Kan een presidentieel bevel een wet opzij zetten?

Geplaatst op in Regulering, Uitingsvrijheid, 9 reacties

De Amerikaanse president Donald Trump dreigt sociale media ‘streng te reguleren of te sluiten’. Dat meldde Tweakers vorige week. Trump is boos omdat Twitter onlangs enkele van zijn tweets labelde met een ‘disputed’ tag. De remedie lijkt nu bekend: hij heeft een executive order oftewel presidentieel bevel getekend waarin grofweg staat dat het overheidsbeleid vanaf nu is dat dergelijk ingrijpen ervoor zorgt dat je niet langer immuun voor rechtszaken bent als platform. Dat gaat dus nog ahem interessant worden.

Section 230, want daar gaat het om, is het wetsartikel waardoor internet mogelijk werd. Tussenpersonen zoals Twitter (in die tijd bbs’en, discussieforums en chatrooms) waren niet aansprakelijk voor wat zij gebruikers lieten plaatsen. Gewoon niet – behalve bij auteursrechtinbreuk, daar moesten ze snel ingrijpen (dat was dan weer de DMCA). In Europa ligt dit iets genuanceerder, daar geldt snel ingrijpen bij álle soorten inbreuk.

Daar staat tegenover dat tussenpersonen sommige dingen gewoon niet willen op hun platform. Vandaar dat sectie 230 toestaat dat je te goeder trouw mag modereren en dingen weghalen die je “objectionable” vindt, zonder dat je dan ineens je immuniteit verliest omdat je de rest laat staan. Oftewel, Twitter is niet aansprakelijk voor bijvoorbeeld racistische of tot geweld aanzettende tweets van willekeurige gebruikers, maar mág als zij daar beleid op heeft (inderdaad, de Terms of Service) besluiten dergelijke tweets te verwijderen.

De EO kan zo’n wet niet opzij zetten, want de president maakt niet de wetten. Maar de president heeft wel een heleboel macht, en kan bijvoorbeeld bepalen dat ‘zijn’ overheidsinstanties een zeer nauwe interpretatie van section 230 moeten volgen vanaf nu. Namelijk dat je een hoop dingen (zoals, tussen de regels door, het labelen van presidentiële tweets als wat dan ook) als te kwader trouw moet zien en daar “gepaste” conclusies uit moet trekken.

Dat is natuurlijk leuk en aardig maar juridisch gezien kan dat niet: een wet wordt niet anders omdat de uitvoerende macht dat wil. Maar een wetswijziging er doorheen krijgen is onmogelijk (gezien de Democratische meerderheid in het Huis van Afgevaardigden). En rechtbanken zijn ook in de VS onafhankelijk. Natuurlijk heeft Trump veel rechters benoemd, maar traditioneel was de opvatting dat alles moest kunnen online dus ik zou verwachten dat conservatieve rechters juist tégen deze interpretatie zijn.

Het bevel roept toezichthouders FCC (over telecommunicatie) en FTC (over handel) op om maatregelen te nemen. Alleen zijn dat, net als bij ons, onafhankelijke instanties die niet onder presidentieel bevel staan. De FCC is natuurlijk heel erg pro-bedrijf (zo hebben ze recent netneutraliteit opgeheven) maar dat pleit juist tegen het doorvoeren van deze maatregel. De FTC kan via het Amerikaanse equivalent van oneerlijke handelspraktijken wellicht ingrijpen, al is onduidelijk of zij bevoegd zijn om sectie 230 te handhaven.

Mogelijk maakt nog enige indruk het bevel aan alle overheidsinstanties om niet meer te adverteren op netwerken die “te kwader trouw” content modereren, hoewel ik niet de indruk had dat er nou héél veel overheidsgeld naar Twitter-advertenties ging. En puntje van orde is natuurlijk dat wat er in het bevel staat over sectie 230, niet is wat er wérkelijk staat. Zo zegt de wet nergens dat het weghalen van “ongepaste” dingen alleen op politiek neutrale gronden zou mogen, of dat beschermde free speech altijd ‘gepast’ is en dus moet blijven staan.

Dat gezegd hebbende gáát dit natuurlijk een heleboel rechtszaken geven, want het blijft Amerika.

Arnoud

Moet ik echt mijn camera aan bij het video-werkoverleg?

