Moet je betrokkenen vertellen dat je een melding bij de AP hebt gedaan van hun datalek?

Geplaatst op in Privacy, 4 reacties

Een lezer vroeg me:

Laatst heeft een bedrijf mijn gegevens gelekt en mij hierover geïnformeerd. Er werd echter niet vermeld of er ook melding bij de Autoriteit Persoonsgegevens was gedaan. Moet een bedrijf dit ook aan de gedupeerden van een datalek laten weten?

De AVG kent twee aparte regels voor het melden van datalekken. Allereerst is er de meldplicht bij de toezichthouder, in Nederland dus de Autoriteit Persoonsgegevens. Hier moet een datalek worden gemeld “tenzij het niet waarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt” (artikel 33 lid 1 AVG). En wanneer een datalek “waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden”, moet je ook de betrokkenen informeren (artikel 34 lid 1 AVG). Formeel heet dit overigens een “mededelingsplicht”, melden doe je immers bij autoriteiten en particulieren deel je iets mede.

In de mededeling moet je in duidelijke en eenvoudige taal (dat is taalniveau B2, zeg maar de folder bij de apotheek) aangeven wat er is gebeurd, welke gegevens zijn gelekt, welke gevolgen dit kan hebben en welke maatregelen zijn genomen om die gevolgen te beperken. De mededeling hoeft dan weer niet als je direct na het lek de boel hebt gedicht én kunt aantonen dat er nul consequenties zullen zijn. Denk aan alle gelekte wachtwoorden resetten én in je logs nagaan dat er geen inlogpogingen zijn geweest tussen het lek en de reset.

De AVG zegt niet expliciet dat je in de mededeling moet melden dat er een melding aan de AP is gedaan. Juridisch gezien is het echter ondenkbaar dat je wél de betrokkenen zou informeren maar geen melding aan de AP zou doen. Het criterium van “waarschijnlijk hoog risico” is immers strenger dan “tenzij risico niet waarschijnlijk”. Uit het feit dat je een mededeling hebt gehad, mag je dus concluderen dat er een melding is gedaan.

Het lijkt mij een triviale toevoeging en ik zou het dus ook altijd in de brief zetten, al is het maar als deel van die maatregelen die je hebt genomen en/of geruststellende uitleg dat het goed gaat komen.

Arnoud

Airbnb mag geen servicekosten rekenen aan huurders én verhuurders

Geplaatst op in Ondernemingsvrijheid, 7 reacties

En “verbod op twee heren dienen” klinkt dan zó plechtstatig dat iedereen het overneemt. Maar inderdaad, Airbnb mag geen servicekosten of andere bemiddelingskosten in rekening brengen aan Nederlandse huurders. Dat meldde Tweakers maandag. Door het vonnis kunnen klanten betaalde servicekosten terugvorderen. Het ‘verbod op het dienen van twee heren’ is bedoeld om belangenverstrengeling te voorkomen. Airbnb heeft aangekondigd dat ze in hoger beroep gaan, wat juridisch onmogelijk is, en stelt dat dit verbod voor haar in strijd is met Europees recht.

De rechtszaak werd aangespannen door een Nederlandse huurder die ruim vijfhonderd euro aan servicekosten had betaald aan Airbnb. In de Nederlandse wet staat dat een bemiddelaar tussen twee partijen niet zomaar van beiden een vergoeding mag vragen (art. 7:417 BW), wat dus het “verbod op dienen van twee heren” heet. Doel hiervan is belangenverstrengeling te voorkomen: namens de verhuurder wil je bijvoorbeeld zo veel mogelijk huur vragen, en namens de huurder de goedkoopste deal. En dan ook nog eens van beiden een courtage vangen, dat werkt niet.

Airbnb vraagt van beide partijen een vergoeding, ze noemt dat servicekosten maar voor dit wetsartikel maakt het natuurlijk niet uit hoe je die kosten noemt. Je zou dus zeggen dat dit een uitgemaakte zaak is, maar als je zo groot bent als Airbnb dan krijg je je eigen rechtsgevoel en dan ligt het dus héél anders, vandaar de rechtszaak.

In 2019 bepaalde het Hof van Justitie dat Airbnb een “dienst van de informatiemaatschappij” is, die onder de Europese regels uit Richtlijn 2000/31/EG valt (de e-commercerichtlijn). En daarin staat (artikel 3) dat lidstaten niet zomaar eigen wetgeving mogen maken om dergelijke dienstverleners aan banden te leggen. Er moet dan een duidelijke noodzaak zijn, zoals de volksgezondheid of de bescherming van de consument én evenredig zijn voor die noodzaak. Oh, en het land had bij de EU moeten melden dat ze zo’n eigen wet hadden ingevoerd. Nederland heeft dat met artikel 7:417 BW nooit gedaan (niet zo gek, dat artikel is ouder dan internet en het geldt voor iedere bemiddelaar) dus daar had Airbnb wellicht een punt.

