Oke mag ik dan wél thuiswerken (of e-lesgeven) van de AVG vanwege het coronavirus?

Geplaatst op in Ondernemingsvrijheid, Privacy, 7 reacties

Nederland is koploper thuiswerken, las ik op diverse plekken. Bestrijding van het coronavirus vereist dat we onszelf zo veel mogelijk isoleren, en thuiswerken is dan ook een logische maatregel (en ja, mijn kantoor is natuurlijk ook dicht nu). Ook het onderwijs is dicht, en daar wordt nu ook breed gegrepen naar elearning en video-oplossingen. En ja, vorige week was ik ook al aan het zeuren over de AVG maar ik kom er toch nog eens op terug want ik zie toch veel misgaan bij de snelle keuze voor video, monitoring en onderwijs op afstand.

Natuurlijk snap ik dat het nu voor iedereen hoogst acuut is om toch even iéts te kunnen realiseren. Geen onderwijs of niet kunnen werken is erger dan kunnen werken met een suboptimale tool. Mijn zorg is alleen vooral dat als we over een aantal maanden, als dit virus weer onder controle is, we blijven werken met deze tools omdat het nu eenmaal lekker werkt. Toch even verder kijken en onderzoeken lijkt me dan ook wel verstandig.

Het probleem zit hem wat mij betreft vooral in het feit dat de snelst inzetbare thuiswerk- en elearningtools uit Amerika komen. De regels over privacy zitten daar, laten we zeggen, net even anders dan bij ons. De aanbieders van die tools beschouwen de gebruikers als de ruwe grondstof voor het verbeteren van hun dienstverlening, al dan niet gekoppeld aan advertentieverkoop of profileren. En dat mag prima in de VS, moet je de privacyverklaring maar lezen en/of de voorwaarden maar afwijzen als het je niet bevalt. En dat is natuurlijk een volkomen absurde fictie maar wel het geldend recht in Amerika.

Hier zouden we iets veiliger moeten zitten omdat de AVG rare voorwaarden verbiedt. Zo kun je niet in gebruiksvoorwaarden akkoord gaan met het monitoren van je elearning- of thuiswerkgedrag door de dienstverlener, of voor het analyseren daarvan voor het ahem “verbeteren van de dienstverlening”. Je zult heel expliciet (dus met een privacyverklaring in eenvoudige taal) moeten uitleggen wat dat precies inhoudt en hoezo die dienstverlener dat zelf gaat doen.

Daarnaast hebben thuiswerk- en elearning tools nog wel eens monitoring features waar we in Europa de wenkbrauwen juridisch van fronsen. Ik blogde al over die webcam die foto’s maakt om je werk te monitoren, maar ook bij studenten en scholieren blijkt er te kunnen worden meegekeken door docenten zonder dat dat gemeld is bij de ouders (of meerderjarige studenten zelf). Dat is natuurlijk heel erg niet de bedoeling.

In het onderwijs zou ik zo hard mogelijk willen benadrukken: kijk bij het privacy Convenant voor partijen waar je wél keurig onder de Europese regels kunt werken. Voor werkgevers is er niet direct zo’n site maar je kunt natuurlijk wel gewoon kiezen voor een Europese leverancier die zelf durft te zeggen dat hij GDPR compliant is terwijl er geen toestemmingsknopje in beeld komt bij de installatieprocedure. (Wie om toestemming vraagt, doet het fout onder de AVG.)

Arnoud

Aangifte tegen studenten om racistische plaatjes in appgroepen

Geplaatst op in Uitingsvrijheid, 11 reacties

Studenten van de Erasmus Universiteit en de Hogeschool van Rotterdam hebben seksistische, racistische, antisemitische beelden en porno gedeeld in besloten appgroepen. Dat meldde de Telegraaf onlangs. De universiteit en de hogeschool gaan daarom aangifte doen, en mogelijk ook eigen maatregelen (zoals schorsing) nemen. In appgroepen werden heftige beelden gedeeld onder het mom van ‘grappig’ en ‘meme’, waarbij het dan zou gaan om besloten groepen maar sommigen telden 200 mensen en lieten iedereen toe. Lang niet iedereen die in die groepen zat, had daar behoefte aan, vandaar dat de universiteit nu stappen onderneemt. Maar hoe besloten is zo’n groep eigenlijk, en is het strafbaar om in een besloten groep dergelijk materiaal te delen?

