Is het weghalen van een gps-tracker van je auto diefstal?

Geplaatst op in Informatiemaatschappij, 23 reacties

Het verwijderen van een gps-tracker van je auto is geen diefstal, zo las ik bij Ars Technica. En dan ging het hier dus over een gps tracker van de politie; hij werd gevolgd op verdenking van het handelen in methamfetamine. Na zes dagen verdween het signaal, waarop de politie bij hem binnenviel wegens diefstal van de tracker en toevallig de nodige drugs aantrof. Dat voelt niet helemaal de bedoeling, juridisch gezien, en het verbaast dan ook niet dat de zaak werd verworpen en het bewijs onrechtmatig verkregen werd verklaard. In Nederland zou het denk ik ook zo uitpakken, ik zou vooral het gezicht van de rechter-commissaris willen zien als je met dit argument komt.

Het plaatsen van gps-trackers is natuurlijk niet geheel nieuw. Een verdachte kunnen volgen bij zijn autoverkeer is waardevol in een onderzoek. Wel is dat een stevige ingreep in de privacy, daarom mag het alleen bij verdenking van misdrijven en moet de officier van justitie het toestaan (art. 126g lid 3 Wetboek van Strafvordering).

Natuurlijk kan het gebeuren dat de verdachte het apparaat aantreft, en het lijkt me logisch dat die het dan weggooit of thuis verstopt (in aluminiumfolie, als hij slim is) om te bedenken hoe hij de politie ermee om de tuin kan leiden. Dan is je onderzoek stuk, en weet de verdachte ook nog eens dát hij wordt gevolgd. Erg vervelend dus voor het onderzoek.

Maar om dan via diefstal van de tracker door te pakken? Het voelt nogal gezocht. Het argument is natuurlijk: dat ding is eigendom van de politie, de verdachte eigende het zich toe maar had daar geen recht toe, dus is dat naar de letter diefstal. Ook als hij het daarna weggooit; dat is ook een vorm van je toe-eigenen. Dus ja, op papier klopt het. En diefstal is een misdrijf, dus in theorie mag je dan (als je weet dat het gestolen goed zich in dat huis bevindt) een doorzoeking van het huis uitvoeren. En kom je dan ’toevallig’ bewijs van het echte misdrijf tegen waar je naar op zoek was, dan is dat dus mooi meegenomen.

Maar eh, nee. Het voelt net iets te bijdehand, en ik kan me dus ook moeilijk voorstellen dat hier daadwerkelijk voor vervolgd zou worden. Of zelfs maar dat een bevel tot huiszoeking zou worden gegeven, want het is net iets te duidelijk dat men eigenlijk naar binnen wil om voor dat andere misdrijf te zoeken terwijl daar net te weinig bewijs voor was.

Arnoud

Oh jee, mag je geen reclame meer in je bevestigingsmails stoppen?

Geplaatst op in Ondernemingsvrijheid, 26 reacties

Stel je boekt een hotel en je krijgt een mail met als onderwerp “Bedankt! Uw boeking bij Black Label Hotel Valkenburg is bevestigd.” Mooi toch? Alleen zie je dan onderin reclame (“Verwijs je vrienden door en verdien 20 euro”, “Boek een auto” en zo nog wat) en dat vind je dan minder. Wat doe je dan? Dan stap je naar de Reclame Code Commissie, die vervolgens bepaalt dat dat niet mag onder de Nederlandse Reclame Code. Wat dan weer in de pers komt als zou het verboden zijn om überhaupt reclame in je bevestigingsmail te stoppen.

De klacht was ingediend door een consument die zich kennelijk buitengewoon ergert aan reclame, want hij had al diverse mailen bij de dienstverlener aangegeven daar niet van gediend te zijn. En uiteindelijk was dat ook waar het bedrijf op onderuit ging.

Het komt vaker voor dat bevestigingsmails en dergelijke (in het jargon “serviceberichten”) voorzien worden van reclame. Het is toch weer even een contactmomentje, en een upsell zoals een auto boeken na je hotelboeking is dan snel verkocht. We weten allemaal dat dat eigenlijk niet de bedoeling is, maar het is relatief onschuldig en gebeurt dus massaal.

De RCC constateert echter droogjes dat ook een mail die slechts een stukje reclame bevat, een reclameboodschap is:

Deze onderdelen betreffen naar het oordeel van de voorzitter geen zakelijke mededelingen zonder aanprijzend karakter. Uit onder meer de volgende zinsneden in de uiting blijkt dat deze diensten van verweerder worden aangeprezen: “Eenvoudig een auto huren via Booking.com”, “het huren van een auto gaat bij ons snel en gemakkelijk. We bieden zelfs gratis annulering” en “Voorkom gedoe na uw vlucht met een rechtstreekse taxi… Hij wacht op u nadat u bent geland.”. Om die reden is sprake van reclame in de zin van de Code e-mail.