Echter, de kantonrechter ziet in de algemene voorwaarden van Airbnb een rechtskeuze staan:

“These Terms are governed by and construed in accordance with Irish law. If you are acting as a consumer and if mandatory statutory consumer protection regulations in your country of residence contain provisions that are more beneficial for you, such provisions shall apply irrespective of the choice of Irish law. (…)”

Airbnb dacht dat ze daarmee slim ingedekt was: Iers recht, dus wat doen we überhaupt bij de Amsterdamse rechter. Maar de rechtbank is nog slimmer, en leest zin twee: als er in je eigen land gunstiger regels zijn ter bescherming van de consument, dan spreken we af dat die óók gewoon gelden. En nou is artikel 7:417 BW gunstiger dan het Ierse recht, dus was het kennelijk de wens van Airbnb om die regel te laten gelden. Daarmee is ‘ie gewoon van toepassing. En dát mag van de ecommerce richtlijn, als ondernemer zelf gunstiger regels gunnen dan de wet eist.

Het leuke is, omdat het gaat om een bedrag van maar 470 euro aan servicekosten is hoger beroep niet mogelijk. Airbnb kan dus niets doen tegen deze uitspraak. Sommige media melden dat ze nog wel naar het Hof van Justitie zou kunnen stappen, maar ik zie die route even niet. Je stapt namelijk nooit naar het Hof, je vraagt de rechtbank om vragen te stellen aan het Hof. Het enige Europese Hof waar je als persoon of bedrijf zelf heen kunt, is het Europese Hof voor de Rechten van de Mens maar die gaan hier echt niet over.

Een initiatief met de naam Dienen van Twee Heren heeft een voorbeeldbrief online gezet waarmee je je servicekosten kunt terugvorderen. Werkt Airbnb niet mee, dan gaan zij op no cure no pay een massaclaim indienen waarbij men 30% van de opbrengst als servicekosten rekent.

Arnoud

En nee, ook los van de AVG mag je werknemers (of klanten) niet temperaturen natuurlijk

Geplaatst op in Ondernemingsvrijheid, Privacy, 65 reacties

Ja, dat coronavirus blijft me zakelijk bezighouden. Kennelijk hebben een hoop mensen het in hun hoofd gekregen dat het temperaturen van bezoekers van je pand (dus personeel, maar ook zzp’ers en klanten) een nuttig idee is vanuit preventie. Ik kreeg dan ook menig journalist en werknemer in de mail met de vraag: mag je van de AVG je werknemers preventief temperaturen? Voor u verder leest: wat denkt u zelf?

Eh nee, je blijft als werkgever uit de lichaamsopeningen van je personeel. Het lijkt me vrij logisch dat dat iets is dat een goed werkgever gewoon niet doet. Dan kun je honderd redenen hebben om iets te willen weten, de lichamelijke integriteit van mensen wint gewoon van jouw zakelijk belang.

Dan heb je dus werkgevers die zeggen, ik neem zo’n contactloze thermometer zoals van het plaatje hierboven. Maar ook met zo’n contactloze thermometer gaat het niet. Die meet elektronisch en je verwerkt dan bijzondere persoonsgegevens over gezondheid. Dat mag niet als werkgever, daar heb je een arts voor nodig. Ja, ook als het iets is dat zo’n apparaat zegt dat iedereen kan. En ook als het iets is dat je thuis ook bij partner of kind doet. Op het werk gelden nu eenmaal andere regels.

En dat je een arts moet zijn, daar is een goede reden voor. Het idee achter een temperatuur nemen is dat je bezig bent met een diagnose stellen, en dat is nou eenmaal iets dat voorbehouden is aan artsen. Een van de mensen die me mailde, werd bijvoorbeeld geweigerd vanwege lichaamstemperatuur 37,8 – wat kwam omdat hij in motorpak snel naar het datacenter moest waar een cruciaal probleem moest worden opgelost. Oh ja, en hij hoestte omdat er drie man buiten stond te roken waar zijn astma niet zo goed tegen kan. Een arts zou dan zeggen, dat is geen coronoavirus, komt u binnen.

