus een jaar te laat. Dáár gaat het uiteindelijk om.

Arnoud

Een AI moet beter zijn dan een partner om een stagiair te vervangen #legaltechtuesday

Geplaatst op in Innovatie, 10 reacties

Al een tijdje blog ik over de moeilijkheden die je ondervindt als je probeert legal tech (met name AI) naar binnen te rollen in een organisatie. De cultuur is een groot ding bij organisaties, als men niet wil veranderen of van bovenaf verandering juist afgeschrikt wordt dan gebeurt het natuurlijk niet. Maar specifiek bij AI is er nog een groot probleem, en dat is hoe er tegen de risico’s aangekeken wordt die ontstaan bij de inzet van zo’n tool. Namelijk: die AI moet perfect zijn. En dat is best raar.

AI oftewel artificial intelligence is een beetje een marketingterm, wat heet dat is púúr een marketingterm. De strekking of belofte is dat de computer denkt als een mens, wat dus nooit het geval is. Onderzeeboten kunnen niet zwemmen en een computer kan niet denken. Maar ze kunnen wel heel goed doen alsof. Ik gebruik de term dus toch maar voor alle systemen die die belofte doen. Meestal zullen ze onder de motorkap werken met machine learning of neurale netwerken, maar dat doet er eigenlijk niet toe.

Het probleem met die belofte doen is dat mensen verwachten dat hij wordt waargemaakt. En dat is lastig want een computersysteem kan geen 100% perfectie doen. Mensen ook niet, maar bij mensen weten we vaak ongeveer wat voor sóórt fouten ze gaan maken. Een stagiair (om bij de blogtitel te blijven, wat ik zelden doe) heeft basiskennis maar kan vaak niet de diepte in. Een partner weet ongeveer alles, maar berijdt wel stokpaardjes en kan traag van reactie zijn of dingen wegwuiven als triviaal die dat voor de klant niet zijn. De medewerker daar tussenin heeft het heel druk en kan doorschieten in toepassen wat hij het recentst geleerd heeft. Dat soort dingen.

Een AI maakt ook fouten, maar dan van een heel ander kaliber. Die classificeert een tekst verkeerd en klaagt dan dat de tekst “Partijen komen overeen dat” geen goede garantie over beschikbaarheid is. Of hij komt met hele rare output, omdat er ergens iets misging in de conversie (NDA Lynn kan bijvoorbeeld pdf bestanden niet altijd goed lezen). Dat is niet goed, maar omdat het zulke niet-menselijke fouten zijn terwijl de AI wel menselijk lijkt, komt dat disproportioneel raar over.

In de psychologie doet dit denken aan het fenomeen van de uncanny valley, het griezelgebied tussen robots-die-duidelijk-robots-zijn en robots-die-echt-mensen-simuleren. Onze hersenen kunnen niet goed omgaan met een robot die er heel menselijk uitziet maar zich ineens niet als mens gedraagt, dat is veel erger dan een robot-robot die dezelfde fout maakt.

Ik herinner me van lang geleden een spraakherkenning-interface met een butler. Die werkte best goed maar de fouten werden als zeer storend ervaren. Toen verving men de butler door een puppy en de subjectieve kwaliteitsbeleving schoot omhoog. Waarom? Puppies mogen fouten maken, dat is zelfs schattig. Maar een butler, dat is een domeinexpert dus die mag geen fouten maken.

Een juridische AI wordt denk ik ook op die manier benaderd. Dat is een computer, getraind in dit domein, dús een domeinexpert. Hij moet dus hetzelfde presteren als een senior partner. Fouten, zeker rare fouten ingegeven door Unicode-problemen, zijn dan onvergeeflijk.

En dat is best raar want vervolgens gaat die AI standaardwerk doen zoals NDA’s reviewen, standaardcontracten nalopen of einddatums extraheren uit een serie documenten omdat men een bedrijfsovername-DD wil doen. Dat is typisch werk waar je een stagiair op inzet en geen partner. Terecht, want het is niet heel moeilijk maar wel veel. En het soort fouten dat daarbij te maken is, is redelijk te overzien en moet geen al te grote risico’s opleveren.

