Kan Apple verbieden dat de bad guy in een film met een iPhone rondloopt?

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 5 reacties

Elektronicagigant Apple zou niet toestaan dat bad guys in een film met de iPhone rondlopen, las ik bij Ars Technica. Zij citeren een interview met regisseur Rian Johnson, die er meteen bij zegt dat hij het eigenlijk niet moet zeggen omdat mystery movies wel erg makkelijk worden als je ineens één acteur met een gare Android telefoon ziet rondlopen terwijl de rest hipster met iPhone is. Apple was niet bereid om commentaar te geven, maar het voelt wel érg verstrekkend dat ze dit zo zouden kunnen doen.

De meest voor de hand liggende verklaring is dat Apple deze opstelling kiest bij product placement oftewel gesponsorde verstrekking van Apple-apparatuur. Bij zo’n zakelijke overeenkomst kun je best regels stellen, waaronder dus dat alleen de goeien met de iPhone rondlopen. Dat is niet ongebruikelijk. Al veel langer is bijvoorbeeld het voorbeeld bekend dat het Amerikaanse leger je gerust mooie apparatuur, tanks en soldaten uitleent maar dat het leger dan wel mooi uit moet komen in de film.

Ook in Nederland hebben we dat gehad: de politie ‘herkende zich niet’ in het beeld van de agent die acteur Tygo Gernandt neerzette in Dokter Tinus, dus mocht hij niet het officiële uniform dragen maar alleen het afgedragen veldwachterkostuum uit Swiebertje, als ik me het goed herinner. Daar trok de rechter een forse streep door: natuurlijk wil de politie leuk uitkomen in series, maar het belang van herkenbaarheid staat voorop. Bovendien kan een overheid niet zomaar zeggen dat ze bepaalde uitingen vooraf wil inzien én daar correcties in eisen, ook niet met een beroep op een merk of auteursrecht. Dat noemen we immers censuur.

Apple is geen overheid en kan dus geen censuur plegen. Als zij toestemming willen onthouden aan partijen die niet hun spelregels willen volgen (lees: die een bad guy op de iPhone willen laten werken) dan is dat hun goed recht. Alleen krijg je dan de vraag of je die toestemming wel echt nodig hebt, iets dat in IE-land vaak wordt vergeten.

Het argument zou dan zijn dat Apple reputatieschade lijdt door dergelijke inzet van de iPhone, en dat dat onrechtmatig is zodat ze een verbod zou kunnen eisen bij de rechter. En wie een verbod kan eisen, kan ook toestemming afdwingen. De reputatieschade zou dan zijn dat wanneer je in de winkel staat, je toch maar geen iPhone koopt want in die ene film had de moordenaar die ook. Nee, die vind ik ook niet heel sterk.

Wel een mogelijke situatie zou zijn als de filmmaker de iPhone centraal zet, helemaal als hij mede door dat bekende product bewezen meer succes heeft met de film. Dat soort oneerlijk meeliften op andermans reputatie kan wél als merkinbreuk worden aangepakt. Maar bij een film lijkt me dat wat lastig voorstelbaar, ik kan me althans geen relevant plot voor de geest halen. Dat je de film maakt met een iPhone en dat je daardoor opvalt als filmmaker, lijkt me in ieder geval niet genoeg.

Arnoud

Hoe meer we robots contracten laten lezen, hoe korter contracten worden #legaltechtuesday

Geplaatst op in Innovatie, 5 reacties

Ja, contractlezende robots komen eraan. Die scannen op vrij triviale wijze, trekken conclusies volgens standaardregels en geven basaal advies. Maar toch: dat is goed genoeg voor de meeste afnemers van juridische dienstverlening. De mens blijft over om de moeilijke gevallen te lezen, dat dan weer wel. Maar vandaag wou ik het over een ander aspect hebben: als je robots contracten laat lezen (en schrijven) dan zul je zien dat die contracten langzaam maar zeker korter worden. En dat kan voor gewone mensen best eens interessant zijn.

Een computer heeft geen idee wat hij leest, maar kan wel héél snel vaststellen of een clausule lijkt op een andere. Dat zei ik vorige week en dat was een tikje kort door de bocht: met natural language processing (NLP) technieken kan een AI best wel wat grammaticale dingen onderkennen, bijvoorbeeld vaststellen dat “Supplier guarantees safe delivery of the Products” hetzelfde is als “Manufacturer warrants defect-free transport of the Goods” en dat die twee clausules dus hetzelfde ‘doen’, juridisch gezien. Namelijk: de risico’s voor transportschade bij de leverancier leggen.