Dat die reclame gerelateerde is aan de eigenlijke dienst, en alleen wordt verstuurd als onderdeel van die service, doet er verder niet toe. En omdat de consument reeds eerder in algemene termen had aangegeven verschoond te willen blijven van alle soorten reclame, was het bedrijf in overtreding van de Nederlandse Reclame Code.

De NRC is echter geen wet (al sluit hij er nauw op aan natuurlijk). Dus hoe zou dat onder de wet uitpakken? Dan kom je bij artikel 11.7 Telecommunicatiewet, dat in lid 3 bepaalt dat je klanten gerelateerde diensten mag aanprijzen tenzij men daar verzet tegen heeft aangetekend. Dat is dus waarom nieuwsbriefvinkjes vooraf aangevinkt mogen zijn als het gaat om bestelformulieren voor betaalde aankopen: het weghalen van dat vinkje geldt als ‘verzet’ tegen die reclamenieuwsbrief. Maar verzet tegen de reclameregel in een bevestigingsmail, die heb ik nog nooit gezien.

Zelf meen ik dat een dergelijke korte reclame in een servicebericht wél is toegestaan, omdat het doel van de Tw is te voorkomen dat mensen lastiggevallen worden met ongewenste reclameberichten. Dus aparte mededelingen, losse mails met reclame. Ik vind het heel moeilijk een paar zinnen in een bevestigingsmail op één lijn te stellen met een aparte reclamemail, zeker als die onder de eigenlijke zakelijke berichtgeving (“uw kamer is bevestigd”) opgenomen is.

De consequenties van deze uitspraak zouden ook vérstrekkend zijn: dan kun je dus verzet aantekenen tegen bijvoorbeeld een banner in een zakelijke nieuwsbrief, en moet de aanbieder die nieuwsbrief dan vervolgens ook reclameloos versturen. Ben ik dan héél erg gewend aan het reclamebombardement op internet dat ik dat raar vind?

Arnoud

Mag je corp.com registreren als je weet dat dat een Windows-fout is?

Geplaatst op in Security, 5 reacties

Een lezer vroeg me:

Bij KrebsOnSecurity las ik dat het Corp.com domein te koop gezet gaat worden. Daarmee is toegang te krijgen tot allerlei credentials en nu vroeg ik me af of dat legaal is. Immers je doet niets, andere mensen configureren hun Windows-netwerk slecht. Hoe zit dat in Nederland?

Het domein corp.com gaat inderdaad in de verkoop als ik het goed lees, al lijkt het vooral de bedoeling dat Microsoft het koopt voor een miljoen dollar. Dat zou dan zijn omdat inderdaad veel slecht geconfigureerde Windowsnetwerken verkeer naar dit domein sturen, inclusief authenticatiemiddelen zoals wachtwoorden.

De reden hierachter is dat Windows bij het maken van een intern netwerk standaard de suffix “.corp” voorstelt, wat lang niet iedereen aanpast. Interne diensten zoals gedeelde harde schijven kun je benaderen met iets als \klantdata\ in de Explorer. Echter, ga je vervolgens ergens werken waar je andermans DNS gebruikt, dan maakt Windows van die naam eerst “klantdata.corp” en vervolgens “klantdata.corp.com” omdat .corp niet bestaat bij die ander. En dan stuurt je systeem dus inderdaad logins en dergelijke naar die website.

Op zich gebeurt dit vaker. Bedrijven die een oude domeinnaam hebben overgenomen, of blijken te hebben geregistreerd, ontvangen regelmatig mails voor de oude eigenaar bijvoorbeeld. Dat is vervelend, maar in de praktijk gooi je die mail dan weg en dan is het klaar.

Hier voelt het iets anders, omdat de bedoeling van deze domeinnaam hebben nu duidelijk lijkt te zijn dat je die logins wilt hebben. Het is moeilijk daar een legitiem doel aan te koppelen. Natuurlijk is er vast een marketingblablaverhaal te verzinnen dat je corporate dienstverlening wilt verrichten en dat corp.com dan perfect aansluit bij je merkwaardebeleving, maar om eerlijk te zijn geloof ik daar dan geen bal van.