Paradoxaal genoeg heeft een AI dienst dus meer kans om geadopteerd te worden in een organisatie wanneer die zich niet als een AI presenteert. Niemand heeft de verwachting dat de grammatica-checker als een mens presteert, of dat Google net zo goed als een bibliothecaris je vraag begrijpt. Dat is gewoon een interface waar een output uit komt, en daarmee kun jij weer verder. Dus misschien moet legal tech AI gewoon terug naar een knopje in good old Microsoft Word?

Arnoud

Je eigen gesprekken opnemen is je goed recht en daarmee basta

Geplaatst op in Privacy, Uitingsvrijheid, 31 reacties

Via de onvolprezen Charlotte Meindersma op Twitter:

Als ik jullie goed advies mag geven: wees bij een belangrijk gesprek nooit zo fatsoenlijk om te vragen of je het op mag nemen, maar doe het gewoon. Als je zelf deelnemer bent aan het gesprek, is het niet strafbaar.

Dat gaf enige heftige reacties, van ongeloof (“mag dat echt zonder te vragen”) tot gefronste wenkbrauwen gevolgd door grote woorden over de AVG en zelfs de Grondwet. Dat schiet bij mij in het verkeerde keelgat, want het is gewoon juist wat ze zegt.

Het is inderdaad niet strafbaar om gesprekken op te nemen waar je deelnemer aan bent (art. 139a Strafrecht). Je hoeft het niet te melden aan je gesprekspartner, en komt het uit dan heeft zhij ook geen recht op een kopie. De gedachte van de strafwet is dat afluisteren van andermans privégesprekken kwalijk is, maar als je zelf in het gesprek zit, dan is er geen probleem op dat gebied.

Naast het strafrecht heb je natuurlijk de AVG. Die vindt inderdaad iets van het maken van gespreksopnamen, want dat zijn persoonsgegevens die je dan verwerkt. Alleen: wanneer je die opname maakt voor jezelf, omdat je bewijs wil van wat er is gezegd en dat bewijs hooguit inzet in juridische procedures, dan valt dat onder de exceptie voor huishoudelijke doeleinden.

Krijg je natuurlijk meteen het verwijt dat “huishoudelijke doeleinden” heel beperkt uitgelegd wordt. Daar ben ik dus even ingedoken, en dat valt reuze mee. Het is natuurlijk in zoverre beperkt, want het moet gaan om iets particuliers (dus niet met je zakelijke pet op, ook niet als eenmanszaak) en iets dat tot jouw huishoudelijke activiteiten beperkt is. Oftewel jij in je eentje doet de hele verwerking, het gaat om mensen die dichtbij je staan en alles gebeurt op kleine schaal.

Ik zie werkelijk niet hoe “ik neem mijn eigen gesprekken op en bewaar die voor het geval er een juridisch conflict is waarbij ik de opname nodig heb” conflicteert met bovenstaande.

Minstens zo belangrijk: het opnemen van je eigen gesprekken valt vrij evident onder de informatievrijheid, het recht feiten en inlichtingen te mogen verzamelen (artikel 10 EVRM, artikel 11 Handvest). Dat is een grondrecht, net zo goed als privacy (artikel 8 EVRM) en bescherming van persoonsgegevens (artikel 9 Handvest). Vanuit dat perspectief is het raar om te zeggen “moet dat nou, je kunt het toch even vragen”. Je hebt geen ‘moet’ nodig om een grondrecht uit te mogen oefenen. Dat mag je, punt.

Natuurlijk kan het ene grondrecht botsen bij het andere, en dat is wat hier dan gebeurt. Een opname is inderdaad een inperking op iemands bescherming van persoonsgegevens, en mogelijk ook een privacyschending (ik twijfel, want je was erbij tijdens het gesprek en waarom is het dan privé als de ander terug kan halen wat je zei). Je komt dan in een afweging van belangen terecht, waarbij uitgangspunt is dat beide grondrechten even zwaar wegen.

Voor mij geeft uiteindelijk de doorslag dat a) het gaat om opname ten behoeve van bewijs, dus géén publicatie b) welk bewijs je niet op andere wijze kunt krijgen en c) een gesprek van karakter verandert als je zegt dat je het opneemt. Je verliest dus je positie als je zegt wat je gaat doen, en de privacy- of persoonsgegevensinbreuk zie ik als minimaal omdat het gaat om dat beperkte doel als bewijs.