Het argument dat een whatsappgroep (of Telegramgroep of Signalgroep of whatever) besloten is en dus buiten de wet valt, hoor ik vaker. Dat is echter maar zelden een argument. Bij bijvoorbeeld belediging is het totaal niet relevant of dit plaatsvond in het openbaar dan wel in een besloten groep. Als de beledigde ook in de besloten groep zit, is het gewoon strafbaar. Bij smaad is het ongeveer hetzelfde; daar gaat het erom of de bedoeling was dat de smadelijke bewering in brede kring terecht kón komen (“met het kennelijke doel daar ruchtbaarheid aan te geven”). Dat nu drie mensen het horen, is dus niet relevant.

Er zijn wel delicten waar de openbaarheid uitmaakt. Bij bijvoorbeeld haatzaaien en racisme is het vereist dat het in het openbaar gebeurt. Een groep met maar drie mensen is natuurlijk niet perse openbaar. Sterker nog, het aantal mensen in de groep is dan überhaupt niet het criterium. Waar het om gaat, is hoe makkelijk mensen aan de groep toegevoegd worden. Dát bepaalt of een groep openbaar is. Zeg maar: in mijn huiskamer mag niet iedereen zomaar naar binnen, in een café wel. Daarom is een café openbaar en mijn huiskamer niet. Een café kan strenge huisregels stellen en deurbeleid voeren, daarmee worden ze meer een huiskamer in de context van dit soort berichten.

Het lijkt erop dat deze appgroepen volstrekt niet besloten zijn. De beheerder liet kennelijk makkelijk mensen toe, ook als ze niet eens behoorden tot de groep mensen waar de groep voor opgezet was. Dan ben je natuurlijk heel snel klaar met je discussie: als je dan overigens strafbare zaken gaat verspreiden dan heb je juridisch een probleem.

Sommige mensen waren verbaasd dat de universiteit dan aangifte kon doen, terwijl dit niet op universiteitsterrein is gebeurd. Maar iedereen die weet van een strafbaar feit, mag daar aangifte van doen. Je hoeft geen slachtoffer of zelfs maar belanghebbende te zijn. Alleen is het de vraag wat er gebeurt met je aangifte als je totaal niets met het delict te maken hebt. Bij bijvoorbeeld smaad kan de zaak eigenlijk niet verder wanneer het slachtoffer dat niet wil (klachtdelict) dus dan kan de universiteit aangifte doen wat ze wil maar zal er niets gebeuren. Maar bij haatzaaien is een aangifte van de universiteit zeker niet kansloos.

Het opleggen van eigen sancties is iets lastiger. Natuurlijk kan een universiteit mensen schorsen of zelfs van de opleiding sturen, maar dan moet het wel gaan om dingen die de universiteit zelf als verboden heeft verklaard. In de wet (Wet hoger onderwijs artikel 7.57h) staat bijvoorbeeld dat ernstige overlast op de terreinen reden voor ontzegging kan zijn. En alle examenreglementen vermelden natuurlijk fraude als grond voor schorsing et cetera.

Maar een strafbare uiting in een groep die verder geen binding heeft met de universiteit, dat lijkt me iets lastiger. Ik denk dat dat alleen werkt als je een ‘haakje’ naar een andere student hebt, bijvoorbeeld een groepslid dat er eigenlijk niet in wil zitten maar zich gepusht voelt toch die berichten te blijven ontvangen. Dat zou je kunnen zien als een vorm van overlast veroorzaken tussen studenten onderling.

Arnoud

Moet je betrokkenen vertellen dat je een melding bij de AP hebt gedaan van hun datalek?

Geplaatst op in Privacy, 4 reacties

Een lezer vroeg me:

Laatst heeft een bedrijf mijn gegevens gelekt en mij hierover geïnformeerd. Er werd echter niet vermeld of er ook melding bij de Autoriteit Persoonsgegevens was gedaan. Moet een bedrijf dit ook aan de gedupeerden van een datalek laten weten?

De AVG kent twee aparte regels voor het melden van datalekken. Allereerst is er de meldplicht bij de toezichthouder, in Nederland dus de Autoriteit Persoonsgegevens. Hier moet een datalek worden gemeld “tenzij het niet waarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt” (artikel 33 lid 1 AVG). En wanneer een datalek “waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden”, moet je ook de betrokkenen informeren (artikel 34 lid 1 AVG). Formeel heet dit overigens een “mededelingsplicht”, melden doe je immers bij autoriteiten en particulieren deel je iets mede.

In de mededeling moet je in duidelijke en eenvoudige taal (dat is taalniveau B2, zeg maar de folder bij de apotheek) aangeven wat er is gebeurd, welke gegevens zijn gelekt, welke gevolgen dit kan hebben en welke maatregelen zijn genomen om die gevolgen te beperken. De mededeling hoeft dan weer niet als je direct na het lek de boel hebt gedicht én kunt aantonen dat er nul consequenties zullen zijn. Denk aan alle gelekte wachtwoorden resetten én in je logs nagaan dat er geen inlogpogingen zijn geweest tussen het lek en de reset.