In Nederland is het strafbaar (art. 139d Strafrecht) om wachtwoorden of dergelijke authenticatiemiddelen te verwerven, in te voeren, beschikbaar te stellen of voorhanden te hebben. Althans, als je doel daarmee is om het misdrijf computervredebreuk, denial of service of aftappen van vertrouwelijke informatie te plegen. Een wetenschapper die wil onderzoeken hoe groot dit probleem is, kan dus prima monitoren wat hier gebeurt. Een security-onderzoeker die al die bedrijven wil waarschuwen handelt ook legaal. Maar voor het overige zie ik niet hoe je iets kunt doen met die informatie.

Arnoud

Mijn werkgever blokkeert mijn thuisverbinding omdat ik een TOR relay heb

Geplaatst op in Ondernemingsvrijheid, 21 reacties

Een lezer vroeg me:

De dienstverlener van een SaaS administratie-pakket voor de zakelijke markt blokkeert/blacklist de thuisverbinding van een werknemer omdat deze een TOR node draait. De helpdesk weigert dit IP-adres te whitelisten en stelt dat de werknemer zichzelf van de blacklist zal moeten laten verwijderen, wat zou betekenen dat de node offline moet. Mag dit?

Deze manier van werken is me opgevallen bij een aantal SaaS-pakketten. Ik vermoed dat er iemand op security-cursus is geweest en daar leerde dat er met TOR nare dingen gebeuren, zodat het beter is om verkeer vanaf TOR te weren. Dus IP-adressen die óók een TOR node zijn, mogen dan niet inloggen.

Inderdaad gebeuren er rare en strafbare zaken via TOR, maar dat is onvermijdelijk met een netwerk dat opgezet is voor volledig anonieme communicatie. Maar wat je daar verder ook van vindt, ik zie niet hoe het relevant is bij het kunnen inloggen op een SaaS-tool. Ik snap dat je aanvallers wil weren, maar uiteindelijk doe je dat door een adequate authenticatieprocedure.

En oké, als je verkeer vanúit TOR wilt weren dan snap ik dat ergens – dat kan een wachtwoorddief zijn die zijn sporen wil wissen, en welk bedrijf zou standaard willen dat zijn werknemers inloggen via TOR? Maar hier gaat het over IP-adressen die óók een TOR node zijn, maar waarvan de login los staat van TOR.

Tegelijkertijd, wat doe je er aan als klant? Want dit soort dingen zijn -zeker in de zakelijke contractensfeer- prima zo af te spreken dat de dienstverlener het mag. Als die ervoor kiest om alleen als Nederlands bekend staande IP-adressen toe te laten bij de inlog, dan zit je als zakelijke klant op vakantie in Thailand inderdaad met een blokkade. En dan staat men in haar recht. Dit nog los van het punt dat je niet gaat procederen over een dergelijke bagatel, want de kosten zijn hoger dan de baten.

Arbeidsrechtelijk nog wel een interessante: kan ik als werkgever van een werknemer in deze situatie eisen dat zhij stopt met die TOR node? Kennelijk moet zhij thuis kunnen werken (anders is het probleem niet relevant voor het werk) en kennelijk is het contractueel redelijk dat de leverancier hem weert gezien die node. Het hindert het werk, wat die werknemer doet. Daar staat tegenover dat ik als werkgever vrij weinig te maken heb met zo’n privéhobby.

Wat zouden jullie de werkgever adviseren?

Arnoud

Hoe kan een robot nou ooit juridische teksten lezen? #legaltechtuesday

Geplaatst op in Innovatie, 7 reacties

Vorige keer blogde ik over de nieuwe positie van juristen en advocaten: specialisten die het moeilijke werk doen dat de generalisten niet kunnen, ook niet door inzet van legal tech en contractlezende (en -schrijvende) robots. Dat roept natuurlijk de vraag op waarom die generalisten überhaupt juridische documenten kunnen verwerken, en vooral waarom ze dat nu niet al op grote schaal doen dan. Want één van de argumenten waarmee de juridische sector zich lang staande heeft weten te houden tegen automatiseringsgeweld is natuurlijk dat het werk uniek is, elk geval is anders, maatwerk is onvermijdelijk en de kleinste komma op de verkeerde plek kan tot faillissement leiden.

Het is natuurlijk waar, dat iedere juridische vraag anders is al is het maar omdat de achterliggende onderneming net anders is dan de concurrent of het bedrijf uit de jurisprudentie. Wil je écht tot in detail de analyse doen, dan ontkom je er niet aan dat je volledig maatwerk gaat leveren. Maar de premisse die de inzet van legal tech drijft, is dat dit lang niet altijd nodig is. Goed genoeg is goed genoeg.