Praktische tip nog: als je dit doet, maak dan pas zo laat mogelijk bekend dat je een opname hebt. Het netste lijkt mij dat je eerst gewoon samenvat wat er is gezegd (bijvoorbeeld in je bezwaarschrift of dagvaarding), als daar over gepiept wordt dan reproduceer je wat er letterlijk is gezegd en pas als men dán nog ontkent dan laat je de opname horen.

En nog eentje: het is handig als je de opname ergens bewaart waar er een onafhankelijke timestamp op gezet wordt (wellicht een soundcloud of online cloudopslag) en liefst waar bewerken niet zomaar mogelijk is zonder dat dat sporen achterlaat. Dan weerleg je meteen het verwijt dat je de opname gemanipuleerd hebt.

(En voor de zekerheid: wie om welke reden dan ook die gesprekken publiceert anders dan in een gerechtelijke procedure die kan zich niet op bovenstaande beroepen.)

Arnoud

Kijk die Belgen delen wél AVG boetes uit waar je wat aan hebt

Geplaatst op in Ondernemingsvrijheid, 7 reacties

De Belgische Gegevensbeschermingsautoriteit heeft een AVG-boete van 10.000 euro uitgedeeld aan een bedrijf, meldde Tweakers begin deze week. Het bedrijf stuurde “door een menselijke fout” een marketingmail naar een verkeerd persoon en deed te weinig om dat probleem op te lossen. Zo te zien was zijn mailadres zonder zijn medeweten toegevoegd aan een commercieel mailbestand waar het bedrijf een reclamebericht mee stuurde, alleen kon niemand hem vertellen waar het adres vandaan kwam of waarom het in het mailbestand stond. Oh en in de tussentijd kreeg hij gewoon nóg een keer reclame. Dat voelt wel erg rommelig dan natuurlijk. Opvallend, het gaat dus om één fout mailbericht dat door een handmatige fout (zo te lezen het overtypen van een papieren formulier) en dat zou leiden tot een boete? Kijk, dat moeten we hebben.

Het reclamebericht was voor een workshop voor kleine ondernemingen, maar de ontvanger was geen klant bij het bedrijf en had ook geen idee hoe die aan zijn mailadres was gekomen. Vandaar een vraag (artikel 15) hoe dat zat. Daar kwam de nodige uitleg op (na een irritante vraag om naam en geboortedatum, hoezo is dat relevant bij een e-mailnieuwsbrief).

Na enig heen en weer mailen kwam er niet echt soelaas. En toen kreeg meneer nóg een keer die reclame gestuurd. Dat wijst erop dat de organisatie haar processen niet op orde heeft: dat mailadres had op zijn minst direct tijdelijk bevroren moeten worden, totdat duidelijk was waar de optin of andere grondslag vandaan kwam. Maar zoals ik het lees, zat de helpdesk in het proces “AVG lastpak, afpoeieren” en wist de marketingafdeling niet van enige klacht. Niet handig natuurlijk.

Vervolgens werd het stil aan de overkant, waarna de man naar de Gegevensbeschermingsautoriteit (Gba) stapte. Die nam de klacht serieus en constateert de nodige overtredingen. Geen transparantie (waar komt het mailadres vandaan), geen duidelijke uitleg (artikel 12), geen overzicht kunnen geven van de persoonsgegevens – en geen duidelijk geborgd proces met maatregelen om de verwerkingen aan de AVG laten conformeren (artikel 24). Want alleen maar netjes reageren op vragen, en zelfs de mailadressen dan snel weghalen, is niét hetzelfde als je hele organisatie AVG compliant hebben draaien.

De voornaamste reden om dan direct een boete op te leggen, is omdat dat laatste punt “verontrustend” is gezien de omvang van de organisatie. Een groot bedrijf (al heb ik geen idee hóe groot, dat blijft anoniem) kan niet gewoon doorhobbelen met enkel wat instructies voor de helpdesk en handmatig ingrijpen als er een keer een klacht komt. Die moet de boel op orde hebben. Daar staat tegenover dat de overtreding relatief gering is, zodat uiteindelijk de boete op 10.000 euro neerkomt.