Geplaatst op in Ondernemingsvrijheid, 39 reacties

Een lezer vroeg me:

Bij de afdeling waar ik werk (Sales) is het sinds het thuiswerken verplicht om elke ochtend een online dagstart te maken. Even bijpraten waar we staan, actiepunten verdelen et cetera. Prima, alleen wordt het vanaf aanstaande maandag verplicht om je camera aan te hebben staan. Het argument is dat gezichtsuitdrukking helpt bij het collegiaal overleg. Is dat genoeg? En hoe weet ik dat de video niet stiekem wordt opgenomen en bewaard?

In principe bepaalt de werkgever hoe het werk wordt uitgevoerd, dus onder normale omstandigheden kon deze eisen dat je naar kantoor kwam en daar in vergaderzaal twee ging zitten om dat overleg te doen. En wel om 8:30.

Alleen, het zijn nu geen normale omstandigheden. Iedereen werkt thuis (waar dat kan) en communicatie gebeurt dus met afstandsmiddelen. En het is een feit dat mensen met name videocommunicatie vanaf de thuiswerkplek ervaren als een heftiger inbreuk op de privacy dan fysiek op kantoor moeten zitten.

Als werkgever moet je wat met die inbreuk, wat erop neerkomt dat je moet motiveren waarom het verplicht is, je camera aan. Bij een klantgesprek kan ik me daar wat bij voorstellen: dat is een zakelijk overleg, dat is de kern van je werk, het schept vertrouwen en elkaar zien voegt dan echt wel wat toe.

Bij collegiaal overleg zie ik dit wat minder. Mensen kennen elkaar al, het gaat om afstemmen van interne dingen, voegt het écht wat toe dat je kunt zien of iemand er zin in heeft? Uit de vraag haal ik maar een heel magere onderbouwing, dat zou voor mij niet genoeg zijn.

Verder riekt dit voor mij naar een afspraak over hoe het werkoverleg voortaan moet worden uitgevoerd. Daar is dan instemming van de OR voor nodig (regeling over het werkoverleg), even los van het verwerken van de persoonsgegevens via zo’n videoverbinding.

En wat die persoonsgegevens betreft, een werkgever moet zijn personeel vertellen (in privacyverklaring, personeelshandboek of iets dergelijks) wat er gebeurt met de beelden. Gebeurt dat niet, of is de verklaring incompleet, dan is de verwerking niet toegestaan.

Arnoud

Mag mijn werkgever een gesprek opnemen omdat dat voor eigen gebruik is?

Geplaatst op in Ondernemingsvrijheid, Privacy, 4 reacties

Een lezer vroeg me:

Mijn baas heeft het gesprek opgenomen toen wij een serieus gesprek hadden. Ik vroeg omdat ik ook deelnemende aan het gesprek was en het deels ook over mij ging en hij een buitenstaander is of ik ook de opname mocht. Maar hij zei dat het voor eigen gebruik is en dat hij het mij niet kan geven. Mag hij dat zeggen?

Nee, dat mag hij niet zeggen. (Soms zijn juridische vragen makkelijk.)

Wanneer de werkgever een zakelijk gesprek opneemt, dan valt dat onder de AVG. De werknemer heeft dan bepaalde rechten, zoals het recht op een kopie van de opname (artikel 15 AVG). Hooguit kunnen stukjes worden weggelaten als daardoor de privacy van anderen in gevaar komt, maar als het gaat om een gesprek tussen werkgever en werknemer dan zie ik dat zo even niet.

In theorie kun je als werkgever zeggen, ik neem dit op voor privédoeleinden. Dat valt buiten de AVG – dat is de uitzondering voor huishoudelijk of particulier gebruik. Die kan ook gelden in de zakelijke context, mijn eigen aantekeningen in mijn adresboek met bijvoorbeeld de geboortedatum van een relatie vallen buiten de AVG.

Alleen, als het gaat om een “serieus gesprek” zoals de vraagsteller stelt, dan zie ik het puur particuliere even niet meer. Die werkgever neemt dat op als bewijs wat er is gezegd, dat is het enige dat ik in die context kan bedenken. En in die context is dat bewijs dus zakelijk bedoeld: de ontkenning van de werknemer weerleggen, aantonen dat er wél dat gezegd of zus gescholden of weet ik veel is. Dat bewijs is daarmee niet particulier, ook al doet de werkgever dat met een eigen opname-apparaat en doet hij het thuis ook.

