Gehackt door je partner: duizenden Nederlanders bespioneerd via stalkerware

Geplaatst op in Privacy, 11 reacties

Duizenden Nederlanders worden stiekem door hun (ex-)partner digitaal in de gaten gehouden. Dat meldde RTL Nieuws vorige week. Hun smartphones zijn gehackt en geïnfecteerd met stalkerware, een vorm van malware waarmee je smartphones bespioneert: van WhatsAppgesprekken meelezen tot op afstand de camera inschakelen. Daarbij wreekt zich onder meer dat antivirussoftware draaien op je telefoon niet gebruikelijk is (en de meeste antivirus ook nogal nep voelt, maar dat ligt vast aan mij). En kom je er als stalking-in-spe zelf niet uit, dan kun je bedrijfjes inhuren die het je keurig uitleggen of op afstand meehelpen. Maar eh, is dat allemaal legaal dan?

Stalkerware is een vrij nieuwe term, die verwijst naar allerlei software en diensten die een ander stelselmatig bespioneert. Dat kan zijn het live meekijken op de telefoon (en dat doorsturen) of op de online backup zoals de iCloud van iemands gegevens. Als een iPhone bijvoorbeeld standaard alle chats backupt, of de Find my IPhone aan heeft staan, dan kun je op die manier dus live meelezen met wat iemand doet én zien waar die op dat moment is.

De term stalkerware alleen al geeft aan dat dit hoogst dubieus is – het is kennelijk not done om ook bij zulke evidente strafbare zaken een voorbehoud te maken of op te merken dat je er legitiem je kinderen mee in de gaten wilt houden. Eh, ja, juist. In de overgrote meerderheid wordt het gebruikt om de partner (of “beoogd partner”, zeg maar het slachtoffer van de waangedachte dat iemand verliefd op je is) in de gaten te houden, te controleren of dwars te zitten.

En dat is natuurlijk gewoon hartstikke strafbaar. Want er is geen legitieme reden voor software die zich stiekem installeert, zijn aanwezigheid niet kenbaar maakt en/of gegevens doorstuurt zonder periodiek te piepen (zoals met een notificatie) dat dat gebeurt. (Mocht er een Nederlandse handelaar meelezen die oprecht meent dat zijn software volstrekt legitiem is en de term stalkerware smadelijk vinden, sosueme.wav). Ik had lang geleden een Nokia die altijd piepte als je een foto maakte, en dat blijft een heel mooi principe.

Dat gezegd hebbende is het natuurlijk heel treurig dat de praktijk toch weer is dat het slachtoffer van alles moet doen om zich te ontdoen van deze digitale ranzigheid.

Arnoud

Hoe gaat de jurist van de toekomst eruit zien? #legaltechtuesday

Geplaatst op in Innovatie, 1 reacties

Mijn blog van volgende week over het uurtarief raakte aan een teer punt, gezien het aantal reacties in de mail dat ik erop kreeg. Een jurist is toch een kenniswerker, die uiteindelijk zijn uren inzet verkoopt. Dus je kunt wel vaste prijzen ergens op hangen, maar dat blijft in feite het afronden van een urenschatting en jezelf dan ruimte (of krapte) geven om het werk daarbinnen te doen. En meer algemeen, het werk dat juristen doen dat is toch eigenlijk altijd gespecialiseerd werk, maatwerk, is een vaste prijs dan wel logisch?

Natuurlijk, het beroep van de jurist is ooit begonnen als een specialisme, en de kennis van de jurist heden ten dage is gespecialiseerd en vrij uniek. Dus het is niet gek dat als je dan leest over veranderingen in het beroep, dat je dan denkt hoe je specialisme gewaarborgd blijft bij zulke veranderingen. Maar ik blijf het zeggen: het gaat niet om dat gespecialiseerde, het gaat juist om het standaardwerk. Hoewel ook juristen en advocaten zich veelal zien als leveranciers van uniek maatwerk (de term ‘kleermaker’ komt heel vaak langs), is een hele berg van het werk juist standaard.