Een kleine boete, voor zo’n groot bedrijf? Kennelijk dacht men er zelf anders over: er werd onmiddellijk bezwaar gemaakt tegen publicatie, omdat dat tot “onherstelbare reputatieschade” zou lijden. En daarom ben ik er ook blij mee: dit soort boetes maakt wél indruk, want het is niet leuk en laat zien dat je de boel niet op orde hebt. En omdat het gaat om het soort fout dat u of ik ook kunnen maken, is het generaal preventief effect van die boete een stuk hoger dan bij een boete van zeg 50 miljoen voor Google. Dus ik hoop dat er nog vele volgen.

Arnoud

Is het een datalek als een app het bsn van je clipboard uitleest?

Geplaatst op in Privacy, 16 reacties

Via Twitter:

Zeg @albertheijn, @Marktplaats en @NUnl. Waarom willen jullie zo graag alles wat ik gekopieerd heb lezen? Inclusief dingen als IBAN nummers, wachtwoorden of persoonsgegevens. Klinkt als iets voor de autoriteit persoonsgegevens.

Er blijken nog veel meer apps te zijn die het clipboard uitlezen als je ze activeert. De vraagsteller kwam erachter omdat zijn nieuwe versie van iOS een melding toont wanneer een app het clipboard uitleest, maar het is volgens mij geen nieuwe feature op zich dat apps dit doen.

Ik heb zelf Android maar weet dat er de nodige apps zijn die dit doen omdat ze dan actie kunnen ondernemen: als ik een track&trace code op het clipboard plaats, biedt de PostNL app vervolgens aan om de zending na te zoeken. Kopieer ik een e-mailadres, dan stelt mijn mailapp voor om een bericht daarheen te schrijven. Andere apps herkennen URLs die van hun eigen dienst zijn, en openen dan bijvoorbeeld een productpagina of bestelformulier. Best handig, en slim om dat via het clipboard te doen want zo kun je vanuit elke applicatie een actie initiëren richting een andere.

Als je als app het clipboard gaat uitlezen, dan neem je inderdaad een risico dat daar een wachtwoord op staat – of zoals de vraagsteller suggereert, een burgerservicenummer. Of andere persoonsgegevens, denk aan een gekopieerd mailtje met een schuldbekentenis of verzin zelf wat dramatisch. Dan staat je app dus persoonsgegevens te verwerken terwijl dat buiten de opdracht viel, want wat moet PostNL met mijn bsn of die schuldbekentenis?

Daar staat tegenover dat die app volgens mij niet meer doet dan “if clipboard matches /3S.*/ then zoekZending else nop endif” zodat ik de term ‘verwerken van persoonsgegevens’ een tikje grootsprakerig vind. Helemaal omdat de app geen invloed heeft op wát er op het clipboard staat.

Maar ik kan niet ontkennen dat er enige ophef is over het fenomeen, want ook apps als TikTok blijken het clipboard uit te lezen:

In March, researchers uncovered a troubling privacy grab by more than four dozen iOS apps including TikTok, the Chinese-owned social media and video-sharing phenomenon that has taken the Internet by storm. Despite TikTok vowing to curb the practice, it continues to access some of Apple users’ most sensitive data, which can include passwords, cryptocurrency wallet addresses, account-reset links, and personal messages. Another 53 apps identified in March haven’t stopped either.

Met name was de ophef omdat na maart de ontwikkelaar van TikTok had gezegd dat ze hiermee zouden stoppen, terwijl dat dus niet het geval bleek te zijn. Oh én omdat de app niet eenmalig bij het opstarten keek wat er op het clipboard stond maar dit deed na ieder leesteken of spatie die je intypte. TikTok zegt dat dit is om spam te voorkomen, wie weet hoe dat een reële maatregel is, zeg het even in de comments alsjeblieft.

Algemeen zou ik dus zeggen dat een app géén datalek is omdat ze het clipboard kunnen uitlezen en dan per ongeluk persoonsgegevens te pakken krijgen, zolang de app maar niets doet met gegevens die niet voor haar bestemd zijn. Ik kan me geen app voorstellen die een bsn nodig heeft (oké, misschien de declaratie-app van een zorgverzekeraar) en dan is het in theorie handig dat je dat nummer kunt selecteren uit je Evernote, OneNote of Google Keep en dat de app dat getal herkent en in het juiste veld invult. Maar andere apps zouden dat gegeven alleen mogen bekijken om te constateren dat het niet voor hen is, en dan vrolijk verder draaien. Doen ze meer, al is het maar “uploaden voor kwaliteitsdoeleinden”, dan is dat wél een datalek.