Bovendien, wat ga je doen? Iemand ziek verklaren die zich zelf gezond vindt, dat kan haast niet. Naar huis sturen preventief kan, maar dat is vrijstellen van werk dus je verzekering of UWV gaan niets betalen. En een klant wegsturen omdat zijn temperatuur te hoog is, ik zou niet eens wéten waar te beginnen in het salesgesprek.

Arnoud

Nee, het coronavirus is geen ontheffing voor de AVG

Geplaatst op in Ondernemingsvrijheid, Privacy, 17 reacties

Mijn werkgever verplicht alle werknemers nu thuis te werken vanwege de corona uitbraak. Dat las ik bij Tweakers (dank, tipgever). So far so good, maar dan komt ‘ie: men moet timetrackingsoftware installeren en deze “doet echter op random intervallen screenshots maken en volgens de privacy voorwaarden van deze software ook een lijst bijhouden met alle urls die bezocht worden en verdere activiteit op het apparaat.” De werkgever komt niet veel verder dan dat timetracking hoort bij thuiswerken en weet kennelijk niet wat die software doet. Dat is dus een probleem onder de AVG, en nee daar kom je niet mee weg omdat het een noodsituatie is en/of thuiswerken de enige optie gezien de kennelijke pandemie die zich in Nederland voordoet.

Toevallig las ik gisteren over WorkSmart, Amerikaanse software die zogenaamd de productie monitort maar in feite mensen de ziektewet in helpt:

… even using the bathroom in his own home required speed and strategy: he started watching for the green light of his webcam to blink before dashing down the hall to the bathroom, hoping he could finish in time before WorkSmart snapped another picture.

Het bedrijf achter deze software zegt dat het slechts een hulpmiddel is en dat bedrijven zelf na moeten denken hoe ze deze in willen zetten. Want als de software zegt dat iemand niet productief is, dan is dat natuurlijk reden voor een goed gesprek en geen manager koppelt aan zo’n handige indicatie een betalingsinhouding of negatieve beoordeling. Precies, zou ik ook zeggen als ik dat bedrijf was.

Mag het? Nee, natuurlijk niet. Ik zie in de draad mensen suggereren dat het zou mogen omdat het thuiswerken is en je toch iets moet om de productiviteit van je mensen in de gaten te houden. Nieuwsflash: je mag mensen sowieso al niet in de gaten houden op het werk, of je moet een héél goede reden hebben én de privacy-impact van de werknemers daarin meegenomen hebben.

En dat is tien keer zo erg thuis. In principe mág je thuis niet eens kijken hoe mensen hun werkplek ingericht hebben (en ja ondertussen ben je wel aansprakelijk als die werkplek niet arbocompliant is en mensen daardoor klachten krijgen). Dus waarom zou dat wel mogen omdat het een ict-middel is? Oh ja wacht, het is met de computer en dat is anders he. Dat is gewoon software die mensen monitort. Nee natuurlijk niet. Misschien moeten we aan de AVG een artikel toevoegen dat zegt “als het raar is wanneer een mannetje met een notitieblok het live doet, dan mag software het ook niet”.

Want nee, het elke tien minuten fotograferen van je personeel terwijl dat aan het werk is, dat krijg je echt niet rond onder de AVG. Ook niet als je zegt dat je geen ander middel hebt om hun productiviteit te meten. Want dat heb je wel, al is het maar de output die er ligt op vrijdagmiddag. Dus definieer maar een betere output metric en ga daar op sturen, zo moeilijk moet dat niet zijn als mensen in staat zijn om thuis te werken.

Arnoud

Hoe zouden robots contracten kunnen onderhandelen? #legaltechtuesday

Geplaatst op in Innovatie, 2 reacties

Goed, robots kunnen dus contracten lezen. Kort gezegd: ze herkennen tekstpatronen, al dan niet grammaticale constructies en vergelijken dat met kennis en/of regels om te bepalen of die patronen acceptabel zijn. Zo niet, dan kan het systeem dat aangeven en kan een menselijke jurist een alternatief voorstellen. Zo doen beide partijen waar ze goed in zijn: de robot het saaie werk (bevat dit patroon iets geks) en de mens het creatieve (hoe maak ik hier iets wederzijds acceptabels van). Nog een stapje verder lijkt lastig voorstelbaar – als een robot eigenlijk de grammatica al maar nauwelijks snapt, hoe kan zhij dan de strekking begrijpen én daar een alternatief van maken?

Ik blijf het zeggen: je moet wat computers doen niet beschouwen als een vorm van denken, want computers denken niet. Net zo min als onderzeeboten zwemmen (Dijkstra). Waar het om gaat is het resultaat, dat computers een andere route kiezen is een gegeven. Wil je dus iets met AI dan zul je moeten bedenken welke resultaten je wil, en dan beredeneren hoe een computer die zou kunnen bereiken.