Zo’n computersysteem zal dan op basis van zo’n analyse de conclusie trekken dat die risico’s daar liggen, en kan dat bijvoorbeeld rapporteren in een contract management systeem. De inkoper weet dan dat dat contract veilig is op het punt van transport, en kan dus dat contract dan als een lager risico inschatten. Of de bedrijfsjurist weet daarmee dat aan het inkoopbeleid is voldaan. Zou er een “not” in de clausules hebben gestaan, dan had het systeem een alarmpje moeten laten afgaan dat hiermee de ontvanger op kosten kan worden gejaagd.

Wat de conclusie ook is, die komt er niet uit als die zin met juridisch jargon maar als de samenvatting “Transport risk: supplier” of iets dergelijks. En dat is dus waarom contracten korter worden. De volgende keer dat er wordt onderhandeld, zegt die inkoper of jurist niet meer dan dat het transportrisico bij de supplier moet liggen (wat ze nu al vaak ook zeggen). Het contractonderhandelsysteem zal dan een clausule zoeken die aan die eis voldoet, maar of hij nu die eerste of tweede voorbeeldzin pakt, dat maakt daarbij niet uit.

Op dat moment is dus “Transportrisico: supplier” synoniem geworden voor “Manufacturer warrants defect-free transport of the Goods”. En dan kun je dus net zo goed dat eerste in het contract zetten. In onderhandelingsjargon: het contract valt weg en je houdt alleen de term sheet over, omdat partijen raamafspraken hebben over wat term sheet bepalingen betekenen.

Natuurlijk, juridisch jargon kan behoorlijk wat nuance krijgen. Er is het nodige dat je toe kunt voegen aan die clausule waardoor er nét wat anders komt te staan, zoals “commercially safe” waardoor het niet helemaal hetzelfde meer is als “guarantees safe delivery”. Maar dergelijke clausules zullen de uitzondering zijn en blijven. Die worden dan wel gesignaleerd maar maken het proces langer. Dat zal leiden tot langere contractsonderhandelingen, waar niemand op zit te wachten. Dus dat zul je minder en minder vaak zien.

Het gevolg is natuurlijk wel dat het aantal ‘smaken’ waarin je afspraken over risico’s maakt, ook weer beperkt. Want effectief heb je alleen nog de smaken over die de partijen regelmatig gebruiken. Is dat erg? Ik denk van niet, althans in commerciële contracten. In de praktijk zit je daar vaak toch maar met een beperkt aantal opties. Om een ander voorbeeld te nemen: contracten duren vaak zes maanden, een jaar, twee jaar, drie, vijf of tien. Het eerste contract dat 7 jaar en 6 maanden duurt, moet ik nog tegenkomen. Het zal vast wel eens geopperd zijn, maar het is zeer ongebruikelijk. Moet je dan rekening houden met zo’n edge case? Ik denk dat alles een stuk soepeler gaat als je dergelijke opties uitsluit. En daar worden contracten korter van.

Arnoud

Is het weghalen van een gps-tracker van je auto diefstal?

Geplaatst op in Informatiemaatschappij, 23 reacties

Het verwijderen van een gps-tracker van je auto is geen diefstal, zo las ik bij Ars Technica. En dan ging het hier dus over een gps tracker van de politie; hij werd gevolgd op verdenking van het handelen in methamfetamine. Na zes dagen verdween het signaal, waarop de politie bij hem binnenviel wegens diefstal van de tracker en toevallig de nodige drugs aantrof. Dat voelt niet helemaal de bedoeling, juridisch gezien, en het verbaast dan ook niet dat de zaak werd verworpen en het bewijs onrechtmatig verkregen werd verklaard. In Nederland zou het denk ik ook zo uitpakken, ik zou vooral het gezicht van de rechter-commissaris willen zien als je met dit argument komt.

Het plaatsen van gps-trackers is natuurlijk niet geheel nieuw. Een verdachte kunnen volgen bij zijn autoverkeer is waardevol in een onderzoek. Wel is dat een stevige ingreep in de privacy, daarom mag het alleen bij verdenking van misdrijven en moet de officier van justitie het toestaan (art. 126g lid 3 Wetboek van Strafvordering).

Natuurlijk kan het gebeuren dat de verdachte het apparaat aantreft, en het lijkt me logisch dat die het dan weggooit of thuis verstopt (in aluminiumfolie, als hij slim is) om te bedenken hoe hij de politie ermee om de tuin kan leiden. Dan is je onderzoek stuk, en weet de verdachte ook nog eens dát hij wordt gevolgd. Erg vervelend dus voor het onderzoek.