De AVG zegt niet expliciet dat je in de mededeling moet melden dat er een melding aan de AP is gedaan. Juridisch gezien is het echter ondenkbaar dat je wél de betrokkenen zou informeren maar geen melding aan de AP zou doen. Het criterium van “waarschijnlijk hoog risico” is immers strenger dan “tenzij risico niet waarschijnlijk”. Uit het feit dat je een mededeling hebt gehad, mag je dus concluderen dat er een melding is gedaan.

Het lijkt mij een triviale toevoeging en ik zou het dus ook altijd in de brief zetten, al is het maar als deel van die maatregelen die je hebt genomen en/of geruststellende uitleg dat het goed gaat komen.

Arnoud

Airbnb mag geen servicekosten rekenen aan huurders én verhuurders

Geplaatst op in Ondernemingsvrijheid, 7 reacties

En “verbod op twee heren dienen” klinkt dan zó plechtstatig dat iedereen het overneemt. Maar inderdaad, Airbnb mag geen servicekosten of andere bemiddelingskosten in rekening brengen aan Nederlandse huurders. Dat meldde Tweakers maandag. Door het vonnis kunnen klanten betaalde servicekosten terugvorderen. Het ‘verbod op het dienen van twee heren’ is bedoeld om belangenverstrengeling te voorkomen. Airbnb heeft aangekondigd dat ze in hoger beroep gaan, wat juridisch onmogelijk is, en stelt dat dit verbod voor haar in strijd is met Europees recht.

De rechtszaak werd aangespannen door een Nederlandse huurder die ruim vijfhonderd euro aan servicekosten had betaald aan Airbnb. In de Nederlandse wet staat dat een bemiddelaar tussen twee partijen niet zomaar van beiden een vergoeding mag vragen (art. 7:417 BW), wat dus het “verbod op dienen van twee heren” heet. Doel hiervan is belangenverstrengeling te voorkomen: namens de verhuurder wil je bijvoorbeeld zo veel mogelijk huur vragen, en namens de huurder de goedkoopste deal. En dan ook nog eens van beiden een courtage vangen, dat werkt niet.

Airbnb vraagt van beide partijen een vergoeding, ze noemt dat servicekosten maar voor dit wetsartikel maakt het natuurlijk niet uit hoe je die kosten noemt. Je zou dus zeggen dat dit een uitgemaakte zaak is, maar als je zo groot bent als Airbnb dan krijg je je eigen rechtsgevoel en dan ligt het dus héél anders, vandaar de rechtszaak.

In 2019 bepaalde het Hof van Justitie dat Airbnb een “dienst van de informatiemaatschappij” is, die onder de Europese regels uit Richtlijn 2000/31/EG valt (de e-commercerichtlijn). En daarin staat (artikel 3) dat lidstaten niet zomaar eigen wetgeving mogen maken om dergelijke dienstverleners aan banden te leggen. Er moet dan een duidelijke noodzaak zijn, zoals de volksgezondheid of de bescherming van de consument én evenredig zijn voor die noodzaak. Oh, en het land had bij de EU moeten melden dat ze zo’n eigen wet hadden ingevoerd. Nederland heeft dat met artikel 7:417 BW nooit gedaan (niet zo gek, dat artikel is ouder dan internet en het geldt voor iedere bemiddelaar) dus daar had Airbnb wellicht een punt.

Echter, de kantonrechter ziet in de algemene voorwaarden van Airbnb een rechtskeuze staan:

“These Terms are governed by and construed in accordance with Irish law. If you are acting as a consumer and if mandatory statutory consumer protection regulations in your country of residence contain provisions that are more beneficial for you, such provisions shall apply irrespective of the choice of Irish law. (…)”

Airbnb dacht dat ze daarmee slim ingedekt was: Iers recht, dus wat doen we überhaupt bij de Amsterdamse rechter. Maar de rechtbank is nog slimmer, en leest zin twee: als er in je eigen land gunstiger regels zijn ter bescherming van de consument, dan spreken we af dat die óók gewoon gelden. En nou is artikel 7:417 BW gunstiger dan het Ierse recht, dus was het kennelijk de wens van Airbnb om die regel te laten gelden. Daarmee is ‘ie gewoon van toepassing. En dát mag van de ecommerce richtlijn, als ondernemer zelf gunstiger regels gunnen dan de wet eist.