Het programmatisch genereren van teksten is iets dat sterk in de belangstelling staat. De bekendste tool op dit gebied is GPT-2: een neuraal netwerk dat teksten kan genereren, zó goed dat maar weinig mensen het verschil zien. Dit netwerk is gebouwd op een heleboel bestaande teksten, zodat het systeem weet welke passages typisch kunnen volgen op eerdere zinnen.

Het systeem is generiek, maar er is geen reden waarom je dat niet op contracten los zou kunnen laten. Zo zou je dus snel een heleboel contracten kunnen schrijven. Alleen, wat je in de praktijk vaak wil is vooral een aanpassing op een contract en niet perse een geheel nieuwe tekst. Dat vereist meer inhoudelijke kennis van zaken, maar is iets waar natural language processing (NLP) een rol bij kan spelen.

Je zou bijvoorbeeld beide tekstvoorstellen van de twee partijen kunnen vergelijken op zoek naar verschillende constructies. Als de een ‘harde’ termen (guarantees, shall deliver) gebruikt en de ander ‘softe’ (shall use best efforts) dan kun je in die categorie bewoordingen op zoek naar een woord dat tussen die twee uitersten in zit. Je zou daarvoor zelfs in je databank met eerder goedgekeurde contracten kunnen kijken: welke clausule lijkt veel op wat deze wederpartij wil en kon wél door de beugel. Daarvoor hoef je nog steeds niet inhoudelijk de tekst te snappen zoals een mens dat zou doen, maar heb je toch een uitkomst die een mens ook zou voorstellen.

Vaak zul je zien dat zo’n database vaak de eigen modelclausules bevat. Dan krijg je een ontwikkeling dat het systeem een tegenvoorstel vooral evalueert tegen die modelclausules, en dat wordt dan uiteindelijk een gevecht om welk model het beste past bij wat de wederpartij voorstelt. En dan kom je dus weer bij die korte contracten: de onderhandeling is dan niet meer of er “shall guarantee” of een andere juridische zin zal komen te staan, maar of we Inkoop.Leverdatum.Hard hebben dan wel .Soft. Robots standaardiseren juridisch jargon, hoe mooi zou dat zijn?

Arnoud

Heb ik recht op een kopie van mijn oude werkmailbox?

Geplaatst op in Ondernemingsvrijheid, Privacy, 11 reacties

Een lezer vroeg me:

Ik heb de afgelopen 10 jaar bij 6 werkgevers gewerkt. Graag zou ik een kopie van mijn persoonlijke emailboxen bij deze bedrijven willen. Het gaat hier om outlook pst bestanden. Het gaat dus om een kopie van mijn persoonlijke zakelijke mailbox bij de betreffende ex-werkgevers. Hoe kan ik dat onder de AVG bewerkstelligen?

Volgens de AVG heb je recht op een kopie van je persoonsgegevens (artikel 15). Als je die zelf hebt geupload op basis van toestemming of overeenkomst, dan kun je die kopie zelfs in een machine-leesbaar formaat verlangen (artikel 20). Dat laatste zal hier niet spelen, een mailbox voldoet niet aan die criteria. Maar een printout van de mails zou in principe tot de mogelijkheden behoren. Als ze er nog zijn.

De eerste vraag is dus altijd of je ex-werkgever die bestanden nog heeft. Er is geen bewaarplicht voor dergelijke mailberichten (of mailboxen), dus het staat ze vrij die weg te gooien na einde dienstverband. Wat er niet is, kun je ook niet opvragen en je kunt op dat gemis geen schadeclaim baseren.

Zijn ze er wel, dan heb je dus in beginsel recht op een kopie. Een mail van of aan jou bevat immers jouw persoonsgegevens, al is het maar je naam of e-mailadres. Maar ook zaken als wat er aan je werd gevraagd of wat je antwoord was, zijn te zien als persoonsgegevens. Dat begrip is immers veel breder dan enkel de administratrivia over jou.

Ik zeg “in beginsel”, want lid 4 van artikel 15 zegt enigszins cryptisch:

3. Het in lid 3 bedoelde recht om een kopie te verkrijgen, doet geen afbreuk aan de rechten en vrijheden van anderen.

De strekking van dit lid 4 is dat jouw inzageverzoek geen rechten van anderen mag schenden, zoals hun privacy (denk aan de collega met wie je mailt) of intellectuele rechten zoals bedrijfsgeheimen of auteursrechten. Echter, dat betekent niet dat men eenvoudigweg “ja ho privacy van collega’s” of “oh noes bedrijfsgeheim” mag zeggen en dan inzage weigeren. Overweging 63 bij de AVG eist dat er een belangenafweging plaatsvindt met een poging ergens een middenweg te vinden.