Net zoals je natuurlijk prima een maatkostuum kunt laten naaien bij een kleermaker die echt met een lap stof begint en je opmeet met een laserpointer om zo de knieschijf links en rechts individueel de beste pasvorm te gunnen. Maar de meeste mensen halen het toch liever bij een confectiewinkel en gaan niet verder dan het innemen van te lange mouwen of het iets aanpassen van de taille. Je valt op (in positieve zin, overigens) als je met een maatkostuum loopt. En in veel gevallen is maatwerk ook niet 100% maatwerk: het jasje is er al ongeveer, maar wordt (fors) verbouwd om tot een passend jasje voor deze cliënt te komen.

Standaardiseren is de manier om de kosten en doorlooptijd te drukken. Een bijkomende factor daarbij is wel dat de leverancier van het standaardproduct-met-aanpassingen in staat is om die aanpassingen door te voeren zonder dure specialist. Als ik een kostuum koop in een grote winkel, dan verwacht ik niet honderden euro’s kwijt te zijn voor verstelwerk om het passend te krijgen. Het bedrag moet in verhouding staat tot de kosten van het hoofdproduct. En dan moet het verstelwerk dus goedkoop gedaan kunnen worden. Zit je dan als dure Italiaanse kledingmaker die voor iedere steek de perfecte naald heeft.

In de juridische sector zien we al langer de opmars van standaarddocumenten. Algemene voorwaarden voor ondernemers kun je op vele plekken betrekken, van een standaardmodel bij de Kamer van Koophandel tot vele juridische supermarkten waar je al dan niet met vragenlijsten clausules op maat selecteert en aan elkaar plakt tot een bij jou passend document. Niet zo goed als maatwerk op basis van een intake, drie klantcasussen en een brainstorm met drie partners. Nee, zeker niet. Maar goed genoeg voor beginnende ondernemers – of zij die het zelf menen te kunnen aanpassen, wat zeker in de ICT een niet te onderschatten factor is.

Maar goed, dat zijn dan standaardteksten. Lastiger wordt het lézen van bestaande documenten. Want die komen meestal toch van gespecialiseerde dienstverleners, en daar zal de aardige dame van de KVK je echt niet bij kunnen helpen. Dit is waarom er steeds meer gewerkt wordt aan juridische robots: die kunnen zulke teksten lezen en analyseren op eventuele risico’s. Dat zijn nog steeds geen specialisten, maar wel goed genoeg. Alleen, hoe werkt dat dan eigenlijk?

Vrijwel alle juridischedocumentenlezende robots werken op een of andere manier met machine learning. Daarbij wordt op basis van statistiek een tekst uit elkaar getrokken en geanalyseerd. Die term komt terug in het lijstje met bedrijfsnamen, die woordcombinatie lijkt op een datum, en deze zin bevat termen die we kennen in de categorie “duur van de overeenkomst”. En op basis van dergelijke overeenkomsten kan het systeem dan een conclusie trekken: deze overeenkomst loopt tot de genoemde datum.

Eerder haalde ik al Edsger Dijkstra aan. Parafraserend, computers zwemmen niet maar zijn onderzeeboten. Dit soort dingen laat zien wat het verschil daartussen is. Een computer heeft geen idee wat hij leest, maar kan wel héél snel vaststellen of een clausule lijkt op een andere. Of op véle anderen, want daar komt het vaak op neer. In zo’n ML systeem zijn ooit vele honderden, zo niet duizenden clausules gestopt met een menselijke classificatie (“aansprakelijkheid”, “duur”, “overmacht”, “verwerker”, et cetera) en een nieuwe clausule wordt dan geanalyseerd op overeenkomst met die classificaties. Aha, hier nog een aansprakelijkheidsclausule (87.3% zeker) of is het en overmachtsclausule (9.3%).

Natuurlijk zitten er risico’s aan zo’n analyse zonder begrip. Er zijn genoeg teksten te bedenken die écht niet zo in een bakje te duwen zijn. Of waarvan de betekenis niet met zo’n simpele analyse te vatten is. Een bekend voorbeeld is al “man bijt hond”, dat wezenlijk anders is dan “hond bijt man” maar voor de computer waarschijnlijk dezelfde zin is (voor de ML-adepten: omdat vrijwel iedereen bag-of-words analyse doet). Alleen: in juridische documenten is dat minder waarschijnlijk. Doel van een contract bijvoorbeeld is een afspraak vastleggen, niet een roman schrijven waar het proza een schitterende puzzel oplevert. Het moet dus simpel en zo min mogelijk multi-interpretabel. En dan is het leesbaar voor robots ook.

En ja, ook dan kunnen er rare clausules uit springen. Ik zie als ervaren jurist ook nog steeds clausules die ik drie keer moet lezen, of die iets heel nieuws aan het regelen zijn. Dat zal een computer niet snel aan kunnen pakken. Maar ze zijn dan weer wél goed in het signaleren dat er iets raars staat deze keer, en dat is dan iets waar een mens naar moet kijken. Dat is hoe computers lezen.