Arnoud

Anno 2020 denken mensen nog steeds dat open source juridisch riskant is

Geplaatst op in Intellectuele rechten, 16 reacties

Via Bert Boerland op Twitter las ik:

Bijzonder lachwekkend (tot tranen toe!) stukje over #opensource (#cms-en) en licenses. Microsoft deed dit truukje (“Fear, Uncertainty and Doubt) zo’n 10 jaar geleden nog, maar is op het rechte pad. Lang geleden dat ik zo’n tenenkrommend stuk over proprietary vs OSS stuk las

Het gaat om dit artikel van geslotensourcecmsmaker Plate (“Meer met multisites”). In de wereld van contentmanagementsystemen is opensource al lang ingeburgerd dacht ik altijd, met Joomla, WordPress en Drupal als bekendste voorbeelden. Maar zo lees ik dan hier “achter het gemak van open source schuilt namelijk een schimmige wereld van licentievoorwaarden.” Ik heb even gecheckt en het artikel is niet uit 2002 en per abuis opnieuw online gezet. Dus eh, wat krijgen we nou.

Toen open source nog een nieuw verschijnsel was in het zakelijk firmament (eind jaren negentig) ontstond meteen discussie over de bijbehorende licentievoorwaarden. Die waren namelijk nogal anders dan het gebruikelijke licentiegeweld: in tegenstelling tot veel moeten betalen en beperkte rechten krijgen zonder aansprakelijkheid voor fouten, stond in opensourcelicenties dat je niet hoefde te betalen, alles mocht maar dat je (althans soms) wel mee moest doen met de opensourcegedachte. Oh en er was geen aansprakelijkheid voor fouten.

Dat “mee moeten doen” gaf de nodige bedrijven juridische zorgen, want die hadden allemaal net tien jaar geleerd dat geld verdienen met softwarelicenties verkopen het grote ding was. En dan zou je dus die software, die broncode gewoon weggeven en anderen alles laten doen daarmee zonder vergoeding? Kon niet waar zijn. De ietwat principiële opstelling van de Free Software Foundation hielp ook niet echt; nadat een stel slimmeriken de zakelijke term “open source” erop plakten en webbrowser Netscape vrijgaven onder zo’n licentie werd het iets makkelijker maar de twijfels bleven.

Die zorg over geheimhouding van je waardevolle software zien we ook meteen in dit artikel terug:

Stel je daarbij voor dat als je een opdracht hebt gegeven om aanvullend maatwerk te laten ontwikkelen op een Joomla platform, waarin een belangrijk deel van een businessproces in is verwerkt, de kans bestaat dat dit maatwerk vrijgegeven moet worden door de ontwikkelaar.

Ik noem dit altijd de IP-reflex: we hebben een stukje software dat we van onszelf zien (en dat noemen we IP) en dús moet dat waardevol zijn en dus geheim gehouden worden. Voor juristen heel normaal, je leert namelijk dat rechten van iemand zijn, en dus te beschermen. Maar de achterliggende zakelijke afweging – de onderliggende waardering – die blijft dan buiten beschouwing.

Zo ook hier: waarom is het waardevol om die businessprocesinformatie geheim te houden? Is het écht voordeliger voor het bedrijf om dat stukje software voor eeuwig in-house te houden, zelf te onderhouden en bij te werken? Wat voor superwaardevol bedrijfsproces heb je dan? Ik ben heel benieuwd.

Dit nog los van het juridische punt dat de GPL (want dat is de Joomla-licentie) helemaal niet eist dat als je maatwerk ontwikkelt, je dit vrij moet geven of terug moet leveren aan de Joomla community. De GPL zegt: wanneer jij maatwerk (voortbouwend op Joomla) levert aan een derde, dan moet die derde het maatwerk onder GPL kunnen gebruiken.

Maar in de meeste gevallen ga je een CMS helemaal niet aan derden leveren. Je installeert het CMS op je eigen server, voegt daar maatwerk aan toe en zet het ding aan. Er is dan geen situatie waarin de GPL enige eisen stelt. Wie een open source CMS inzet, hoeft zich nul zorgen te maken over het vrijgeven van enige maatwerkcode. Echt nul. Ik vind het echt kwalijk dat men anno 2020 nog steeds wat anders beweert.