Het leuke is, omdat het gaat om een bedrag van maar 470 euro aan servicekosten is hoger beroep niet mogelijk. Airbnb kan dus niets doen tegen deze uitspraak. Sommige media melden dat ze nog wel naar het Hof van Justitie zou kunnen stappen, maar ik zie die route even niet. Je stapt namelijk nooit naar het Hof, je vraagt de rechtbank om vragen te stellen aan het Hof. Het enige Europese Hof waar je als persoon of bedrijf zelf heen kunt, is het Europese Hof voor de Rechten van de Mens maar die gaan hier echt niet over.

Een initiatief met de naam Dienen van Twee Heren heeft een voorbeeldbrief online gezet waarmee je je servicekosten kunt terugvorderen. Werkt Airbnb niet mee, dan gaan zij op no cure no pay een massaclaim indienen waarbij men 30% van de opbrengst als servicekosten rekent.

Arnoud

En nee, ook los van de AVG mag je werknemers (of klanten) niet temperaturen natuurlijk

Geplaatst op in Ondernemingsvrijheid, Privacy, 65 reacties

Ja, dat coronavirus blijft me zakelijk bezighouden. Kennelijk hebben een hoop mensen het in hun hoofd gekregen dat het temperaturen van bezoekers van je pand (dus personeel, maar ook zzp’ers en klanten) een nuttig idee is vanuit preventie. Ik kreeg dan ook menig journalist en werknemer in de mail met de vraag: mag je van de AVG je werknemers preventief temperaturen? Voor u verder leest: wat denkt u zelf?

Eh nee, je blijft als werkgever uit de lichaamsopeningen van je personeel. Het lijkt me vrij logisch dat dat iets is dat een goed werkgever gewoon niet doet. Dan kun je honderd redenen hebben om iets te willen weten, de lichamelijke integriteit van mensen wint gewoon van jouw zakelijk belang.

Dan heb je dus werkgevers die zeggen, ik neem zo’n contactloze thermometer zoals van het plaatje hierboven. Maar ook met zo’n contactloze thermometer gaat het niet. Die meet elektronisch en je verwerkt dan bijzondere persoonsgegevens over gezondheid. Dat mag niet als werkgever, daar heb je een arts voor nodig. Ja, ook als het iets is dat zo’n apparaat zegt dat iedereen kan. En ook als het iets is dat je thuis ook bij partner of kind doet. Op het werk gelden nu eenmaal andere regels.

En dat je een arts moet zijn, daar is een goede reden voor. Het idee achter een temperatuur nemen is dat je bezig bent met een diagnose stellen, en dat is nou eenmaal iets dat voorbehouden is aan artsen. Een van de mensen die me mailde, werd bijvoorbeeld geweigerd vanwege lichaamstemperatuur 37,8 – wat kwam omdat hij in motorpak snel naar het datacenter moest waar een cruciaal probleem moest worden opgelost. Oh ja, en hij hoestte omdat er drie man buiten stond te roken waar zijn astma niet zo goed tegen kan. Een arts zou dan zeggen, dat is geen coronoavirus, komt u binnen.

Bovendien, wat ga je doen? Iemand ziek verklaren die zich zelf gezond vindt, dat kan haast niet. Naar huis sturen preventief kan, maar dat is vrijstellen van werk dus je verzekering of UWV gaan niets betalen. En een klant wegsturen omdat zijn temperatuur te hoog is, ik zou niet eens wéten waar te beginnen in het salesgesprek.

Arnoud

Nee, het coronavirus is geen ontheffing voor de AVG

Geplaatst op in Ondernemingsvrijheid, Privacy, 17 reacties

Mijn werkgever verplicht alle werknemers nu thuis te werken vanwege de corona uitbraak. Dat las ik bij Tweakers (dank, tipgever). So far so good, maar dan komt ‘ie: men moet timetrackingsoftware installeren en deze “doet echter op random intervallen screenshots maken en volgens de privacy voorwaarden van deze software ook een lijst bijhouden met alle urls die bezocht worden en verdere activiteit op het apparaat.” De werkgever komt niet veel verder dan dat timetracking hoort bij thuiswerken en weet kennelijk niet wat die software doet. Dat is dus een probleem onder de AVG, en nee daar kom je niet mee weg omdat het een noodsituatie is en/of thuiswerken de enige optie gezien de kennelijke pandemie die zich in Nederland voordoet.

Toevallig las ik gisteren over WorkSmart, Amerikaanse software die zogenaamd de productie monitort maar in feite mensen de ziektewet in helpt:

… even using the bathroom in his own home required speed and strategy: he started watching for the green light of his webcam to blink before dashing down the hall to the bathroom, hoping he could finish in time before WorkSmart snapped another picture.