Het lastige is alleen dat wij juristen veel beter dan anderen kunnen aangeven waarom ook dat standaardwerk eigenlijk volledig op maat geleverd moet worden. Onze dienstverlening is immers het zoeken naar risico’s en problemen, de ernst daarvan onderstrepen en een oplossing aandragen die gevolgd móet worden op straffe van hoge boetes en ander juridisch onheil. (Weinig mensen kunnen zeggen dat een fout in hun werk kan leiden tot een strafproces tegen de directie.) En dat wordt vaak gevolgd, mede omdat het specialisme met enige mystiek omhuld is en de gevolgen heel ernstig klinken.

Bovenstaande is overigens niet perse onwáár. Het klopt dat een onjuist advies over zeg een afspraak met de concurrent dat gevolg kan hebben. Of dat een foutje in een NDA kan leiden tot een jarenlange rechtszaak met miljoenenclaims. Maar dat zijn de uitzonderingen, en niet de dagelijkse praktijk. Die gaat over “kan ik dit tekenen want ik wil koffie drinken met die leverancier”. Het advies moet daarmee in proportie zijn. Een standaardzaak vraagt om een standaardantwoord. De bijzondere risico’s horen afgekapseld te zijn of afgevangen te worden als hun waarschijnlijkheid hoog genoeg wordt.

Belangrijker voor mij is de realisatie dat als je als jurist dit niet doet, anderen dit wel gaan doen. Neem het opstellen van algemene voorwaarden. Het beschermen van een ondernemer met duidelijke regels voor zijn handelsverkeer is typisch iets waar je een jurist voor inzet. Welke risico’s loopt die ondernemer en hoe dekken we dat af? Toch is juist het product “algemene voorwaarden” iets dat uit zó veel bronnen te krijgen is, van Kamer van Koophandel tot handige boekhouder tot vele online diensten waar je ze al dan niet met vragenlijst gratis, goedkoop of duur verkrijgt. Er zijn inderdaad nog steeds advocaten die 12.000 euro voor een set AV kunnen vragen maar dat is niet de bulk van het werk.

Je kunt volgens mij als jurist dan twee kanten op. Of je zegt, ik ben echt een specialist en mij moet je hebben als je situatie niet zo standaard is, of juist, ik kan dat standaardwerk prima leveren en de moeilijke gevallen schuif ik door. De natuurlijk neiging is volgens mij om meteen dat eerste te kiezen, maar besef dat dat maar een beperkte doelgroep (en dus hoeveelheid werk) aantrekt.

Daar staat tegenover dat wie het standaardwerk betreedt, meteen dus die KVK, handige boekhouder en online diensten tegenover zich krijgt. Want die kunnen het standaardkunstje ook, en zijn gehaaider in het binnenhalen van standaardklantjes tegen een lagere prijs. En ja komt ie weer met z’n Susskind: de commodificatie in de juridische wereld is al een héél groot eind gevorderd. Voor veel producten zelfs naar gratis.

Toch biedt dat ook kansen, juist voor juristen die meer kunnen dan die boekhouder maar niet meteen de superspecialist willen zijn. Jezelf onderscheidend maken bovenop commodity producten is dé manier om te groeien in zo’n markt. Dus: wat is jouw toegevoegde waarde bovenop zo’n generator? Wat wil de klant dat een boekhouder niet kan?

En nee, het antwoord is natuurlijk niet “perfect maatwerk met alle risico’s volledig uitonderhandeld en weggezet”. Voor mij is dit precies de sweet spot om legal tech in te zetten: die levert het standaardwerk dat de aanloop is voor jouw maatwerk. Om bij mezelf te blijven, dankzij NDA Lynn reviewen mijn klanten hun NDA’s in vijf minuten, en ze betalen mij vervolgens om inhoudelijk antwoord op de gekke vragen te krijgen. Ik ben daardoor de hele dag bezig met gekke dingen in NDA’s en dat vind ik dan weer leuk.

Dat is hoe de jurist van de toekomst zichzelf moet herdefiniëren: waar is mijn toegevoegde waarde bovenop de technologie, bovenop de commodity.