Maar om dan via diefstal van de tracker door te pakken? Het voelt nogal gezocht. Het argument is natuurlijk: dat ding is eigendom van de politie, de verdachte eigende het zich toe maar had daar geen recht toe, dus is dat naar de letter diefstal. Ook als hij het daarna weggooit; dat is ook een vorm van je toe-eigenen. Dus ja, op papier klopt het. En diefstal is een misdrijf, dus in theorie mag je dan (als je weet dat het gestolen goed zich in dat huis bevindt) een doorzoeking van het huis uitvoeren. En kom je dan ’toevallig’ bewijs van het echte misdrijf tegen waar je naar op zoek was, dan is dat dus mooi meegenomen.

Maar eh, nee. Het voelt net iets te bijdehand, en ik kan me dus ook moeilijk voorstellen dat hier daadwerkelijk voor vervolgd zou worden. Of zelfs maar dat een bevel tot huiszoeking zou worden gegeven, want het is net iets te duidelijk dat men eigenlijk naar binnen wil om voor dat andere misdrijf te zoeken terwijl daar net te weinig bewijs voor was.

Arnoud

Oh jee, mag je geen reclame meer in je bevestigingsmails stoppen?

Geplaatst op in Ondernemingsvrijheid, 26 reacties

Stel je boekt een hotel en je krijgt een mail met als onderwerp “Bedankt! Uw boeking bij Black Label Hotel Valkenburg is bevestigd.” Mooi toch? Alleen zie je dan onderin reclame (“Verwijs je vrienden door en verdien 20 euro”, “Boek een auto” en zo nog wat) en dat vind je dan minder. Wat doe je dan? Dan stap je naar de Reclame Code Commissie, die vervolgens bepaalt dat dat niet mag onder de Nederlandse Reclame Code. Wat dan weer in de pers komt als zou het verboden zijn om überhaupt reclame in je bevestigingsmail te stoppen.

De klacht was ingediend door een consument die zich kennelijk buitengewoon ergert aan reclame, want hij had al diverse mailen bij de dienstverlener aangegeven daar niet van gediend te zijn. En uiteindelijk was dat ook waar het bedrijf op onderuit ging.

Het komt vaker voor dat bevestigingsmails en dergelijke (in het jargon “serviceberichten”) voorzien worden van reclame. Het is toch weer even een contactmomentje, en een upsell zoals een auto boeken na je hotelboeking is dan snel verkocht. We weten allemaal dat dat eigenlijk niet de bedoeling is, maar het is relatief onschuldig en gebeurt dus massaal.

De RCC constateert echter droogjes dat ook een mail die slechts een stukje reclame bevat, een reclameboodschap is:

Deze onderdelen betreffen naar het oordeel van de voorzitter geen zakelijke mededelingen zonder aanprijzend karakter. Uit onder meer de volgende zinsneden in de uiting blijkt dat deze diensten van verweerder worden aangeprezen: “Eenvoudig een auto huren via Booking.com”, “het huren van een auto gaat bij ons snel en gemakkelijk. We bieden zelfs gratis annulering” en “Voorkom gedoe na uw vlucht met een rechtstreekse taxi… Hij wacht op u nadat u bent geland.”. Om die reden is sprake van reclame in de zin van de Code e-mail.

Dat die reclame gerelateerde is aan de eigenlijke dienst, en alleen wordt verstuurd als onderdeel van die service, doet er verder niet toe. En omdat de consument reeds eerder in algemene termen had aangegeven verschoond te willen blijven van alle soorten reclame, was het bedrijf in overtreding van de Nederlandse Reclame Code.

De NRC is echter geen wet (al sluit hij er nauw op aan natuurlijk). Dus hoe zou dat onder de wet uitpakken? Dan kom je bij artikel 11.7 Telecommunicatiewet, dat in lid 3 bepaalt dat je klanten gerelateerde diensten mag aanprijzen tenzij men daar verzet tegen heeft aangetekend. Dat is dus waarom nieuwsbriefvinkjes vooraf aangevinkt mogen zijn als het gaat om bestelformulieren voor betaalde aankopen: het weghalen van dat vinkje geldt als ‘verzet’ tegen die reclamenieuwsbrief. Maar verzet tegen de reclameregel in een bevestigingsmail, die heb ik nog nooit gezien.

Zelf meen ik dat een dergelijke korte reclame in een servicebericht wél is toegestaan, omdat het doel van de Tw is te voorkomen dat mensen lastiggevallen worden met ongewenste reclameberichten. Dus aparte mededelingen, losse mails met reclame. Ik vind het heel moeilijk een paar zinnen in een bevestigingsmail op één lijn te stellen met een aparte reclamemail, zeker als die onder de eigenlijke zakelijke berichtgeving (“uw kamer is bevestigd”) opgenomen is.