Het bedrijf achter deze software zegt dat het slechts een hulpmiddel is en dat bedrijven zelf na moeten denken hoe ze deze in willen zetten. Want als de software zegt dat iemand niet productief is, dan is dat natuurlijk reden voor een goed gesprek en geen manager koppelt aan zo’n handige indicatie een betalingsinhouding of negatieve beoordeling. Precies, zou ik ook zeggen als ik dat bedrijf was.

Mag het? Nee, natuurlijk niet. Ik zie in de draad mensen suggereren dat het zou mogen omdat het thuiswerken is en je toch iets moet om de productiviteit van je mensen in de gaten te houden. Nieuwsflash: je mag mensen sowieso al niet in de gaten houden op het werk, of je moet een héél goede reden hebben én de privacy-impact van de werknemers daarin meegenomen hebben.

En dat is tien keer zo erg thuis. In principe mág je thuis niet eens kijken hoe mensen hun werkplek ingericht hebben (en ja ondertussen ben je wel aansprakelijk als die werkplek niet arbocompliant is en mensen daardoor klachten krijgen). Dus waarom zou dat wel mogen omdat het een ict-middel is? Oh ja wacht, het is met de computer en dat is anders he. Dat is gewoon software die mensen monitort. Nee natuurlijk niet. Misschien moeten we aan de AVG een artikel toevoegen dat zegt “als het raar is wanneer een mannetje met een notitieblok het live doet, dan mag software het ook niet”.

Want nee, het elke tien minuten fotograferen van je personeel terwijl dat aan het werk is, dat krijg je echt niet rond onder de AVG. Ook niet als je zegt dat je geen ander middel hebt om hun productiviteit te meten. Want dat heb je wel, al is het maar de output die er ligt op vrijdagmiddag. Dus definieer maar een betere output metric en ga daar op sturen, zo moeilijk moet dat niet zijn als mensen in staat zijn om thuis te werken.

Arnoud

Hoe zouden robots contracten kunnen onderhandelen? #legaltechtuesday

Geplaatst op in Innovatie, 2 reacties

Goed, robots kunnen dus contracten lezen. Kort gezegd: ze herkennen tekstpatronen, al dan niet grammaticale constructies en vergelijken dat met kennis en/of regels om te bepalen of die patronen acceptabel zijn. Zo niet, dan kan het systeem dat aangeven en kan een menselijke jurist een alternatief voorstellen. Zo doen beide partijen waar ze goed in zijn: de robot het saaie werk (bevat dit patroon iets geks) en de mens het creatieve (hoe maak ik hier iets wederzijds acceptabels van). Nog een stapje verder lijkt lastig voorstelbaar – als een robot eigenlijk de grammatica al maar nauwelijks snapt, hoe kan zhij dan de strekking begrijpen én daar een alternatief van maken?

Ik blijf het zeggen: je moet wat computers doen niet beschouwen als een vorm van denken, want computers denken niet. Net zo min als onderzeeboten zwemmen (Dijkstra). Waar het om gaat is het resultaat, dat computers een andere route kiezen is een gegeven. Wil je dus iets met AI dan zul je moeten bedenken welke resultaten je wil, en dan beredeneren hoe een computer die zou kunnen bereiken.

Het programmatisch genereren van teksten is iets dat sterk in de belangstelling staat. De bekendste tool op dit gebied is GPT-2: een neuraal netwerk dat teksten kan genereren, zó goed dat maar weinig mensen het verschil zien. Dit netwerk is gebouwd op een heleboel bestaande teksten, zodat het systeem weet welke passages typisch kunnen volgen op eerdere zinnen.

Het systeem is generiek, maar er is geen reden waarom je dat niet op contracten los zou kunnen laten. Zo zou je dus snel een heleboel contracten kunnen schrijven. Alleen, wat je in de praktijk vaak wil is vooral een aanpassing op een contract en niet perse een geheel nieuwe tekst. Dat vereist meer inhoudelijke kennis van zaken, maar is iets waar natural language processing (NLP) een rol bij kan spelen.

Je zou bijvoorbeeld beide tekstvoorstellen van de twee partijen kunnen vergelijken op zoek naar verschillende constructies. Als de een ‘harde’ termen (guarantees, shall deliver) gebruikt en de ander ‘softe’ (shall use best efforts) dan kun je in die categorie bewoordingen op zoek naar een woord dat tussen die twee uitersten in zit. Je zou daarvoor zelfs in je databank met eerder goedgekeurde contracten kunnen kijken: welke clausule lijkt veel op wat deze wederpartij wil en kon wél door de beugel. Daarvoor hoef je nog steeds niet inhoudelijk de tekst te snappen zoals een mens dat zou doen, maar heb je toch een uitkomst die een mens ook zou voorstellen.