Arnoud

Oh help, nu gaan robots ook al patent aanvragen bij het Europees Octrooibureau

Geplaatst op in Informatiemaatschappij, 8 reacties

Help, de robot-uitvinders komen eraan. Maar gelukkig staat het EPO pal (via) : wie octrooi wil aanvragen op een uitvinding, moet daarbij de mens(en) noemen die de uitvinding hebben gedaan. Het noemen van “a type of connectionist artificial intelligence” getiteld DABUS in het veld voor ‘uitvinder’ voldoet niet aan de formele eisen en maakt de octrooiaanvraag dus ongeldig. Helaas komen we er vooralsnog niet achter hoe het EPO inhoudelijk om zou gaan met zulke octrooiaanvragen.

Het idee dat robots uitvindingen doen, is op zich al een vrij oude. Robots (machine larning systemen) kunnen zoeken naar combinaties van maatregelen die mensen nooit bedacht hadden, en kunnen dat ook nog eens veel sneller en systematischer. Daar zullen dus best dingen uitkomen die wij mensen als inventief oftewel octrooiwaardig zouden kwalificeren.

Het systeem Dabus is ontworpen voor precies dit soort toepassingen. In 2018 kwam het aanzetten met een drankhouder met fractaal profiel waardoor ze bij elkaar gehouden worden zonder dat je ze apart in een verpakking moet wikkelen. Oké, leuk ideetje en ik zie daar wellicht wel de grens van octrooibaarheid in verschijnen. Alleen: dit was dus geen mens die zat te doodelen met een ontwerp maar een machine:

The applicant explained that the invention had been made by a machine and that the machine “identified the novelty of its own idea before a natural person did”. He argued that the machine should be recognised as the inventor and that the applicant, as the owner of the machine, was an assignee of any intellectual property rights created by this machine. This is in line with the purpose of the patent system which is to incentivise disclosure of information, commercialisation and development of inventions. The applicant further argued that acknowledging machines as inventors would facilitate the protection of the moral rights of human inventors and allow for recognising the work of the machine’s creators.

En dat is toch niet echt waar het octrooisysteem voor bedoeld is, aldus het EPO. Daarom wijst men de octrooiaanvraag af, op de principiële grond dat er geen menselijke uitvinder was (en het juridisch trucje dat deze dan op het aanvraagformulier vermeld had moeten worden). De aanvragende mens is er even zo principieel in dat niet hij als maker van de software ook de uitvinder is, en dan houdt het dus formeel op. (Hoewel hoger beroep ingesteld is.) Had hij zelf gedaan of hij de uitvinder was, dan was er niemand achter gekomen denk ik.*

Maar algemeen: verdient een machine een octrooi? Ik zou zeggen van niet. Mensen hebben de stimulans (kennelijk) nodig om geld te verdienen als ze een patentwaardige uitvinding doen. Machines hebben dat niet. Naast die motivatie wordt vaak ook genoemd dat je de investering in R&D wilt kunnen terugverdienen, en je zou kunnen zeggen dat ook zo’n uitvindingsmachine duur is en terugverdiend moet kunnen worden door geld uit het octrooi. Maar het voelt mij net even achterstevoren geredeneerd dat omdat je een dure octrooigenerator hebt gemaakt, je dus recht hebt op octrooi.

Arnoud
*Ik moet dan altijd aan de Great Automatic Grammatizator van Roald Dahl denken, waarin onder meer de truc om de naam van bekende auteurs te ‘kopen’ om zo de automatisch gegenereerde verhalen duur aan de man te kunnen brengen.

Hoe moet je omgaan met bronvermeldingen versus de AVG?

Geplaatst op in Ondernemingsvrijheid, Privacy, 8 reacties

Interessante discussie via Twitter: wanneer moet of mag je nu bronvermeldingen geven met persoonsgegevens daarin, en hoe moet je omgaan met verwijderverzoeken van mensen die zich in de bron herkennen? Dit speelt vaak bij publicaties van genealogische gegevens zoals stambomen. Men wil graag de juiste bron noemen, ook voor andere onderzoekers, maar die bron kan best een persoon zijn of verwijzen naar een persoon. En dan loop je tegen de AVG aan. Wat dan?