Wat die middenweg moet zijn bij je zakelijke mailbox, dat weet ik zo net nog niet. Het praktische probleem dat ik zie, is vooral dat die mailbox zelden zo gestructureerd is dat je de persoonlijke mails eruit kunt lichten. De hele pst mailbox afgeven voelt als te veel voor het verzoek, en eisen dat de werkgever maar even door de mailbox heengaat om de relevante dingen te vinden, is ook weer disproportioneel. Maar “dat is heel veel werk” is dan weer geen argument onder de AVG (artikel 12 lid 5). Alleen als het echt buitensporig veel werk is, mag je weigeren.

Ik denk dat voor mij de hoofdvraag zou zijn om wat voor mails het dan precies gaat. Als je bedoelt “alle mails die vanaf mijn voornaam punt achternaam at bedrijfsnaam punt extensie zijn verzonden en ontvangen”, dan zou ik daar toch die bedrijfsgeheim-uitzondering tegenaan gooien. Dergelijke mails zijn primair zakelijk en dus bedrijfsvertrouwelijk. De meer persoonsgebonden mails (zeg, je correspondentie met de bedrijfsvertrouwenspersoon, de kattenbelletjes met je partner, de naar kantoor gemailde vakantiefoto’s om in kleur te printen) kan ik moeilijk als zakelijk vertrouwelijk zien, maar die uit een grote mailbox vissen zonder verder enige structuur zou ik wel buitensporig vinden.

Samenvattend denk ik dat een ex-werkgever dit dus mag weigeren. Tenzij je altijd heel braaf je privémails in een apart mapje hebt gestopt en het verzoek beperkt tot dat mapje (dat je dus bij naam noemt, met uitleg van de criteria van wat daar in ging). Alleen: dat mapje hoorde op de dag na einde dienstverband te zijn gewist, want er was nooit enige reden om dit te bewaren. Dus netto krijg je dan nog steeds niets, volgens mij.

Arnoud

Nee, MIDI muziek is nu niet allemaal plotsklaps publiek domein geworden, maar leuk bedacht was het wel

Geplaatst op in Intellectuele rechten, 10 reacties

Twee Amerikaanse muzikanten hebben alle technisch mogelijke melodieën gegenereerd op een synthesizer, daar copyright op aangevraagd en vervolgens de hele bups aan het publiek domein geschonken. Dat meldde Vice onlangs, overigens het enige online medium dat me tegelijk knappe én tenenkrommende artikelen voorschotelt. De gedachte achter het experiment was de kans op rechtszaken over gelijkende muziek te verkleinen, omdat iedereen nu kan zeggen dat hun melodie afgeleid is van deze publieke deuntjes en dus niet van de geldbeluste concurrent die drie noten meende te herkennen. Zo werkt het helaas niet, maar het idee is zeer nobel.

Muziekauteursrecht is een lastig ding, omdat het daar vaak gaat om of dingen “gelijkend klinken” en dat is niet hetzelfde als dat het bladmuziekschema overgetypt is. In België had je ooit die zaak dat Madonna’s Frozen inbreuk maakte op een Belgisch muziekwerk (wat later weer anders bleek te liggen), en in de VS is het nog extremer: daar is zo ongeveer het klinkt conceptueel hetzelfde juridisch genoeg om van inbreuk te mogen spreken. Een buitengewoon vage toestand, die zeker in sue-happy USA snel leiden tot dure schikkingen.

Muzikanten Damien Riehl and Noah Rubin hadden daar een mooie brute force oplossing voor:

To determine the finite nature of melodies, Riehl and Rubin developed an algorithm that recorded every possible 8-note, 12-beat melody combo. This used the same basic tactic some hackers use to guess passwords: Churning through every possible combination of notes until none remained. Riehl says this algorithm works at a rate of 300,000 melodies per second.

Het resultaat werd geregistreerd bij het US Copyright Office (wat in de VS moet om statutory damages te claimen, maar formeel geen vereiste is voor het hebben van een copyright, maar goed tot 1978 werkte dat anders en juristen zijn nu eenmaal ouderwets) en daarna verklaarde men het werk publiek domein. (Klik hier voor archief.) Dus nu kan iedereen die melodieën pakken en ermee doen wat men wil. Eventuele claims dat men andermans rechten schendt door gelijkenis van melodie zijn dus eenvoudig te pareren, want er is gewoon uit dat publiek domein geput.