Oh ja, inbreuk op rechten van derden. Dat zou zomaar kunnen, blijkt dat je Joomla in gebruik hebt en dat je de GPL schendt. Of dat je leverancier dat heeft gedaan. Dan krijg jij de claim. In theorie een probleem maar in de praktijk nog nooit voorgekomen, en ook iets waar je niet meteen een schádeclaim voor krijgt. In de opensourcegemeenschap is compliance het toverwoord: men eist dat je de licentie naleeft, maar naar de rechter voor een gebruiksverbod of schadevergoeding komt niet voor.

Een derde punt dat wordt aangedragen, is de beveiliging. Daar zou je niemand op aan kunnen spreken. En ja dat klopt, opensourcelicenties zeggen dat de makers nergens voor aansprakelijk zijn. Maar veel gesloten licenties zeggen dat ook (ik heb de Plate licentie niet gezien noch de SLA, dus ik weet niet hoe veel aansprakelijkheid zij aanvaarden voor securityfouten), dus in hoeverre dit uniek OSS aan te wrijven is?

Natuurlijk, met geslotensoftwareleveranciers kun je afspraken maken. En vooral: die kun je aansprakelijkheid en een vrijwaring opdringen, dus dan is het geregeld. Dat is de juridische mindset, wij zijn eigenlijk een soort tovenaars: zeg hoe het moet zijn, laat een handtekening zetten en bracchiabindo, we hebben het geregeld.

Ik sprak ooit een inkoper van IBM die bij leveranciers altijd vroeg om volledige aansprakelijkheid en een onbeperkte vrijwaring. Toen ik zei dat hij dat niet kreeg van mijn klant, was zijn reactie “mooi, want wie dat geeft die vertrouw ik voor geen cent”. Want leuk en aardig dat het op papier staat, maar wat is dat papier waard? Kan deze leverancier die kwaliteit leveren, heeft hij de expertise om de veiligheid echt goed op te lossen? Ja, het is hun product dus dan zullen ze het echt snappen. Precies, dat zeiden ze bij Zoom ook.

En dan de uitsmijter: “Het gebruik van closed source software maakt een organisatie minder kwetsbaar voor claims van buitenaf.” Dat is niet mijn ervaring, als je in de rechtspraak kijkt dan zie je eigenlijk alleen zaken tussen closedsourceleveranciers over inbreuk op elkaars licenties of rechten. Opensourcepartijen die procederen, dat komt gewoon niet voor.

Maar ach, leuk he weer eens terug naar hoe men vorig decennium dacht?

Arnoud

Facebook doet dus al genoeg tegen nepbitcoinadvertenties, tuurlijk

Geplaatst op in Ondernemingsvrijheid, 18 reacties

Internetplatform Facebook treft vooralsnog voldoende maatregelen om nep-bitcoin advertenties met bekende Nederlanders te weren. Dat las ik in een recent vonnis. De presentator van EenVandaag was samen met zijn werkgever had Facebook aangeklaagd omdat ook hij als gezicht werd misbruikt in die Bitcoinfraudeadvertenties (“Bankiers zijn bang voor deze vondst”). Inderdaad net als John de Mol, die een rechtszaak won november vorig jaar. Sinds die uitspraak lijkt het aantal oplichtingsadvertenties op Facebook minder, maar desondanks zag deze presentator zich genoodzaakt naar de rechter te stappen. Uitspraak: Facebook doet genoeg. (Leeswaarschuwing: wie zegt er nog ‘banhammer’ in 2020? Nou de Rechtbank Amsterdam. Cringe. Cringe.)

Het probleem met die nepadvertenties is algemeen bekend denk ik: zogenaamd hebben Bekende Nederlanders zó veel geld verdiend met bitcoinhandel dat ze stoppen met hun echte werk, met lokkende koppen zoals “vaarwel John de Mol” zodat je verlokt wordt om te klikken. Vervolgens moet je een inleg betalen en dan gebeurt er niets meer, simpele oplichting dus.

Die advertenties duiken op vele plekken op, maar Facebook is een beruchte. Het netwerk stelde altijd er weinig aan te kunnen doen en vond zichzelf slechts een tussenpersoon. Terwijl andersoortige advertenties, ja precies. De rechtszaak van John de Mol van vorig jaar heeft kennelijk Facebook tot enige verbetering aangezet, want er zijn nu veel minder van die advertenties. En kennelijk hanteert het abuseteam van Facebook daarbij nog de term “banhammer” want ik zie dat op meerdere plekken in het vonnis terugkomen. Ik word oud denk ik.