Genealogie is een discipline van de geschiedkunde die zich bezighoudt met voorouderonderzoek dan wel de afstamming van de familienaam. Dat betekent vaak spitten in bronnen, en die wil je dan ook graag noemen bij je publicatie van de resultaten. Dat is wetenschappelijk gezien netjes, en het helpt andere onderzoekers om weer verder te komen met hun onderzoek. Maar zoals gezegd kan zo’n bron een persoon zijn: de naam van de persoon die de brondocumenten aanbood bijvoorbeeld, of de auteur van een boek waar je de gegevens in aantrof.

Wie iets overtypt uit een boek (of andere publicatie) zal gelijk denken, daar heb ik vast het citaatrecht voor nodig. En dat eist inderdaad dat je de bron, waaronder de naam van de maker noemt. Echter, dat geldt alleen als je iets overneemt dat anders het auteursrecht zou schenden. Typ je enkel feiten over (zoals een naam en geboortedatum) dan heb je niets met auteursrechten te maken en hoef je dus ook geen bron of maker/auteur te noemen.

Het mág natuurlijk wel, want ik snap goed dat het netjes voelt om een bron te noemen waar je je op baseert. Al is het maar dankbaarheid of een wetenschappelijke ethos. Maar dan kom je weer bij een andere wet terecht, namelijk die vermaledijde AVG die dat dan een verwerking van persoonsgegevens noemt en dan héél streng schijnt te doen over toestemming en recht te worden vergeten. Zit je dan met je ethos.

Gelukkig denk ik dat het specifiek hier wel meevalt. Het noemen van de naam van een bron zie ik als journalistieke verwerking onder de AVG, het is een vorm van feiten en informatie delen met het publiek immers. Daarmee zit je op het eigen belang (artikel 6 lid 1 sub f AVG) waardoor toestemming niet meer aan de orde is.

Natuurlijk moet je dan wel een privacy-afweging maken, maar als het gaat om een naam die de persoon zelf ook al publiek maakte bij een gelijksoortige publicatie dan heb ik héle grote moeite een te respecteren privacybelang te bedenken. Als er bijzondere redenen zijn, dan is dat wel iets om rekening mee te houden (artikel 21 AVG) maar dat is meer dan “ik vind het niet prettig”. En de persoon in kwestie moet zich dan eerst melden met die onderbouwde persoonlijke redenen.

Het verwijderrrecht geldt niet bij journalistieke verwerkingen (artikel 17 lid 3 AVG) en meer algemeen niet als jij gewoon een belang hebt bij publicatie. Wissen van gegevens moet pas als je ze eigenlijk toch al weg had moeten gooien.

Arnoud

Grote YouTube-kanalen moeten vanaf september Kijkwijzer hanteren

Geplaatst op in Ondernemingsvrijheid, 12 reacties

Nederlandse YouTube-kanalen met veel abonnees moeten vanaf september de Kijkwijzer hanteren, en leeftijdsaanduidingen en adviespictogrammen tonen. Dat meldde Tweakers onlangs. Wie niet meewerkt aan de Kijkwijzer, loopt het risico op boetes. Dit is het gevolg van Europese Richtlijn 2018/1808 die de Mediawet wijzigt, waardoor diensten als Youtube aangemerkt worden als ‘mediadienst op aanvraag’ en daarmee onder de Mediawet vallen. Waarmee dus meteen de vraag ontstaat wie zich dan aan die wet moet houden, is dat iedere vlogger, of alleen de grote jongens/meisjes met hun dikverdienende kanalen?

Het grote probleem bij diensten als Youtube is dat het in feite een tweetrapsraket is, in tegenstelling tot ‘gewone’ televisie. Daar is er een zenderbeheerder die programma’s kiest, en daarmee is er één partij die je kunt aanspreken op compliance-items als de Kijkwijzer of het niet uitzenden van voor minderjarigen ongeschikte dingen voor acht uur ’s avonds.