Arnoud

Waarom gebruiken SaaS-bouwers niet vaker open source als framework?

Geplaatst op in Intellectuele rechten, 6 reacties

Recent blogde ik over SaaS maatwerk en standaarwerk. Daarbij miste nog een invalshoek:

Persoonlijk tracht ik e.e.a. altijd zo te regelen dat zowel de klant als ik (ontwikkelaar) beiden eigenaar zijn van het auteursrecht. Gedeeld eigenaarschap onder bijvoorbeeld de GPL licentie. Het staat mijn klant dan vrij om te doen wat ze willen met de code, het staat mij vrij om met de code te doen wat ik wil en de code kan als Open Source code bijdragen aan het ecosysteem (net zoals ik gebruik heb gemaakt van andermans Open Source code). Het exclusiviteitsbeding vind ik trouwens ook een mooie oplossing voor klanten die wel willen bijdragen aan Open Source, maar bang zijn dat iemand anders er snel met hun ‘unieke idee’ vandoor gaat. Je ziet dit ook wel gebruikt worden bij werken onder een Creative Commons licentie. Ik vind dat wel een elegante oplossing die tijd biedt om de investering terug te verdienen en daarna bijdraagt aan het algemene ecosysteem.

Dit is inderdaad een mooie oplossing die ik er best bij had kunnen zetten. Zeker mkb-ontwikkelaars werken tegenwoordig heel vaak met open source als basis. Allereerst omdat dat erg populair is in de markt, en waarom zou je dan tijd en moeite steken in je eigen framework dat per definitie dan altijd achterloopt? En ten tweede omdat je dan een extra argument naar je klant hebt: bij mij geen lock-in, je kunt altijd weg en er zijn genoeg anderen die dit framework, deze standaardsoftware dus, voor je kunnen onderhouden en uitbreiden.

Bij open source zou maatwerk vaak kwalificeren als “afgeleid werk”, zodat licenties als de GPL dan bepalen dat dergelijk maatwerk ook open source moet worden. Althans, als het wordt gedistribueerd – en daar schort het nog wel eens aan bij SaaS. Een webapplicatie wordt immers niet verspreid, die blijft nu net staan waar hij staat, in het datacenter van de aanbieder. Het is dus mogelijk om gesloten maatwerk bovenop een GPL SaaS applicatie te maken, zolang die maar niet wordt verspreid. Alleen als de licentie de AGPL (Affero GPL) is, dan kan dat niet.

Deze invalshoek stelt voor om niet alleen af te spreken dat het maatwerk GPL wordt, maar ook om het meteen aan het ecosysteem bij te dragen. Daarmee is zowel de klant als de rest van de wereld een leuke feature rijker. Daar staat tegenover dat de concurrent dat dan ook kan gebruiken, maar daar spreek je dan dus exclusiviteit voor af. Maar zoals anderen in de comments al zeiden, het is natuurlijk maar de vraag of de klant betaalt voor exclusiviteit of meer voor als éérste die feature hebben, of anders gezegd een applicatie krijgen die doet wat hij wil in plaats van wat de ontwikkelaar wil.

Ik kreeg in de mail trouwens nog diverse ontwikkelaars die melden dat ze maatwerk gratis aanbieden onder voorwaarde dat de klant het eigendom niet mag hebben. Dat is dus het zuiverste: de hele applicatie blijft bij de ontwikkelaar, die bepaalt wat erin komt maar hij luistert naar zijn klanten en past zijn roadmap aan op basis van gemotiveerde wensen.

(Oh, en diverse juristen wezen me er nog op dat het beter is om auteursrechten op maatwerk te eisen dan exclusiviteit af te spreken. Dat laatste werkt namelijk alleen tegen de ontwikkelaar. Als die in strijd met de afspraak tóch de code uitlevert aan een concurrent, kun je die concurrent niet stoppen. Met de auteursrechten op het maatwerk in de hand kun je dat wel, zelfs als de ontwikkelaar weggevallen is. Dat klopt. Mijn enige opmerking daarbij is dat het lastig is om bij SaaS inbreuk op auteursrechten aan te tonen, omdat je geen toegang hebt tot de software, dus voor mij voelt dit wat theoretisch maar als je het bewijs weet te leveren -wellicht is bewijsbeslag mogelijk, 843a Rv- dan is dit wel slimmer.)

Arnoud