Het centrale probleem blijft dat advertenties in principe pas achteraf worden beoordeeld, en dat er kennelijk geen algemeen filter is. Dat mag ook niet, zegt Facebook, want wanneer zij als platform opereert mag zij geen algemene toezichtverplichting opgelegd krijgen. En dat klopt – voor de platformacties, dus de usercontent. Volgens mij ligt dat anders bij advertenties, omdat je daar een inhoudelijke rol bij hebt. Het L’Oreal/eBay-arrest laat volgens mij wel degelijk ruimte voor preventief filteren van gelijksoortige advertenties. (En tussen de regels door lezend hééft Facebook ook dergelijke filters.)

Uiteindelijk komt de discussie neer op het punt hoe structureel het probleem nog is. Waar de eiser weliswaar vier advertenties kon laten zien, kon Facebook laten zien dat drie al meteen verwijderd waren en dat de vierde ook snel alsnog weggehaald werd. Daarmee heeft ze uiteindelijk genoeg gedaan gezien de omstandigheden; de rechter wil geen strengere filterplicht opleggen.

Arnoud

Hoe westers is artificial intelligence, en wie durft dat met mij te onderzoeken?

Geplaatst op in Informatiemaatschappij, 33 reacties

Hoe Westers is AI? Met die vraag bleef ik zitten na het lezen van een Q&A-artikel over Ubuntu-ethiek, waar je een heel andere kijk ziet op mens en maatschappij. Het idee alleen al dat je de datasubjecten, de mensen dus, betrekt bij het maken en reviewen van je AI model.. ik moet het eerste AI-bedrijf nog tegenkomen dat daarom vraagt. Ook kun je in deze ethische visie niet zomaar een AI inzetten om wat van mensen te vinden.

Eens nader lezen dus. De geïnterviewde (Sabelo Mhlambi, Berkman Klein Center, Harvard) werkte zijn ideeën al eerder uit in een paper waar ik uit haal dat de inzet van AI (machine learning) niet eens een privacydiscussie is maar een isolatieprobleem: in de Afrikaanse visie ben je als mens deel van de gemeenschap, en wie mensen apart zet of individualiseert ontdoet mensen van die verbinding.

Dat gaat dus nog een stap verder: waar wij zouden zeggen dat je in je privéleven geschonden wordt, zegt hij dat je in je menszijn geschonden wordt. Ik citeer:

The process of individualization that breaks a person’s connectedness, humanity, is a process of dehumanization. As artificial intelligence is not able to infer causality in the data it processes, it is difficult to provide recommendations that are based on the assessment of user’s needs. Most widely used recommendation systems are not able to determine the motivations behind a user’s interaction in their platform and are not able to provide value based recommendations.

Heftig. Maar het zet me ook aan het denken: welke rol moet de mens gaan spelen in het AI-ecosysteem. Welke rol heeft de consument, de burger, ja wat is eigenlijk het juiste woord om de ethische en beleidsaspecten van deze discussie mee te beschrijven?

Dit is een van de vier thema’s uit de IT Law Summer School die ik eind juli organiseer: de mens als datapunt. (Ik moet eerlijk zeggen dat ik toen ik die term formuleerde ik nog niet zo diep als dit had nagedacht over het onderwerp.) Binnen dit thema zou je dus “de visie op AI in de wereld” kunnen pakken als onderwerp, bijvoorbeeld het contrast tussen Europese, Amerikaanse, Chinese en Afrikaanse visies. En dat zou je dan uitwerken als bijvoorbeeld een visueel verhaal dat die contrasten laat zien, met toetsvragen door kunst te tonen waar de lezer uit moet kiezen. Ik zou dat in ieder geval heel gaaf vinden.

Ondertussen zit ik dan ineens met de vraag wat de Europese ethische visie op AI en machine learning is. Wat ik namelijk opmerkelijk vind aan deze hele discussie, is dat de term AI vaak gebruikt wordt terwijl men eigenlijk ML bedoelt, maar daarbij meteen maar fors extrapoleert van wat ML eigenlijk kan. Een stuk onbekendheid met de materie vermoed ik, maar het is wel jammer want je loopt gelijk voorbij het waarschijnlijke. Ik zie over tien jaar geen AI-politici bijvoorbeeld maar wél AI-HR-medewerkers. En dat heeft volgens mij minstens zo veel impact op de maatschappij.