Arnoud

Hoe verhoudt de AVG zich tot mijn huwelijkse gemeenschap van goederen?

Geplaatst op in Privacy, Security, 13 reacties

Ik ben voor deze posting even mevrouw van Dam. Gehuwd in gemeenschap van goederen. Zo opende een forumbericht bij Security.nl onlangs. Met daaraan gekoppeld de vraag: hoe zit dat dan met de AVG, stel dat je een bestelling van je vrouw wilt ophalen of van een account van je man een inzage- of correctieverzoek wil doen? En is het dan relevant of je in gemeenschap van goederen bent getrouwd? Of, iets pikanter -zoals de vraagsteller- kun je daarmee achterhalen of je man stiekeme accountjes heeft bij een niet-nader te noemen immorele datingdienst die aanzet tot echtbreuk maar toch van de RCC mag blijven adverteren?

Privacy en de bescherming van persoonsgegevens zijn grondrechten, en die zijn persoonlijk. Dus als partner in een huwelijk heb je daar in principe niets over te zeggen, het gaat jou niet aan hoe je partner daarmee omgaat. Althans, juridisch niet; natuurlijk mag je er best wat van vinden omdat je nu eenmaal getrouwd bent. Maar bij de rechter is dat niet afdwingbaar.

Uitzondering zou zijn als de gegevens ook die van jou betreffen, denk aan een gezamenlijke bestelling of hypotheek. Maar een bestelling is niet al gezamenlijk enkel omdat je in gemeenschap van goederen bent getrouwd, deze staat op naam van een van de partners en die is dan AVG-technisch de ‘betrokkene’. Dat je via het vermogensrecht als partner opdraait voor de kosten als je partner niet betaalt, staat daar los van.

Heel formeel zie ik dus onder de AVG geen grond om de persoonsgegevens van je partner op te vragen, ook niet als de aanwezigheid van die persoonsgegevens ergens in een systeem kunnen leiden tot financiële claims op jou. Of omdat je er sterker mee komt te staan in een echtscheidingsprocedure. Het zijn niet jouw gegevens.

Wellicht is er wel een uitweg als je zegt, in een huwelijk is het gebruikelijk dat je voor elkaar ook rechtshandelingen uitvoert. Ik bestel iets voor mijn vrouw omdat zij het druk heeft, iemand belt naar de apotheek voor een medicijn voor zijn man, je vrouw boekt een afspraak bij de kapper voor je, en ga zo maar door.

Juridisch gezien zeg je dan, ik ben gemachtigd om dit te doen althans de wederpartij mag veronderstellen dat ik dat mag. Daarmee zou je dan ook kunnen zeggen dat je onder de AVG inzageverzoeken (en correctie, verwijdering et cetera) mag doen. Dat zijn immers ook gewoon rechtshandelingen, en daar ben je dan toe gemachtigd. Wel zou de wederpartij dan bewijs kunnen vragen dát je gemachtigd bent, zeker als in hun systemen niet na te gaan is dat jullie getrouwd zijn. Tot nu toe heb ik zelf alleen maar knipperende ogen gehad als ik met zo’n stuk papier namens mijn vrouw me ergens meldt, maar het zal onwennigheid zijn.

Arnoud
PS en ja dat laatste is de premisse van mijn verhaal A New Intelligence, mocht je het nog niet gelezen hebben.

Mag ik de computer van een wanbetaler blokkeren?

Geplaatst op in Ondernemingsvrijheid, 13 reacties

Op het forum van Security.nl las ik:

Als zelfstandige verkoop ik hardware, software en diensten. Een nieuwe klant bestelt bij mij de nodige hardware en laat zijn harddisk in zijn laptop vervangen door een SSD, daarnaast besteld hij antivirus voor deze laptop en voor een cruciale computer die een productiemachine aanstuurt. Ook sluit hij een abonnement af voor Exchange op een van mijn servers. Alles is geleverd en geïnstalleerd naar zijn tevredenheid, echter blijkt het zeer moeilijk om de rekeningen betaald te krijgen. Mag ik nu die laptop blokkeren of diensten afsluiten om hem zo tot betaling te dwingen?

Wanbetaling komt helaas nog vaak voor bij ondernemers, en je vooraf laten betalen is lang niet altijd een oplossing. De wet kent natuurlijk diverse mechanismen om wanbetaling te bestrijden. Je kunt gaan aanmanen, wettelijke rente eisen en daarna dagvaarden in de hoop dat de (kanton-)rechter hem tot betaling dwingt. Je mag ook in gevallen als deze weigeren de laptop terug te geven tot er betaald is (retentierecht).