Bij Youtube werkt dat niet echt, omdat iedereen daar zelf kiest wat hij of zij uploadt. (Oh wacht even, zegt nu menig IT-er, dus als de televisie de zendercoördinator ontslaat en iedereen zijn eigen filmpjes laat uitzenden dan vallen ze ook buiten de Mediawet? Eh ja soort van, in ieder geval als je als toezichthouder dat tien jaar laat gaan onder het motto “het is maar internet” en dan merkt dat die bak met bagger-video’s zo groot is dat het niet meer te handhaven is. Sorry, mijn cynisme schoot even naar boven.)

Men lijkt er nu – na ook stevig onderhandelen met Google – uit te zijn dat wat Youtube doet, in principe wél onder de Mediawet gaat vallen. Althans, voor wie eigenlijk gewoon een eenmanstelevisiezender is. De grote commercieel ingestelde videomakers dus, niet de ‘hobbyisten’ zoals dat dan gelijk wat neerbuigend heet. Het Commissariaat heeft vooralsnog geen specifiekere richtsnoeren uitgevaardigd, dus ik zou voor nu aannemen dat als ik de inkomsten bij Youtube moet opgeven als inkomsten uit werk / overige arbeid bij de belastingdienst, of als ik bij de KVK ingeschreven sta, dat ik dan hier tegenaan loop.

Oh ja, en naast de Kijkwijzer is het dan ook wettelijk verplicht om te melden dat je kanaal reclame of productplaatsing bevat. Dat is nu eigenlijk alleen een aanbeveling uit de Reclamecode, die geen wet is.

Het wetsvoorstel ligt nu nog bij de Tweede Kamer, maar omdat we bij Richtlijnen als deze weinig te zeggen hebben, is er geen reden om te denken dat er dingen heel erg anders gaan worden tot aan de deadline.

Arnoud

Tesla schakelt features achteraf uit bij tweedehands auto, wat krijgen we nou?

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 10 reacties

Autofabrikant Tesla heeft bij de wederverkoop van een tweedehands Tesla enkele features uitgeschakeld, las ik bij The Verge. De wederverkoper had deze features per abuis meegekregen bij de aanschaf bij Tesla zelf(!), dus pardon wij komen even uw auto downgraden, sorry foutje bedankt. De wederverkoper zou niet hebben betaald voor die features “Enhanced Autopilot” en “Full Self Driving Mode”), maar ze stonden bij de aanbieding van Tesla zelf genoemd als inbegrepen. Wat natuurlijk diepgravende discussie oproept over de toekomst van de diensteconomie en het einde van eigendom. Toch?

The Verge maakt zelf al de vergelijking met de ouderwetse auto: als je daar een tweedehandsje koopt en er zitten mooie velgen op, dan is het vrij evident dat je die erbij krijgt. De fabrikant kan niet ineens eisen dat die teruggegeven moeten worden bij wederverkoop (bij huur wellicht wel, maar daar hebben we het hier niet over).

Dus waarom kan dat bij deze features wel? Nou ja, omdat ze software zijn en omdat Tesla dus kennelijk achteraf dingen kan wissen of uitschakelen in je auto. (Deze zin voelde wat beangstigend om te typen.) De reden daarvoor is dan kennelijk dat men na verkoop aan die wederverkoper ontdekte dat die features niet aan hadden mogen staan, dus dat werd bij nader inzien even gecorrigeerd.

Had dat bij een ‘gewone’ tweedehands gekund? Zeg maar, hij staat met dure velgen en een kinderzitje bij de fabrikant, een wederverkoper neemt ‘m mee en nadat hij deze weer verkocht heeft, belt de fabrikant dat dat zitje er helemaal niet in had moeten zitten. Dus of het even terug kan. Ik zou normaal zeggen dat de fabrikant dan pech heeft, in die omstandigheden mocht die wederverkoper vermoeden dat hij de auto met die velgen en met dat zitje kocht. Ook als dat niet expliciet in de advertentie of lijst met productkenmerken stond. En ook als ergens in de voorwaarden een voorbehoud van, eh, installatiefouten of ontbrekende informatie op de productkenmerken was opgenomen.