Arnoud

Gaat Europa een Grote Firewall rond internet zetten die filtert op grondrechten?

Geplaatst op in Informatiemaatschappij, Innovatie, 31 reacties

Gaan we toe naar een afgesloten Europees internet naar het voorbeeld van de ‘Great Chinese Firewall’? Dat las ik bij Linkedin, een update van DDMA-counsel Matthias de Bruyne. Hij reageerde op een Europese studie over New Developments in Digital Services, waarin men op de korte, middellange en lange termijn. In de kern: Diensten van buiten de EU zouden alleen toegang krijgen wanneer ze laten zien dat ze aan de EU standaarden voldoen, waaronder democratische waarden, gegevensbescherming, toegankelijkheid, transparantie en gebruiksvriendelijkheid. Creatief idee, en dit is dus waarom je naar mijn Summer School moet. Maar houdt het stand?

Het Europese onderzoeksrapport – dat overigens geen juridische status heeft, er is nog niet eens een wetsvoorstel – was opgesteld om de wat langere termijn visie van de EU in kaart te kunnen brengen. Digitalisering gaat alleen maar sneller, zeker nu iedereen nog wel een paar jaar massaal op afstand blijft leven en werken. Gezondheid krijgt daarbij een forse boost, maar IoT zal ook veel aan belang toenemen.

En oh ja, de cloud gaat natuurlijk piepen en kraken want die staat in Amerika en dát land rammelt zo hard dat het niet grappig meer is. Zeker nu steeds meer wetgeving (en bijbehorende praktijk) er komt die Europese rechten en waarde bedreigt, zoals de Cloud Act alweer een tijdje geleden. Dat maakt het waard om de Europese Cloud weer eens af te stoffen. Dan zit je als afnemer niet gelijk met al die bedreigingen voor persoonsgegevens, bedrijfsgeheimen en kernwaarden van het Europese leven.

Complicatie is natuurlijk dat het perfide Pangea dan nog steeds in staat is om diensten te verkopen, met mooie praatjes en goedkopere prijzen (want ze hoeven al die regelgeving niet te implementeren). Vandaar de langetermijnvoorstellen om de levering van dergelijke diensten alleen toe te staan als de dienstverlener aan Europese basisnormen voldoet. Ik moet zeggen, ik heb me altijd afgevraagd waarom we zomaar toestaan dat buitenlandse dienstverleners over onze grondrechten heen mogen denderen. Maar het is natuurlijk wel weer érg radicaal om gewoon een Europees internetje te maken.

Ga je naar mijn Summer School, dan kun je de uitdaging oppakken om zo’n Europese cloud te ontwerpen (infrastructuur of juridisch, of allebei). Nog leuker lijkt me om het perspectief te nemen van een parlementaire enquêtecommissie die vijf jaar later terugkijkt waar het misging en hoe. Van fouten leer je, dus denk eens na wat hier allemaal mis kan gaan!

Arnoud

Oma moet van rechter foto’s kleinkinderen van social media verwijderen

Geplaatst op in Privacy, 18 reacties

Een oma moet de foto’s die ze van haar kleinkinderen op Facebook en Pinterest heeft geplaatst verwijderen, omdat dit zonder toestemming van de moeder gebeurde. Dat las ik bij Security.nl. Dit is weer zo’n vonnis dat tot vele misverstanden en broodjeaapverhalen gaat leiden. In de kern komt het (niet verrassend) erop neer dat als je iets publiceert op internet, je onder de AVG valt en dat als je geen goed verhaal hebt waarom je mag publiceren, je fout zit omdat je dan niet eens toestemming hebt gevraagd. Maar wie nu harde regels concludeert als “oma’s hebben toestemming nodig voor kleinkindfoto’s”, die zitten minstens zo fout.

De vrouw en haar dochter hebben vanwege een ruzie al ruim een jaar geen contact meer met elkaar. De dochter heeft drie minderjarige kinderen, waarvan de oma dus foto’s op Facebook en Pinterest publiceerde. De moeder maakte daar bezwaar tegen omdat zij nooit toestemming had gegeven. Ook de vader had aangegeven niet te willen dat de oma dit deed.