Dit werkt niet altijd, en specifiek in de ICT worden dan ook middelen als bovenstaand aangewend. Ik ken reparateurs die dan het wachtwoord op de laptop wijzigen en alleen een heel beperkt gastenaccount aan laten staan, om eens wat te noemen. Dan heb je wel je laptop maar kun je zo weinig dat je toch maar gaat betalen. (En een reparateur die elk uur een popup mét geluid liet verschijnen met de tekst “Je moet nog betalen!!1!” maar daar zullen we het verder niet over hebben.)

Het afsluiten van diensten (zoals toegang tot Exchange via jouw servers) is zeker ook mogelijk. Wel is dit iets dat je in je algemene voorwaarden geregeld moet hebben, al is het maar om discussie te voorkomen over hoe snel je welk middel in mocht zetten. Het is verstandig om daarbij een getrapt mechanisme te hanteren, dus niet meteen het account en alle data wissen maar misschien eerst de dienst readonly (wel nog mails ontvangen maar niet meer sturen), daarna beperkte toegang (ook geen nieuwe mails meer lezen) en daarna geheel afgesloten.

Je kunt dit dan snel inzetten, bijvoorbeeld die eerste stap direct op de dag dat de betalingstermijn verstreken is. Een aanmaning of zelfs maar herinnering is juridisch niet nodig, dus het middel heeft sneller effect dan de formeel-juridische weg van aanmanen, redelijke termijn afwachten en dan opschorten (lees: na 14 dagen de gehele dienstverlening staken).

Heb je dit niet in je AV, dan kan het denk ik nog steeds maar moet je het minst ingrijpende middel kiezen en heel actief informeren en bovenop de klant zitten. Dus dan begin je met die dienst op readonly zetten, de klant daarover informeren en reactie afwachten enzovoorts. Dit omdat je juridische basis dan de redelijkheid is (art. 6:248 lid 1 BW), en dan moet je gewoon voorzichtig handelen.

Ik zou niet -zoals de vraagsteller op het forum zegt- dingen op de laptop gaan veranderen, zoals internet beperken tot de site van de dienstverlener en van de bank (om de factuur te betalen) of internet en usb sticks blokkeren om de laptop zo irritant mogelijk in het gebruik te maken. Als de wanbetaling gaat over die laptop, dan is echt het onder je houden van de laptop de beste manier.

Arnoud

Autoriteit Persoonsgegevens gaat toezien op AI en algoritmes

Geplaatst op in Ondernemingsvrijheid, Privacy, 2 reacties

De Autoriteit Persoonsgegevens gaat toezien op het gebruik van kunstmatige intelligentie (AI) en algoritmes waarbij persoonsgegevens worden gebruikt. Dat las ik bij Security.nl. De grens tussen ‘wat geweldig dat dit kan’ en ‘bloedlink wat hier gebeurt’ kan juist hier soms akelig dicht bij elkaar komen, aldus de toezichthouder. Iedereen die verantwoordelijk is voor de inzet van algoritmes en AI moet weten wat hij doet en daar transparant over zijn. Mogelijk gaat de AP AI inzetten voor dit toezicht; men heeft immers een zwaar menstekort.

Oké dat was nodeloos cynisch en/of clickbait. Maar toch: het voelt gek om zo’n technisch pittig onderwerp tot focus te verklaren als je nu maar 138 van de 20.000 klachten tot onderzoek bombardeert, en het aantal boetes met binair stelsel op de vingers van één hand te tellen zijn. Desondanks is het een goede stap, omdat veel organisaties tot nu toe AI aangereikt kregen in mooie brochures als prachtige beloftes van objectiviteit, en nu de FG en/of jurist van zo’n organisatie met enige onderbouwing kan wapperen dat er toch risico’s aan deze nieuwe technologie zitten.

Het beoogde toezicht van de AP bevat voor mij geen écht nieuwe stappen. Het komt neer op invullen van de eisen uit de AVG, met name transparantie en uitlegbaarheid van wat je doet en de verantwoordingsplicht waarmee je moet onderbouwen waarom je transparant bent en hoe je echte uitleg geeft. (De verantwoordingsplicht is het grofste geschut dat de AVG heeft; hele hordes doen het keurig maar kunnen het niet verantwoorden en overtreden dus alsnog de AVG.)

De leukste hobbel om te moeten nemen alvorens je een algoritme in gaat zetten is dat je een DPIA moet uitvoeren. Het valt al heel snel onder een “systematische en uitgebreide beoordeling van persoonlijke aspecten van natuurlijke personen” (art. 35 AVG), of dat nou gaat om het weigeren van leningen of het niet uitnodigen van sollicitanten. Daar zitten risico’s aan omdat je niet weet hoe zo’n algoritme werkt, terwijl je de klant of sollicitant dat wél moet kunnen uitleggen.