De consequenties van deze uitspraak zouden ook vérstrekkend zijn: dan kun je dus verzet aantekenen tegen bijvoorbeeld een banner in een zakelijke nieuwsbrief, en moet de aanbieder die nieuwsbrief dan vervolgens ook reclameloos versturen. Ben ik dan héél erg gewend aan het reclamebombardement op internet dat ik dat raar vind?

Arnoud

Mag je corp.com registreren als je weet dat dat een Windows-fout is?

Geplaatst op in Security, 5 reacties

Een lezer vroeg me:

Bij KrebsOnSecurity las ik dat het Corp.com domein te koop gezet gaat worden. Daarmee is toegang te krijgen tot allerlei credentials en nu vroeg ik me af of dat legaal is. Immers je doet niets, andere mensen configureren hun Windows-netwerk slecht. Hoe zit dat in Nederland?

Het domein corp.com gaat inderdaad in de verkoop als ik het goed lees, al lijkt het vooral de bedoeling dat Microsoft het koopt voor een miljoen dollar. Dat zou dan zijn omdat inderdaad veel slecht geconfigureerde Windowsnetwerken verkeer naar dit domein sturen, inclusief authenticatiemiddelen zoals wachtwoorden.

De reden hierachter is dat Windows bij het maken van een intern netwerk standaard de suffix “.corp” voorstelt, wat lang niet iedereen aanpast. Interne diensten zoals gedeelde harde schijven kun je benaderen met iets als \klantdata\ in de Explorer. Echter, ga je vervolgens ergens werken waar je andermans DNS gebruikt, dan maakt Windows van die naam eerst “klantdata.corp” en vervolgens “klantdata.corp.com” omdat .corp niet bestaat bij die ander. En dan stuurt je systeem dus inderdaad logins en dergelijke naar die website.

Op zich gebeurt dit vaker. Bedrijven die een oude domeinnaam hebben overgenomen, of blijken te hebben geregistreerd, ontvangen regelmatig mails voor de oude eigenaar bijvoorbeeld. Dat is vervelend, maar in de praktijk gooi je die mail dan weg en dan is het klaar.

Hier voelt het iets anders, omdat de bedoeling van deze domeinnaam hebben nu duidelijk lijkt te zijn dat je die logins wilt hebben. Het is moeilijk daar een legitiem doel aan te koppelen. Natuurlijk is er vast een marketingblablaverhaal te verzinnen dat je corporate dienstverlening wilt verrichten en dat corp.com dan perfect aansluit bij je merkwaardebeleving, maar om eerlijk te zijn geloof ik daar dan geen bal van.

In Nederland is het strafbaar (art. 139d Strafrecht) om wachtwoorden of dergelijke authenticatiemiddelen te verwerven, in te voeren, beschikbaar te stellen of voorhanden te hebben. Althans, als je doel daarmee is om het misdrijf computervredebreuk, denial of service of aftappen van vertrouwelijke informatie te plegen. Een wetenschapper die wil onderzoeken hoe groot dit probleem is, kan dus prima monitoren wat hier gebeurt. Een security-onderzoeker die al die bedrijven wil waarschuwen handelt ook legaal. Maar voor het overige zie ik niet hoe je iets kunt doen met die informatie.

Arnoud

Mijn werkgever blokkeert mijn thuisverbinding omdat ik een TOR relay heb

Geplaatst op in Ondernemingsvrijheid, 21 reacties

Een lezer vroeg me:

De dienstverlener van een SaaS administratie-pakket voor de zakelijke markt blokkeert/blacklist de thuisverbinding van een werknemer omdat deze een TOR node draait. De helpdesk weigert dit IP-adres te whitelisten en stelt dat de werknemer zichzelf van de blacklist zal moeten laten verwijderen, wat zou betekenen dat de node offline moet. Mag dit?

Deze manier van werken is me opgevallen bij een aantal SaaS-pakketten. Ik vermoed dat er iemand op security-cursus is geweest en daar leerde dat er met TOR nare dingen gebeuren, zodat het beter is om verkeer vanaf TOR te weren. Dus IP-adressen die óók een TOR node zijn, mogen dan niet inloggen.

Inderdaad gebeuren er rare en strafbare zaken via TOR, maar dat is onvermijdelijk met een netwerk dat opgezet is voor volledig anonieme communicatie. Maar wat je daar verder ook van vindt, ik zie niet hoe het relevant is bij het kunnen inloggen op een SaaS-tool. Ik snap dat je aanvallers wil weren, maar uiteindelijk doe je dat door een adequate authenticatieprocedure.