Vaak zul je zien dat zo’n database vaak de eigen modelclausules bevat. Dan krijg je een ontwikkeling dat het systeem een tegenvoorstel vooral evalueert tegen die modelclausules, en dat wordt dan uiteindelijk een gevecht om welk model het beste past bij wat de wederpartij voorstelt. En dan kom je dus weer bij die korte contracten: de onderhandeling is dan niet meer of er “shall guarantee” of een andere juridische zin zal komen te staan, maar of we Inkoop.Leverdatum.Hard hebben dan wel .Soft. Robots standaardiseren juridisch jargon, hoe mooi zou dat zijn?

Arnoud

Heb ik recht op een kopie van mijn oude werkmailbox?

Geplaatst op in Ondernemingsvrijheid, Privacy, 11 reacties

Een lezer vroeg me:

Ik heb de afgelopen 10 jaar bij 6 werkgevers gewerkt. Graag zou ik een kopie van mijn persoonlijke emailboxen bij deze bedrijven willen. Het gaat hier om outlook pst bestanden. Het gaat dus om een kopie van mijn persoonlijke zakelijke mailbox bij de betreffende ex-werkgevers. Hoe kan ik dat onder de AVG bewerkstelligen?

Volgens de AVG heb je recht op een kopie van je persoonsgegevens (artikel 15). Als je die zelf hebt geupload op basis van toestemming of overeenkomst, dan kun je die kopie zelfs in een machine-leesbaar formaat verlangen (artikel 20). Dat laatste zal hier niet spelen, een mailbox voldoet niet aan die criteria. Maar een printout van de mails zou in principe tot de mogelijkheden behoren. Als ze er nog zijn.

De eerste vraag is dus altijd of je ex-werkgever die bestanden nog heeft. Er is geen bewaarplicht voor dergelijke mailberichten (of mailboxen), dus het staat ze vrij die weg te gooien na einde dienstverband. Wat er niet is, kun je ook niet opvragen en je kunt op dat gemis geen schadeclaim baseren.

Zijn ze er wel, dan heb je dus in beginsel recht op een kopie. Een mail van of aan jou bevat immers jouw persoonsgegevens, al is het maar je naam of e-mailadres. Maar ook zaken als wat er aan je werd gevraagd of wat je antwoord was, zijn te zien als persoonsgegevens. Dat begrip is immers veel breder dan enkel de administratrivia over jou.

Ik zeg “in beginsel”, want lid 4 van artikel 15 zegt enigszins cryptisch:

3. Het in lid 3 bedoelde recht om een kopie te verkrijgen, doet geen afbreuk aan de rechten en vrijheden van anderen.

De strekking van dit lid 4 is dat jouw inzageverzoek geen rechten van anderen mag schenden, zoals hun privacy (denk aan de collega met wie je mailt) of intellectuele rechten zoals bedrijfsgeheimen of auteursrechten. Echter, dat betekent niet dat men eenvoudigweg “ja ho privacy van collega’s” of “oh noes bedrijfsgeheim” mag zeggen en dan inzage weigeren. Overweging 63 bij de AVG eist dat er een belangenafweging plaatsvindt met een poging ergens een middenweg te vinden.

Wat die middenweg moet zijn bij je zakelijke mailbox, dat weet ik zo net nog niet. Het praktische probleem dat ik zie, is vooral dat die mailbox zelden zo gestructureerd is dat je de persoonlijke mails eruit kunt lichten. De hele pst mailbox afgeven voelt als te veel voor het verzoek, en eisen dat de werkgever maar even door de mailbox heengaat om de relevante dingen te vinden, is ook weer disproportioneel. Maar “dat is heel veel werk” is dan weer geen argument onder de AVG (artikel 12 lid 5). Alleen als het echt buitensporig veel werk is, mag je weigeren.

Ik denk dat voor mij de hoofdvraag zou zijn om wat voor mails het dan precies gaat. Als je bedoelt “alle mails die vanaf mijn voornaam punt achternaam at bedrijfsnaam punt extensie zijn verzonden en ontvangen”, dan zou ik daar toch die bedrijfsgeheim-uitzondering tegenaan gooien. Dergelijke mails zijn primair zakelijk en dus bedrijfsvertrouwelijk. De meer persoonsgebonden mails (zeg, je correspondentie met de bedrijfsvertrouwenspersoon, de kattenbelletjes met je partner, de naar kantoor gemailde vakantiefoto’s om in kleur te printen) kan ik moeilijk als zakelijk vertrouwelijk zien, maar die uit een grote mailbox vissen zonder verder enige structuur zou ik wel buitensporig vinden.