Toen zij desondanks daarmee door bleef gaan, stapte de dochter naar de rechter. Ze hanteerde daarbij de AVG als vordering, omdat een publicatie van een foto immers telt als een verwerking van persoonsgegevens onder die wet. En je kunt er veel sneller mee rondkomen dan de klassieke vordering op grond van schending portretrecht.

Voor juristen is het totaal niet vreemd dat een publicatie van informatie over iemand op internet telt als “verwerking van persoonsgegevens”. Dat weten we al sinds 2003, toen het Hof van Justitie bepaalde dat “Deze bijeenkomst gaat niet door omdat mevrouw Lindqvist haar been gebroken heeft” op je website zetten onder de Wbp valt. Maar omdat de Wbp geen tanden had, trok niemand zich daar wat van aan.

De AVG heeft wél tanden, ook privaatrechtelijk: een verbod met dwangsom of een schadeclaim zijn prima te eisen. En deze wet heeft een brede scope. Een belangrijke uitzondering is daarbij wel de zuiver huishoudelijke en persoonlijke verwerking, zeg maar je eigen adresboek of digitale fotomap. Die valt buiten de AVG. Alleen kun je je afvragen of een publicatie op internet nog wel “persoonlijk” is, als willekeurige anderen deze kunnen zien. Daar had de oma niets over gezegd, het was niet duidelijk hoe afgeschermd de foto’s waren. En dan ga je als rechter maar uit van “ze zijn publiek” en dan val je dus buiten de uitzondering.

Dan gaat het mis:

In de UAVG is bepaald dat voor het plaatsen van foto’s van minderjarigen, die de leeftijd van 16 jaren nog niet hebben bereikt, toestemming van hun wettelijke vertegenwoordiger(s) is vereist.

Dat is niet wat in de UAVG staat en het is een van de hardnekkigste misverstanden. Artikel 5 UAVG zegt dat als toestemming nodig is, je bij minderjarigen toestemming van de ouders moet hebben. En dat is nadrukkelijk wat anders dan dat toestemming nodig is voor een verwerking. De AVG kent immers zes grondslagen, niet alleen de grondslag toestemming. Als jij een rechtsgeldige overeenkomst met een minderjarige hebt en daarvoor is verwerking van zijn persoonsgegevens nodig, dan is ouderlijke toestemming voor die verwerking niet aan de orde. (Concreet: een kind van 12 bestelt bij jou een doos Lego en jij geeft zijn adresgegevens aan PostNL voor het vervoer. Ouderlijke toestemming niet nodig, niet voor de verwerking en niet voor de bestelling an sich.)

Het is natuurlijk wel een vraag welke grondslag de oma dan had kunnen aanvoeren. De enige optie zou het eigen gerechtvaardigd belang zijn, wat neerkomt op dat oma een journalistiek belang zou inroepen (“verspreiding van feiten, ideeën en opvattingen”, niet voorbehouden aan media-organisaties). Maar zelfs bij een hardnekkig pleitbevechter voor een ruimhartige journalistieke exceptie in de AVG als ik zie ik niet hoe publicatie van die foto belangrijker is dan de privacy van het kind. In ieder geval niet in deze situatie waarin er kennelijk ook een ouder-kind conflict is.

Arnoud

Waarom wil de Albelli-software je Mac-wachtwoord hebben bij installatie?

Geplaatst op in Ondernemingsvrijheid, 11 reacties

Via Twitter een interessante discussie tussen fotoalbumdrukker Albelli en Bruno Scheele over de installatieprocedure van de software van de eerste op de Mac van de laatste:

@albelli_nl Waarom heeft jullie desktop app mijn wachtwoord nodig om te installeren op een Mac?
Schroom niet om hier technisch op in te gaan. “Om de beste ervaring te garanderen” is namelijk een non-antwoord. Slightly smiling face

Het antwoord van Albelli komt allereerst neer op basisuitleg: wachtwoorden invoeren is nodig, zo vraagt het programma je toestemming om te kunnen installeren. Waarop Scheele terecht reageert dat het op de Mac niet zo werkt. Programma’s installeer je daar gewoon met de installatieprocedure, daar is geen wachtwoord voor nodig.

Dat laatste speelt alleen bij software die speciale permissies nodig heeft, denk aan virusscanners die overal bij moeten kunnen. Een ietwat rare situatie voor foto-software. Ja, die zal bij je bestanden moeten kunnen maar dat is een ‘gewone’ operatie waarvoor MacOS installatieprogramma’s geen wachtwoord nodig hebben.