En oké, als je verkeer vanúit TOR wilt weren dan snap ik dat ergens – dat kan een wachtwoorddief zijn die zijn sporen wil wissen, en welk bedrijf zou standaard willen dat zijn werknemers inloggen via TOR? Maar hier gaat het over IP-adressen die óók een TOR node zijn, maar waarvan de login los staat van TOR.

Tegelijkertijd, wat doe je er aan als klant? Want dit soort dingen zijn -zeker in de zakelijke contractensfeer- prima zo af te spreken dat de dienstverlener het mag. Als die ervoor kiest om alleen als Nederlands bekend staande IP-adressen toe te laten bij de inlog, dan zit je als zakelijke klant op vakantie in Thailand inderdaad met een blokkade. En dan staat men in haar recht. Dit nog los van het punt dat je niet gaat procederen over een dergelijke bagatel, want de kosten zijn hoger dan de baten.

Arbeidsrechtelijk nog wel een interessante: kan ik als werkgever van een werknemer in deze situatie eisen dat zhij stopt met die TOR node? Kennelijk moet zhij thuis kunnen werken (anders is het probleem niet relevant voor het werk) en kennelijk is het contractueel redelijk dat de leverancier hem weert gezien die node. Het hindert het werk, wat die werknemer doet. Daar staat tegenover dat ik als werkgever vrij weinig te maken heb met zo’n privéhobby.

Wat zouden jullie de werkgever adviseren?

Arnoud

Hoe kan een robot nou ooit juridische teksten lezen? #legaltechtuesday

Geplaatst op in Innovatie, 7 reacties

Vorige keer blogde ik over de nieuwe positie van juristen en advocaten: specialisten die het moeilijke werk doen dat de generalisten niet kunnen, ook niet door inzet van legal tech en contractlezende (en -schrijvende) robots. Dat roept natuurlijk de vraag op waarom die generalisten überhaupt juridische documenten kunnen verwerken, en vooral waarom ze dat nu niet al op grote schaal doen dan. Want één van de argumenten waarmee de juridische sector zich lang staande heeft weten te houden tegen automatiseringsgeweld is natuurlijk dat het werk uniek is, elk geval is anders, maatwerk is onvermijdelijk en de kleinste komma op de verkeerde plek kan tot faillissement leiden.

Het is natuurlijk waar, dat iedere juridische vraag anders is al is het maar omdat de achterliggende onderneming net anders is dan de concurrent of het bedrijf uit de jurisprudentie. Wil je écht tot in detail de analyse doen, dan ontkom je er niet aan dat je volledig maatwerk gaat leveren. Maar de premisse die de inzet van legal tech drijft, is dat dit lang niet altijd nodig is. Goed genoeg is goed genoeg.

Net zoals je natuurlijk prima een maatkostuum kunt laten naaien bij een kleermaker die echt met een lap stof begint en je opmeet met een laserpointer om zo de knieschijf links en rechts individueel de beste pasvorm te gunnen. Maar de meeste mensen halen het toch liever bij een confectiewinkel en gaan niet verder dan het innemen van te lange mouwen of het iets aanpassen van de taille. Je valt op (in positieve zin, overigens) als je met een maatkostuum loopt. En in veel gevallen is maatwerk ook niet 100% maatwerk: het jasje is er al ongeveer, maar wordt (fors) verbouwd om tot een passend jasje voor deze cliënt te komen.

Standaardiseren is de manier om de kosten en doorlooptijd te drukken. Een bijkomende factor daarbij is wel dat de leverancier van het standaardproduct-met-aanpassingen in staat is om die aanpassingen door te voeren zonder dure specialist. Als ik een kostuum koop in een grote winkel, dan verwacht ik niet honderden euro’s kwijt te zijn voor verstelwerk om het passend te krijgen. Het bedrag moet in verhouding staat tot de kosten van het hoofdproduct. En dan moet het verstelwerk dus goedkoop gedaan kunnen worden. Zit je dan als dure Italiaanse kledingmaker die voor iedere steek de perfecte naald heeft.

In de juridische sector zien we al langer de opmars van standaarddocumenten. Algemene voorwaarden voor ondernemers kun je op vele plekken betrekken, van een standaardmodel bij de Kamer van Koophandel tot vele juridische supermarkten waar je al dan niet met vragenlijsten clausules op maat selecteert en aan elkaar plakt tot een bij jou passend document. Niet zo goed als maatwerk op basis van een intake, drie klantcasussen en een brainstorm met drie partners. Nee, zeker niet. Maar goed genoeg voor beginnende ondernemers – of zij die het zelf menen te kunnen aanpassen, wat zeker in de ICT een niet te onderschatten factor is.