Samenvattend denk ik dat een ex-werkgever dit dus mag weigeren. Tenzij je altijd heel braaf je privémails in een apart mapje hebt gestopt en het verzoek beperkt tot dat mapje (dat je dus bij naam noemt, met uitleg van de criteria van wat daar in ging). Alleen: dat mapje hoorde op de dag na einde dienstverband te zijn gewist, want er was nooit enige reden om dit te bewaren. Dus netto krijg je dan nog steeds niets, volgens mij.

Arnoud

Nee, MIDI muziek is nu niet allemaal plotsklaps publiek domein geworden, maar leuk bedacht was het wel

Geplaatst op in Intellectuele rechten, 10 reacties

Twee Amerikaanse muzikanten hebben alle technisch mogelijke melodieën gegenereerd op een synthesizer, daar copyright op aangevraagd en vervolgens de hele bups aan het publiek domein geschonken. Dat meldde Vice onlangs, overigens het enige online medium dat me tegelijk knappe én tenenkrommende artikelen voorschotelt. De gedachte achter het experiment was de kans op rechtszaken over gelijkende muziek te verkleinen, omdat iedereen nu kan zeggen dat hun melodie afgeleid is van deze publieke deuntjes en dus niet van de geldbeluste concurrent die drie noten meende te herkennen. Zo werkt het helaas niet, maar het idee is zeer nobel.

Muziekauteursrecht is een lastig ding, omdat het daar vaak gaat om of dingen “gelijkend klinken” en dat is niet hetzelfde als dat het bladmuziekschema overgetypt is. In België had je ooit die zaak dat Madonna’s Frozen inbreuk maakte op een Belgisch muziekwerk (wat later weer anders bleek te liggen), en in de VS is het nog extremer: daar is zo ongeveer het klinkt conceptueel hetzelfde juridisch genoeg om van inbreuk te mogen spreken. Een buitengewoon vage toestand, die zeker in sue-happy USA snel leiden tot dure schikkingen.

Muzikanten Damien Riehl and Noah Rubin hadden daar een mooie brute force oplossing voor:

To determine the finite nature of melodies, Riehl and Rubin developed an algorithm that recorded every possible 8-note, 12-beat melody combo. This used the same basic tactic some hackers use to guess passwords: Churning through every possible combination of notes until none remained. Riehl says this algorithm works at a rate of 300,000 melodies per second.

Het resultaat werd geregistreerd bij het US Copyright Office (wat in de VS moet om statutory damages te claimen, maar formeel geen vereiste is voor het hebben van een copyright, maar goed tot 1978 werkte dat anders en juristen zijn nu eenmaal ouderwets) en daarna verklaarde men het werk publiek domein. (Klik hier voor archief.) Dus nu kan iedereen die melodieën pakken en ermee doen wat men wil. Eventuele claims dat men andermans rechten schendt door gelijkenis van melodie zijn dus eenvoudig te pareren, want er is gewoon uit dat publiek domein geput.

Nou ja, niet helemaal. Inbreuk gaat niet alleen maar over gelijkenis, en een verweer moet meer zijn dan “ik had het ook uit die publiek domein set van Riehl en Rubin kunnen pakken”. Als jouw werk veel lijkt op dat van een ander, dan moet je aantonen dat je het echt hébt ontleend uit die set van die twee. En het is goed mogelijk dat die ander die melodie net even wat had bewerkt en daar een eigen auteursrecht op heeft, zoals bij de Nokia Tune die één noot verschilt met een publiek domein werk maar écht wel eigen creativiteit kent.

Een tikje jeuk krijg ik van de redenering van Riehl en Rubin dat omdat MIDI bestanden nummers zijn:

“Under copyright law, numbers are facts, and under copyright law, facts either have thin copyright, almost no copyright, or no copyright at all,” Riehl explained in the talk. “So maybe if these numbers have existed since the beginning of time and we’re just plucking them out, maybe melodies are just math, which is just facts, which is not copyrightable.”

Nee, zo werkt het niet. Een boek is ook maar een getal als je ‘m als PDF opslaat, maar toch zit er auteursrecht op een boek. Een melodie is gewoon auteursrechtelijk beschermd omdat er creativiteit in het samenstellen daarvan is gaan zitten.

De tentamenvraag is dan ook: zit er creativiteit in het brute force verzamelen van alle melodieën?