Nou ja, niet helemaal. Inbreuk gaat niet alleen maar over gelijkenis, en een verweer moet meer zijn dan “ik had het ook uit die publiek domein set van Riehl en Rubin kunnen pakken”. Als jouw werk veel lijkt op dat van een ander, dan moet je aantonen dat je het echt hébt ontleend uit die set van die twee. En het is goed mogelijk dat die ander die melodie net even wat had bewerkt en daar een eigen auteursrecht op heeft, zoals bij de Nokia Tune die één noot verschilt met een publiek domein werk maar écht wel eigen creativiteit kent.

Een tikje jeuk krijg ik van de redenering van Riehl en Rubin dat omdat MIDI bestanden nummers zijn:

“Under copyright law, numbers are facts, and under copyright law, facts either have thin copyright, almost no copyright, or no copyright at all,” Riehl explained in the talk. “So maybe if these numbers have existed since the beginning of time and we’re just plucking them out, maybe melodies are just math, which is just facts, which is not copyrightable.”

Nee, zo werkt het niet. Een boek is ook maar een getal als je ‘m als PDF opslaat, maar toch zit er auteursrecht op een boek. Een melodie is gewoon auteursrechtelijk beschermd omdat er creativiteit in het samenstellen daarvan is gaan zitten.

De tentamenvraag is dan ook: zit er creativiteit in het brute force verzamelen van alle melodieën?

Arnoud

Dat mag dus toch niet, persoonsgegevens van je leden verkopen?

Geplaatst op in Ondernemingsvrijheid, Privacy, 46 reacties

De KNLTB heeft van de Autoriteit Persoonsgegevens (AP) een geldboete gekregen van ruim een half miljoen euro voor het verstrekken van persoonsgegevens aan twee commerciële partners. Dat meldde het AD onlangs. De tennisbond gaat in beroep tegen de sanctie. De verstrekking is in strijd met de AVG, omdat er geen invulling van het eigen gerechtvaardigd belang mogelijk is wanneer je niets meer doet dan persoonsgegevens verstrekken tegen betaling. En ja, ik dacht dat het wel mocht maar ik ga dus toch proberen enigszins objectief een analyse te maken van de zaak. Want stiekem worden hier toch een paar best fundamentele standpunten ingenomen die laten we zeggen voor de markt een tikje verrassend waren.

In maart vorig jaar kwam in het nieuws dat de KNLTB op zoek was naar extra bronnen van inkomens, en haar ledenlijst als een waardevol betaalmiddel ziet. Daarom is besloten om die ledenlijst eens commercieel te activeren, door ze aan (ongetwijfeld zorgvuldig geselecteerde) partners te geven. Deze mogen dan bellen of brieven sturen met reclame, totaal maximaal drie keer per kwartaal. E-mail is uitgezonderd, daarvoor moeten leden een aparte opt-in geven vanwege het spamverbod uit de Telecomwet. (En daar ging het overigens ook bij mis, uit het boetebesluit blijkt dat er wél zonder opt-in mailadressen zijn verhandeld. Maar dat terzijde.)

Een aantal leden pikte dat niet, en diende klachten in bij de AP. Die trad vervolgens zeer voortvarend op, inclusief een mediaoptreden van de voorzitter waaruit je zou kunnen afleiden dat een boete onvermijdelijk was. (De AP betreurt die gang van zaken maar stelt desondanks gewoon objectief te hebben gehandeld.) Na onderzoek kwam men dan ook direct met een boete aanzetten. Wat dus mag onder de AVG én de boetebeleidsregels van de AP zelf, als de overtreding ernstig genoeg is. En dat is dus hier het geval, aldus de toezichthouder.

Inhoudelijk komt het vooral neer op de vraag: wanneer mag je zonder opt-in commercieel handelen in persoonsgegevens? Daar is naar de letter van de AVG een antwoord op: als je je kunt beroepen op een eigen gerechtvaardigd belang, en daarbij een privacyafweging hebt gemaakt die in jouw voordeel afweegt. Een voorbeeld van zo’n afweging is dat je camera’s in kan zetten om je terrein te bewaken, maar dat je inzage in de beelden beperkt tot politie in geval van strafbare feiten. Het onderliggende belang is dan het beschermen van je eigendomsrecht.