Maar goed, dat zijn dan standaardteksten. Lastiger wordt het lézen van bestaande documenten. Want die komen meestal toch van gespecialiseerde dienstverleners, en daar zal de aardige dame van de KVK je echt niet bij kunnen helpen. Dit is waarom er steeds meer gewerkt wordt aan juridische robots: die kunnen zulke teksten lezen en analyseren op eventuele risico’s. Dat zijn nog steeds geen specialisten, maar wel goed genoeg. Alleen, hoe werkt dat dan eigenlijk?

Vrijwel alle juridischedocumentenlezende robots werken op een of andere manier met machine learning. Daarbij wordt op basis van statistiek een tekst uit elkaar getrokken en geanalyseerd. Die term komt terug in het lijstje met bedrijfsnamen, die woordcombinatie lijkt op een datum, en deze zin bevat termen die we kennen in de categorie “duur van de overeenkomst”. En op basis van dergelijke overeenkomsten kan het systeem dan een conclusie trekken: deze overeenkomst loopt tot de genoemde datum.

Eerder haalde ik al Edsger Dijkstra aan. Parafraserend, computers zwemmen niet maar zijn onderzeeboten. Dit soort dingen laat zien wat het verschil daartussen is. Een computer heeft geen idee wat hij leest, maar kan wel héél snel vaststellen of een clausule lijkt op een andere. Of op véle anderen, want daar komt het vaak op neer. In zo’n ML systeem zijn ooit vele honderden, zo niet duizenden clausules gestopt met een menselijke classificatie (“aansprakelijkheid”, “duur”, “overmacht”, “verwerker”, et cetera) en een nieuwe clausule wordt dan geanalyseerd op overeenkomst met die classificaties. Aha, hier nog een aansprakelijkheidsclausule (87.3% zeker) of is het en overmachtsclausule (9.3%).

Natuurlijk zitten er risico’s aan zo’n analyse zonder begrip. Er zijn genoeg teksten te bedenken die écht niet zo in een bakje te duwen zijn. Of waarvan de betekenis niet met zo’n simpele analyse te vatten is. Een bekend voorbeeld is al “man bijt hond”, dat wezenlijk anders is dan “hond bijt man” maar voor de computer waarschijnlijk dezelfde zin is (voor de ML-adepten: omdat vrijwel iedereen bag-of-words analyse doet). Alleen: in juridische documenten is dat minder waarschijnlijk. Doel van een contract bijvoorbeeld is een afspraak vastleggen, niet een roman schrijven waar het proza een schitterende puzzel oplevert. Het moet dus simpel en zo min mogelijk multi-interpretabel. En dan is het leesbaar voor robots ook.

En ja, ook dan kunnen er rare clausules uit springen. Ik zie als ervaren jurist ook nog steeds clausules die ik drie keer moet lezen, of die iets heel nieuws aan het regelen zijn. Dat zal een computer niet snel aan kunnen pakken. Maar ze zijn dan weer wél goed in het signaleren dat er iets raars staat deze keer, en dat is dan iets waar een mens naar moet kijken. Dat is hoe computers lezen.

Arnoud

Hoe verhoudt de AVG zich tot mijn huwelijkse gemeenschap van goederen?

Geplaatst op in Privacy, Security, 13 reacties

Ik ben voor deze posting even mevrouw van Dam. Gehuwd in gemeenschap van goederen. Zo opende een forumbericht bij Security.nl onlangs. Met daaraan gekoppeld de vraag: hoe zit dat dan met de AVG, stel dat je een bestelling van je vrouw wilt ophalen of van een account van je man een inzage- of correctieverzoek wil doen? En is het dan relevant of je in gemeenschap van goederen bent getrouwd? Of, iets pikanter -zoals de vraagsteller- kun je daarmee achterhalen of je man stiekeme accountjes heeft bij een niet-nader te noemen immorele datingdienst die aanzet tot echtbreuk maar toch van de RCC mag blijven adverteren?

Privacy en de bescherming van persoonsgegevens zijn grondrechten, en die zijn persoonlijk. Dus als partner in een huwelijk heb je daar in principe niets over te zeggen, het gaat jou niet aan hoe je partner daarmee omgaat. Althans, juridisch niet; natuurlijk mag je er best wat van vinden omdat je nu eenmaal getrouwd bent. Maar bij de rechter is dat niet afdwingbaar.