Maar dan komt ie:

Als klant dien je ons toestemming te geven, voordat wij als bedrijf gemachtigd zijn om wijzigingen aan je computer te geven (met ‘wijzigingen’ wordt hier het installeren van een nieuw programma bedoeld). … Het is dus niet zozeer een technisch achterliggende gedachte, maar meer te vergelijken met het ondertekenen van een contract bij het aangaan van een (zaken)overeenkomst.

Deze zin riekt heel sterk naar iemand die ooit een basisboekje recht en ict las, want er zit een theoretische kern van waarheid in maar tegelijk klopt het van geen kanten.Ja, inderdaad mag een bedrijf niet op afstand wijzigingen aan iemands computer doorvoeren. Dat is verboden in de cookiewet. Downloaden en installeren van software vereist toestemming van de klant. We hebben het eerder gehad over silent installs en updates.

Maar het gaat hier om welbewust gedownloade software die men zelf installeert. Daarbij mag je toestemming wel concluderen uit het feit dat men het downloadt en de installatieprocedure start. Daarvoor is een aparte vraag niet meer nodig, en al helemaal niet door de installatieprocedure om het Mac-wachtwoord te laten vragen.

Blijft de vraag: waarom wil die applicatie wél dat wachtwoord? Welke systeembevoegdheden wil men gebruiken, en waarom? (Als flauwe jurist zeg ik dan, als je zo formeel bezig was met toestemming onder de Telecomwet dan ben je natuurlijk ook heel formeel bezig met je informatieplichten onder artikel 6:230m BW en artikel 15 AVG.)

Arnoud

Mag ik de hardcoded sleutel van een app gebruiken voor mijn eigen aanroepen?

Geplaatst op in Ondernemingsvrijheid, 36 reacties

Een lezer vroeg me:

Ik wil gebruik maken van een online tool vanuit mijn eigen software. Helaas is een zakelijke licentie op die tool veel te duur. Nu zat ik in de bijbehorende app voor consumentengebruik te kijken, en die blijkt met een hardcoded key te authenticeren. Ik kan daarmee dus perfect een aanroep simuleren, want het http verkeer is ook nog eens onversleuteld. Is dit toegestaan?

Het is in principe de bedoeling dat je aangeboden tools gebruikt zoals ze je aangereikt worden. Dat staat niet letterlijk in de wet maar volgt volgens mij uit wat juristen de redelijkheid en billijkheid noemen. Maar daar staat tegenover dat het dus niet automatisch strafbaar of onrechtmatig is als je iets anders inzet dan de aangeboden tooling.

In het geval van de vraagsteller kun je die app zien als niet meer dan een schil waarmee een server wordt aangeroepen. Ik zie het onrechtmatige niet in het zelf doen van die aanroep. In dit geval wordt er geen account van een ander gebruikt of een achterdeurtje aangeroepen. Alle apps hebben dezelfde sleutel, dus waartegen die sleutel moet beveiligen is me een raadsel.

Ook vraag je op deze manier geen informatie op waar je geen recht op had. Je had exact deze gegevens gekregen als je via de app de informatie op had gevraagd. Van computervredebreuk – ergens binnengaan waar je weet dat je niet mag zijn – kan ik dus niet spreken hier. Wellicht als je de API gaat manipuleren door extra velden te proberen, of counters gaat veranderen buiten de range die de app zelf gebruikt. Dat zou ik dus afraden.

Een complicatie bij deze vraag is dat de aanbieder zakelijke licenties onderscheidt van consumentengebruik met de app. De werkwijze van deze vraagsteller leidt ertoe dat hij onder een consumentenmantel informatie krijgt die hij zakelijk gaat inzetten. Dat zou je kunnen zien als contractbreuk: er staat vast iets in de app-licentie dat de informatie uitsluitend huishoudelijk of privé gebruikt mag worden.

Daar staat voor mij tegenover dat de vraagsteller ook met de app in de hand de informatie had kunnen verkrijgen en dan zakelijk inzetten. Daar doet die app niets tegen. Ik zie de schade niet voor de aanbieder in dat geval, dus waarom zou het dan wél schadelijk zijn als hij dat met een eigen tool doet?

Arnoud