De AP komt nu met het strenge standpunt dat commerciële belangen nooit gerechtvaardigd kunnen zijn. Die zijn namelijk niet als zodanig in de wet erkend, in tegenstelling tot zeg eigendomsrecht of de vrijheid van meningsuiting. Er is natuurlijk het grondrecht van de ondernemingsvrijheid, maar dat vindt men te onbepaald en generiek om als grondslag te kunnen dienen voor de handel in persoonsgegevens. Daarmee is er dus eigenlijk nóóit een rechtvaardiging te verzinnen om in persoonsgegevens te handelen, als ik even tussen de regels samenvat.

Daar komt bij dat tot 2007 de leden bij lid worden niet expliciet werden gemeld dat dit zou gaan gebeuren. Voor die categorie gaat het nog iets erger mis: de doelbinding tussen de oorspronkelijke verzameldoeleinden (de lidmaatschapsovereenkomst) en het nieuwe doel (de handel) ontbreekt volledig. En dan mag je simpelweg de gegevens niet inzetten voor het nieuwe doel, ook niet als je daar een mooie grondslag-redenering voor weet te verzinnen. En nee, dat krijg je ook niet recht door je privacystatement aan te passen, want de gegevens hád je dan al. Je moet het dus echt opnieuw vragen, maar in die situatie is het onvermijdelijk dat je toestemming gaat vragen.

En ja, ik vind dit controversiële standpunten, ik zou zelfs zeggen gedurfd. Het betekent natuurlijk de doodsteek voor datahandel, dus daarom volgt hoe dan ook bezwaar en daarna beroep bij de rechtbank. Maar het boetebesluit legt de pijn bloot van hoe datahandel werkt en hoe hard het eigenlijk niet klopt. Dus ik ben benieuwd.

Arnoud

Kan Apple verbieden dat de bad guy in een film met een iPhone rondloopt?

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 5 reacties

Elektronicagigant Apple zou niet toestaan dat bad guys in een film met de iPhone rondlopen, las ik bij Ars Technica. Zij citeren een interview met regisseur Rian Johnson, die er meteen bij zegt dat hij het eigenlijk niet moet zeggen omdat mystery movies wel erg makkelijk worden als je ineens één acteur met een gare Android telefoon ziet rondlopen terwijl de rest hipster met iPhone is. Apple was niet bereid om commentaar te geven, maar het voelt wel érg verstrekkend dat ze dit zo zouden kunnen doen.

De meest voor de hand liggende verklaring is dat Apple deze opstelling kiest bij product placement oftewel gesponsorde verstrekking van Apple-apparatuur. Bij zo’n zakelijke overeenkomst kun je best regels stellen, waaronder dus dat alleen de goeien met de iPhone rondlopen. Dat is niet ongebruikelijk. Al veel langer is bijvoorbeeld het voorbeeld bekend dat het Amerikaanse leger je gerust mooie apparatuur, tanks en soldaten uitleent maar dat het leger dan wel mooi uit moet komen in de film.

Ook in Nederland hebben we dat gehad: de politie ‘herkende zich niet’ in het beeld van de agent die acteur Tygo Gernandt neerzette in Dokter Tinus, dus mocht hij niet het officiële uniform dragen maar alleen het afgedragen veldwachterkostuum uit Swiebertje, als ik me het goed herinner. Daar trok de rechter een forse streep door: natuurlijk wil de politie leuk uitkomen in series, maar het belang van herkenbaarheid staat voorop. Bovendien kan een overheid niet zomaar zeggen dat ze bepaalde uitingen vooraf wil inzien én daar correcties in eisen, ook niet met een beroep op een merk of auteursrecht. Dat noemen we immers censuur.

Apple is geen overheid en kan dus geen censuur plegen. Als zij toestemming willen onthouden aan partijen die niet hun spelregels willen volgen (lees: die een bad guy op de iPhone willen laten werken) dan is dat hun goed recht. Alleen krijg je dan de vraag of je die toestemming wel echt nodig hebt, iets dat in IE-land vaak wordt vergeten.

Het argument zou dan zijn dat Apple reputatieschade lijdt door dergelijke inzet van de iPhone, en dat dat onrechtmatig is zodat ze een verbod zou kunnen eisen bij de rechter. En wie een verbod kan eisen, kan ook toestemming afdwingen. De reputatieschade zou dan zijn dat wanneer je in de winkel staat, je toch maar geen iPhone koopt want in die ene film had de moordenaar die ook. Nee, die vind ik ook niet heel sterk.