Uitzondering zou zijn als de gegevens ook die van jou betreffen, denk aan een gezamenlijke bestelling of hypotheek. Maar een bestelling is niet al gezamenlijk enkel omdat je in gemeenschap van goederen bent getrouwd, deze staat op naam van een van de partners en die is dan AVG-technisch de ‘betrokkene’. Dat je via het vermogensrecht als partner opdraait voor de kosten als je partner niet betaalt, staat daar los van.

Heel formeel zie ik dus onder de AVG geen grond om de persoonsgegevens van je partner op te vragen, ook niet als de aanwezigheid van die persoonsgegevens ergens in een systeem kunnen leiden tot financiële claims op jou. Of omdat je er sterker mee komt te staan in een echtscheidingsprocedure. Het zijn niet jouw gegevens.

Wellicht is er wel een uitweg als je zegt, in een huwelijk is het gebruikelijk dat je voor elkaar ook rechtshandelingen uitvoert. Ik bestel iets voor mijn vrouw omdat zij het druk heeft, iemand belt naar de apotheek voor een medicijn voor zijn man, je vrouw boekt een afspraak bij de kapper voor je, en ga zo maar door.

Juridisch gezien zeg je dan, ik ben gemachtigd om dit te doen althans de wederpartij mag veronderstellen dat ik dat mag. Daarmee zou je dan ook kunnen zeggen dat je onder de AVG inzageverzoeken (en correctie, verwijdering et cetera) mag doen. Dat zijn immers ook gewoon rechtshandelingen, en daar ben je dan toe gemachtigd. Wel zou de wederpartij dan bewijs kunnen vragen dát je gemachtigd bent, zeker als in hun systemen niet na te gaan is dat jullie getrouwd zijn. Tot nu toe heb ik zelf alleen maar knipperende ogen gehad als ik met zo’n stuk papier namens mijn vrouw me ergens meldt, maar het zal onwennigheid zijn.

Arnoud
PS en ja dat laatste is de premisse van mijn verhaal A New Intelligence, mocht je het nog niet gelezen hebben.

Mag ik de computer van een wanbetaler blokkeren?

Geplaatst op in Ondernemingsvrijheid, 13 reacties

Op het forum van Security.nl las ik:

Als zelfstandige verkoop ik hardware, software en diensten. Een nieuwe klant bestelt bij mij de nodige hardware en laat zijn harddisk in zijn laptop vervangen door een SSD, daarnaast besteld hij antivirus voor deze laptop en voor een cruciale computer die een productiemachine aanstuurt. Ook sluit hij een abonnement af voor Exchange op een van mijn servers. Alles is geleverd en geïnstalleerd naar zijn tevredenheid, echter blijkt het zeer moeilijk om de rekeningen betaald te krijgen. Mag ik nu die laptop blokkeren of diensten afsluiten om hem zo tot betaling te dwingen?

Wanbetaling komt helaas nog vaak voor bij ondernemers, en je vooraf laten betalen is lang niet altijd een oplossing. De wet kent natuurlijk diverse mechanismen om wanbetaling te bestrijden. Je kunt gaan aanmanen, wettelijke rente eisen en daarna dagvaarden in de hoop dat de (kanton-)rechter hem tot betaling dwingt. Je mag ook in gevallen als deze weigeren de laptop terug te geven tot er betaald is (retentierecht).

Dit werkt niet altijd, en specifiek in de ICT worden dan ook middelen als bovenstaand aangewend. Ik ken reparateurs die dan het wachtwoord op de laptop wijzigen en alleen een heel beperkt gastenaccount aan laten staan, om eens wat te noemen. Dan heb je wel je laptop maar kun je zo weinig dat je toch maar gaat betalen. (En een reparateur die elk uur een popup mét geluid liet verschijnen met de tekst “Je moet nog betalen!!1!” maar daar zullen we het verder niet over hebben.)

Het afsluiten van diensten (zoals toegang tot Exchange via jouw servers) is zeker ook mogelijk. Wel is dit iets dat je in je algemene voorwaarden geregeld moet hebben, al is het maar om discussie te voorkomen over hoe snel je welk middel in mocht zetten. Het is verstandig om daarbij een getrapt mechanisme te hanteren, dus niet meteen het account en alle data wissen maar misschien eerst de dienst readonly (wel nog mails ontvangen maar niet meer sturen), daarna beperkte toegang (ook geen nieuwe mails meer lezen) en daarna geheel afgesloten.