Arnoud

Dat mag dus toch niet, persoonsgegevens van je leden verkopen?

Geplaatst op in Ondernemingsvrijheid, Privacy, 46 reacties

De KNLTB heeft van de Autoriteit Persoonsgegevens (AP) een geldboete gekregen van ruim een half miljoen euro voor het verstrekken van persoonsgegevens aan twee commerciële partners. Dat meldde het AD onlangs. De tennisbond gaat in beroep tegen de sanctie. De verstrekking is in strijd met de AVG, omdat er geen invulling van het eigen gerechtvaardigd belang mogelijk is wanneer je niets meer doet dan persoonsgegevens verstrekken tegen betaling. En ja, ik dacht dat het wel mocht maar ik ga dus toch proberen enigszins objectief een analyse te maken van de zaak. Want stiekem worden hier toch een paar best fundamentele standpunten ingenomen die laten we zeggen voor de markt een tikje verrassend waren.

In maart vorig jaar kwam in het nieuws dat de KNLTB op zoek was naar extra bronnen van inkomens, en haar ledenlijst als een waardevol betaalmiddel ziet. Daarom is besloten om die ledenlijst eens commercieel te activeren, door ze aan (ongetwijfeld zorgvuldig geselecteerde) partners te geven. Deze mogen dan bellen of brieven sturen met reclame, totaal maximaal drie keer per kwartaal. E-mail is uitgezonderd, daarvoor moeten leden een aparte opt-in geven vanwege het spamverbod uit de Telecomwet. (En daar ging het overigens ook bij mis, uit het boetebesluit blijkt dat er wél zonder opt-in mailadressen zijn verhandeld. Maar dat terzijde.)

Een aantal leden pikte dat niet, en diende klachten in bij de AP. Die trad vervolgens zeer voortvarend op, inclusief een mediaoptreden van de voorzitter waaruit je zou kunnen afleiden dat een boete onvermijdelijk was. (De AP betreurt die gang van zaken maar stelt desondanks gewoon objectief te hebben gehandeld.) Na onderzoek kwam men dan ook direct met een boete aanzetten. Wat dus mag onder de AVG én de boetebeleidsregels van de AP zelf, als de overtreding ernstig genoeg is. En dat is dus hier het geval, aldus de toezichthouder.

Inhoudelijk komt het vooral neer op de vraag: wanneer mag je zonder opt-in commercieel handelen in persoonsgegevens? Daar is naar de letter van de AVG een antwoord op: als je je kunt beroepen op een eigen gerechtvaardigd belang, en daarbij een privacyafweging hebt gemaakt die in jouw voordeel afweegt. Een voorbeeld van zo’n afweging is dat je camera’s in kan zetten om je terrein te bewaken, maar dat je inzage in de beelden beperkt tot politie in geval van strafbare feiten. Het onderliggende belang is dan het beschermen van je eigendomsrecht.

De AP komt nu met het strenge standpunt dat commerciële belangen nooit gerechtvaardigd kunnen zijn. Die zijn namelijk niet als zodanig in de wet erkend, in tegenstelling tot zeg eigendomsrecht of de vrijheid van meningsuiting. Er is natuurlijk het grondrecht van de ondernemingsvrijheid, maar dat vindt men te onbepaald en generiek om als grondslag te kunnen dienen voor de handel in persoonsgegevens. Daarmee is er dus eigenlijk nóóit een rechtvaardiging te verzinnen om in persoonsgegevens te handelen, als ik even tussen de regels samenvat.

Daar komt bij dat tot 2007 de leden bij lid worden niet expliciet werden gemeld dat dit zou gaan gebeuren. Voor die categorie gaat het nog iets erger mis: de doelbinding tussen de oorspronkelijke verzameldoeleinden (de lidmaatschapsovereenkomst) en het nieuwe doel (de handel) ontbreekt volledig. En dan mag je simpelweg de gegevens niet inzetten voor het nieuwe doel, ook niet als je daar een mooie grondslag-redenering voor weet te verzinnen. En nee, dat krijg je ook niet recht door je privacystatement aan te passen, want de gegevens hád je dan al. Je moet het dus echt opnieuw vragen, maar in die situatie is het onvermijdelijk dat je toestemming gaat vragen.

En ja, ik vind dit controversiële standpunten, ik zou zelfs zeggen gedurfd. Het betekent natuurlijk de doodsteek voor datahandel, dus daarom volgt hoe dan ook bezwaar en daarna beroep bij de rechtbank. Maar het boetebesluit legt de pijn bloot van hoe datahandel werkt en hoe hard het eigenlijk niet klopt. Dus ik ben benieuwd.

Arnoud