En de kicker: als je die DPIA uitvoert en je concludeert dat je niet eenvoudig aan de AVG kunt voldoen, dan mag het niet totdat je toestemming van de AP hebt. Wat volgens mij de overgrote meerderheid gaat krijgen, want hoe ga je die risico’s managen als je niet weet hoe de tool werkt? Of iets preciezer gezegd, als je niet weet hoe de dataset opgebouwd is en hoe je geborgd hebt dat deze alleen de gewenste, eerlijke factoren betrekt in de analyse? Dan is een bulletpoint op de doos “free of bias” van de fabrikant echt niet genoeg.

En ja, ik kan ook nog een hele tirade voeren over het feit dat we het steeds hebben over “inzet van algoritmes” terwijl het hele punt van AI juist is dat je geen algoritme inzet maar een enorme Excelsheet die correlaties presenteert als harde regels. Maar dat is niet goed voor de bloeddruk.

Arnoud

Gehackt door je partner: duizenden Nederlanders bespioneerd via stalkerware

Geplaatst op in Privacy, 11 reacties

Duizenden Nederlanders worden stiekem door hun (ex-)partner digitaal in de gaten gehouden. Dat meldde RTL Nieuws vorige week. Hun smartphones zijn gehackt en geïnfecteerd met stalkerware, een vorm van malware waarmee je smartphones bespioneert: van WhatsAppgesprekken meelezen tot op afstand de camera inschakelen. Daarbij wreekt zich onder meer dat antivirussoftware draaien op je telefoon niet gebruikelijk is (en de meeste antivirus ook nogal nep voelt, maar dat ligt vast aan mij). En kom je er als stalking-in-spe zelf niet uit, dan kun je bedrijfjes inhuren die het je keurig uitleggen of op afstand meehelpen. Maar eh, is dat allemaal legaal dan?

Stalkerware is een vrij nieuwe term, die verwijst naar allerlei software en diensten die een ander stelselmatig bespioneert. Dat kan zijn het live meekijken op de telefoon (en dat doorsturen) of op de online backup zoals de iCloud van iemands gegevens. Als een iPhone bijvoorbeeld standaard alle chats backupt, of de Find my IPhone aan heeft staan, dan kun je op die manier dus live meelezen met wat iemand doet én zien waar die op dat moment is.

De term stalkerware alleen al geeft aan dat dit hoogst dubieus is – het is kennelijk not done om ook bij zulke evidente strafbare zaken een voorbehoud te maken of op te merken dat je er legitiem je kinderen mee in de gaten wilt houden. Eh, ja, juist. In de overgrote meerderheid wordt het gebruikt om de partner (of “beoogd partner”, zeg maar het slachtoffer van de waangedachte dat iemand verliefd op je is) in de gaten te houden, te controleren of dwars te zitten.

En dat is natuurlijk gewoon hartstikke strafbaar. Want er is geen legitieme reden voor software die zich stiekem installeert, zijn aanwezigheid niet kenbaar maakt en/of gegevens doorstuurt zonder periodiek te piepen (zoals met een notificatie) dat dat gebeurt. (Mocht er een Nederlandse handelaar meelezen die oprecht meent dat zijn software volstrekt legitiem is en de term stalkerware smadelijk vinden, sosueme.wav). Ik had lang geleden een Nokia die altijd piepte als je een foto maakte, en dat blijft een heel mooi principe.

Dat gezegd hebbende is het natuurlijk heel treurig dat de praktijk toch weer is dat het slachtoffer van alles moet doen om zich te ontdoen van deze digitale ranzigheid.

Arnoud

Hoe gaat de jurist van de toekomst eruit zien? #legaltechtuesday

Geplaatst op in Innovatie, 1 reacties

Mijn blog van volgende week over het uurtarief raakte aan een teer punt, gezien het aantal reacties in de mail dat ik erop kreeg. Een jurist is toch een kenniswerker, die uiteindelijk zijn uren inzet verkoopt. Dus je kunt wel vaste prijzen ergens op hangen, maar dat blijft in feite het afronden van een urenschatting en jezelf dan ruimte (of krapte) geven om het werk daarbinnen te doen. En meer algemeen, het werk dat juristen doen dat is toch eigenlijk altijd gespecialiseerd werk, maatwerk, is een vaste prijs dan wel logisch?