Je kunt dit dan snel inzetten, bijvoorbeeld die eerste stap direct op de dag dat de betalingstermijn verstreken is. Een aanmaning of zelfs maar herinnering is juridisch niet nodig, dus het middel heeft sneller effect dan de formeel-juridische weg van aanmanen, redelijke termijn afwachten en dan opschorten (lees: na 14 dagen de gehele dienstverlening staken).

Heb je dit niet in je AV, dan kan het denk ik nog steeds maar moet je het minst ingrijpende middel kiezen en heel actief informeren en bovenop de klant zitten. Dus dan begin je met die dienst op readonly zetten, de klant daarover informeren en reactie afwachten enzovoorts. Dit omdat je juridische basis dan de redelijkheid is (art. 6:248 lid 1 BW), en dan moet je gewoon voorzichtig handelen.

Ik zou niet -zoals de vraagsteller op het forum zegt- dingen op de laptop gaan veranderen, zoals internet beperken tot de site van de dienstverlener en van de bank (om de factuur te betalen) of internet en usb sticks blokkeren om de laptop zo irritant mogelijk in het gebruik te maken. Als de wanbetaling gaat over die laptop, dan is echt het onder je houden van de laptop de beste manier.

Arnoud

Autoriteit Persoonsgegevens gaat toezien op AI en algoritmes

Geplaatst op in Ondernemingsvrijheid, Privacy, 2 reacties

De Autoriteit Persoonsgegevens gaat toezien op het gebruik van kunstmatige intelligentie (AI) en algoritmes waarbij persoonsgegevens worden gebruikt. Dat las ik bij Security.nl. De grens tussen ‘wat geweldig dat dit kan’ en ‘bloedlink wat hier gebeurt’ kan juist hier soms akelig dicht bij elkaar komen, aldus de toezichthouder. Iedereen die verantwoordelijk is voor de inzet van algoritmes en AI moet weten wat hij doet en daar transparant over zijn. Mogelijk gaat de AP AI inzetten voor dit toezicht; men heeft immers een zwaar menstekort.

Oké dat was nodeloos cynisch en/of clickbait. Maar toch: het voelt gek om zo’n technisch pittig onderwerp tot focus te verklaren als je nu maar 138 van de 20.000 klachten tot onderzoek bombardeert, en het aantal boetes met binair stelsel op de vingers van één hand te tellen zijn. Desondanks is het een goede stap, omdat veel organisaties tot nu toe AI aangereikt kregen in mooie brochures als prachtige beloftes van objectiviteit, en nu de FG en/of jurist van zo’n organisatie met enige onderbouwing kan wapperen dat er toch risico’s aan deze nieuwe technologie zitten.

Het beoogde toezicht van de AP bevat voor mij geen écht nieuwe stappen. Het komt neer op invullen van de eisen uit de AVG, met name transparantie en uitlegbaarheid van wat je doet en de verantwoordingsplicht waarmee je moet onderbouwen waarom je transparant bent en hoe je echte uitleg geeft. (De verantwoordingsplicht is het grofste geschut dat de AVG heeft; hele hordes doen het keurig maar kunnen het niet verantwoorden en overtreden dus alsnog de AVG.)

De leukste hobbel om te moeten nemen alvorens je een algoritme in gaat zetten is dat je een DPIA moet uitvoeren. Het valt al heel snel onder een “systematische en uitgebreide beoordeling van persoonlijke aspecten van natuurlijke personen” (art. 35 AVG), of dat nou gaat om het weigeren van leningen of het niet uitnodigen van sollicitanten. Daar zitten risico’s aan omdat je niet weet hoe zo’n algoritme werkt, terwijl je de klant of sollicitant dat wél moet kunnen uitleggen.

En de kicker: als je die DPIA uitvoert en je concludeert dat je niet eenvoudig aan de AVG kunt voldoen, dan mag het niet totdat je toestemming van de AP hebt. Wat volgens mij de overgrote meerderheid gaat krijgen, want hoe ga je die risico’s managen als je niet weet hoe de tool werkt? Of iets preciezer gezegd, als je niet weet hoe de dataset opgebouwd is en hoe je geborgd hebt dat deze alleen de gewenste, eerlijke factoren betrekt in de analyse? Dan is een bulletpoint op de doos “free of bias” van de fabrikant echt niet genoeg.

En ja, ik kan ook nog een hele tirade voeren over het feit dat we het steeds hebben over “inzet van algoritmes” terwijl het hele punt van AI juist is dat je geen algoritme inzet maar een enorme Excelsheet die correlaties presenteert als harde regels. Maar dat is niet goed voor de bloeddruk.

Arnoud