Wel een mogelijke situatie zou zijn als de filmmaker de iPhone centraal zet, helemaal als hij mede door dat bekende product bewezen meer succes heeft met de film. Dat soort oneerlijk meeliften op andermans reputatie kan wél als merkinbreuk worden aangepakt. Maar bij een film lijkt me dat wat lastig voorstelbaar, ik kan me althans geen relevant plot voor de geest halen. Dat je de film maakt met een iPhone en dat je daardoor opvalt als filmmaker, lijkt me in ieder geval niet genoeg.

Arnoud

Hoe meer we robots contracten laten lezen, hoe korter contracten worden #legaltechtuesday

Geplaatst op in Innovatie, 5 reacties

Ja, contractlezende robots komen eraan. Die scannen op vrij triviale wijze, trekken conclusies volgens standaardregels en geven basaal advies. Maar toch: dat is goed genoeg voor de meeste afnemers van juridische dienstverlening. De mens blijft over om de moeilijke gevallen te lezen, dat dan weer wel. Maar vandaag wou ik het over een ander aspect hebben: als je robots contracten laat lezen (en schrijven) dan zul je zien dat die contracten langzaam maar zeker korter worden. En dat kan voor gewone mensen best eens interessant zijn.

Een computer heeft geen idee wat hij leest, maar kan wel héél snel vaststellen of een clausule lijkt op een andere. Dat zei ik vorige week en dat was een tikje kort door de bocht: met natural language processing (NLP) technieken kan een AI best wel wat grammaticale dingen onderkennen, bijvoorbeeld vaststellen dat “Supplier guarantees safe delivery of the Products” hetzelfde is als “Manufacturer warrants defect-free transport of the Goods” en dat die twee clausules dus hetzelfde ‘doen’, juridisch gezien. Namelijk: de risico’s voor transportschade bij de leverancier leggen.

Zo’n computersysteem zal dan op basis van zo’n analyse de conclusie trekken dat die risico’s daar liggen, en kan dat bijvoorbeeld rapporteren in een contract management systeem. De inkoper weet dan dat dat contract veilig is op het punt van transport, en kan dus dat contract dan als een lager risico inschatten. Of de bedrijfsjurist weet daarmee dat aan het inkoopbeleid is voldaan. Zou er een “not” in de clausules hebben gestaan, dan had het systeem een alarmpje moeten laten afgaan dat hiermee de ontvanger op kosten kan worden gejaagd.

Wat de conclusie ook is, die komt er niet uit als die zin met juridisch jargon maar als de samenvatting “Transport risk: supplier” of iets dergelijks. En dat is dus waarom contracten korter worden. De volgende keer dat er wordt onderhandeld, zegt die inkoper of jurist niet meer dan dat het transportrisico bij de supplier moet liggen (wat ze nu al vaak ook zeggen). Het contractonderhandelsysteem zal dan een clausule zoeken die aan die eis voldoet, maar of hij nu die eerste of tweede voorbeeldzin pakt, dat maakt daarbij niet uit.

Op dat moment is dus “Transportrisico: supplier” synoniem geworden voor “Manufacturer warrants defect-free transport of the Goods”. En dan kun je dus net zo goed dat eerste in het contract zetten. In onderhandelingsjargon: het contract valt weg en je houdt alleen de term sheet over, omdat partijen raamafspraken hebben over wat term sheet bepalingen betekenen.

Natuurlijk, juridisch jargon kan behoorlijk wat nuance krijgen. Er is het nodige dat je toe kunt voegen aan die clausule waardoor er nét wat anders komt te staan, zoals “commercially safe” waardoor het niet helemaal hetzelfde meer is als “guarantees safe delivery”. Maar dergelijke clausules zullen de uitzondering zijn en blijven. Die worden dan wel gesignaleerd maar maken het proces langer. Dat zal leiden tot langere contractsonderhandelingen, waar niemand op zit te wachten. Dus dat zul je minder en minder vaak zien.

Het gevolg is natuurlijk wel dat het aantal ‘smaken’ waarin je afspraken over risico’s maakt, ook weer beperkt. Want effectief heb je alleen nog de smaken over die de partijen regelmatig gebruiken. Is dat erg? Ik denk van niet, althans in commerciële contracten. In de praktijk zit je daar vaak toch maar met een beperkt aantal opties. Om een ander voorbeeld te nemen: contracten duren vaak zes maanden, een jaar, twee jaar, drie, vijf of tien. Het eerste contract dat 7 jaar en 6 maanden duurt, moet ik nog tegenkomen. Het zal vast wel eens geopperd zijn, maar het is zeer ongebruikelijk. Moet je dan rekening houden met zo’n edge case? Ik denk dat alles een stuk soepeler gaat als je dergelijke opties uitsluit. En daar worden contracten korter van.

Arnoud