Natuurlijk, het beroep van de jurist is ooit begonnen als een specialisme, en de kennis van de jurist heden ten dage is gespecialiseerd en vrij uniek. Dus het is niet gek dat als je dan leest over veranderingen in het beroep, dat je dan denkt hoe je specialisme gewaarborgd blijft bij zulke veranderingen. Maar ik blijf het zeggen: het gaat niet om dat gespecialiseerde, het gaat juist om het standaardwerk. Hoewel ook juristen en advocaten zich veelal zien als leveranciers van uniek maatwerk (de term ‘kleermaker’ komt heel vaak langs), is een hele berg van het werk juist standaard.

Het lastige is alleen dat wij juristen veel beter dan anderen kunnen aangeven waarom ook dat standaardwerk eigenlijk volledig op maat geleverd moet worden. Onze dienstverlening is immers het zoeken naar risico’s en problemen, de ernst daarvan onderstrepen en een oplossing aandragen die gevolgd móet worden op straffe van hoge boetes en ander juridisch onheil. (Weinig mensen kunnen zeggen dat een fout in hun werk kan leiden tot een strafproces tegen de directie.) En dat wordt vaak gevolgd, mede omdat het specialisme met enige mystiek omhuld is en de gevolgen heel ernstig klinken.

Bovenstaande is overigens niet perse onwáár. Het klopt dat een onjuist advies over zeg een afspraak met de concurrent dat gevolg kan hebben. Of dat een foutje in een NDA kan leiden tot een jarenlange rechtszaak met miljoenenclaims. Maar dat zijn de uitzonderingen, en niet de dagelijkse praktijk. Die gaat over “kan ik dit tekenen want ik wil koffie drinken met die leverancier”. Het advies moet daarmee in proportie zijn. Een standaardzaak vraagt om een standaardantwoord. De bijzondere risico’s horen afgekapseld te zijn of afgevangen te worden als hun waarschijnlijkheid hoog genoeg wordt.

Belangrijker voor mij is de realisatie dat als je als jurist dit niet doet, anderen dit wel gaan doen. Neem het opstellen van algemene voorwaarden. Het beschermen van een ondernemer met duidelijke regels voor zijn handelsverkeer is typisch iets waar je een jurist voor inzet. Welke risico’s loopt die ondernemer en hoe dekken we dat af? Toch is juist het product “algemene voorwaarden” iets dat uit zó veel bronnen te krijgen is, van Kamer van Koophandel tot handige boekhouder tot vele online diensten waar je ze al dan niet met vragenlijst gratis, goedkoop of duur verkrijgt. Er zijn inderdaad nog steeds advocaten die 12.000 euro voor een set AV kunnen vragen maar dat is niet de bulk van het werk.

Je kunt volgens mij als jurist dan twee kanten op. Of je zegt, ik ben echt een specialist en mij moet je hebben als je situatie niet zo standaard is, of juist, ik kan dat standaardwerk prima leveren en de moeilijke gevallen schuif ik door. De natuurlijk neiging is volgens mij om meteen dat eerste te kiezen, maar besef dat dat maar een beperkte doelgroep (en dus hoeveelheid werk) aantrekt.

Daar staat tegenover dat wie het standaardwerk betreedt, meteen dus die KVK, handige boekhouder en online diensten tegenover zich krijgt. Want die kunnen het standaardkunstje ook, en zijn gehaaider in het binnenhalen van standaardklantjes tegen een lagere prijs. En ja komt ie weer met z’n Susskind: de commodificatie in de juridische wereld is al een héél groot eind gevorderd. Voor veel producten zelfs naar gratis.

Toch biedt dat ook kansen, juist voor juristen die meer kunnen dan die boekhouder maar niet meteen de superspecialist willen zijn. Jezelf onderscheidend maken bovenop commodity producten is dé manier om te groeien in zo’n markt. Dus: wat is jouw toegevoegde waarde bovenop zo’n generator? Wat wil de klant dat een boekhouder niet kan?

En nee, het antwoord is natuurlijk niet “perfect maatwerk met alle risico’s volledig uitonderhandeld en weggezet”. Voor mij is dit precies de sweet spot om legal tech in te zetten: die levert het standaardwerk dat de aanloop is voor jouw maatwerk. Om bij mezelf te blijven, dankzij NDA Lynn reviewen mijn klanten hun NDA’s in vijf minuten, en ze betalen mij vervolgens om inhoudelijk antwoord op de gekke vragen te krijgen. Ik ben daardoor de hele dag bezig met gekke dingen in NDA’s en dat vind ik dan weer leuk.

Dat is hoe de jurist van de toekomst zichzelf moet herdefiniëren: waar is mijn toegevoegde waarde bovenop de technologie, bovenop de commodity.

Arnoud