Het punt is natuurlijk dat dat nooit gebeurt. Het is nogal onlogisch dat iemand per abuis een kinderzitje plaatst of dure velgen onder een auto zet zonder dat dat de bedoeling is, maar zelfs als dat gebeurt dan is de schade zo klein dat het rechttrekken de moeite niet waard is. Dat schrijf je dan af en je wordt plichtmatig boos op je monteur, maar dat is het dan. Bij een ICT-dienst is corrigeren wél triviaal, je stuurt gewoon een update met een delete commando en de feature is weg.

Mag dat? Want ja, het einde van eigendom en alles wordt dienstverlening en dat is juridisch ongeregeld zeg ik altijd. Dat klopt, maar hier gaat het toch echt om een stukje verkoop, een stukje eigendomsoverdracht. Die wederverkoper kocht die auto, en mocht daarbij vertrouwen op de mededeling van de verkoper dat dit het ding was zoals hij het ging kopen. Dat daarbij een fout werd gemaakt, komt in principe voor rekening van de verkoper – tenzij de wederverkoper had moeten weten dat er iets niet klopte. En dat lijkt hier niet op te gaan.

Zorgelijk dus. Het krijgt nu herrie in de media, dus het zal wel teruggedraaid worden binnenkort. Maar daarna mag een jurist van Tesla hier wat van vinden, en komt er een disclaimer in de zakelijke contracten en een beperking in de EULA (zit er een EULA in je Tesla, eigenlijk?) die bepaalt dat dit mag. En dan kan het zomaar staande praktijk worden. Ik weet geen juridisch tegenargument in een zakelijke transactie tegen zoiets.

Arnoud

Legal tech gaat niets worden als je niet ook het declarabele uurtje afschaft

Geplaatst op in Innovatie, 6 reacties

Al jaren gaat het rond in de juridische sector: het wordt tijd om eens af te stappen van de billable hours oftewel het uurtje/factuurtje model. Klanten worden er nooit gelukkig van, het is een hoop gedoe voor medewerkers en het zou zo eenvoudig moeten zijn om gewoon een prijs te noemen. Maar toch blijft het maar gebruikt worden, een enkel experiment of uitzonderlijke case daargelaten. Daar zit inderdaad een probleem: wat moet het alternatief zijn? Maar op die vraag moet wel een antwoord komen, anders is het invoeren van nieuwe systemen (legal tech dus) gedoemd te mislukken.

De kern achter het uurtje/factuurtje model is dat je als dienstverlener eigenlijk je tijd verkoopt. Je wilt mij een uur spreken, je wilt Ronald een dag in de rechtszaal of Willem een week in de data room op zoek naar verborgen gebreken in contracten bij je overnametarget. Die tijd is kostbaar en kost dus tijd. Dat klinkt heel aantrekkelijk, zeker als je bedenkt dat je ook nog kunt differentiëren: de junior medewerkers zijn per uur goedkoop, de senior partners duur en daartussen is er flexibiliteit. En wil je echt exclusief zijn, dan verhoog je je uurtarief gewoon.

Een nadeel van dit model is dat het in feite volkomen arbitrair is. Waarom moet mijn tijd 150, 300 of 700 euro per uur waard zijn? En in dat nadeel zit ook de pijn bij invoering van software en diensten die je effectiever laat werken, want dan scheelt het tijd voordat de klus klaar is. En dan ben je dus goedkoper omdat je sneller klaar bent? Dat voelt raar. Als mensen een jurist willen hebben voor een klus, waarom betalen ze dan 3000 euro bij A die het handmatig doet en 750 bij B omdat die een handige tool heeft en alleen nog even een review hoeft te doen?

Het antwoord is natuurlijk: A en B zijn onvergelijkbaar. En dat is bij dienstverlening eigenlijk ook zo. Maar als je naar de juridische dienstverlening kijkt vanaf enige afstand, dan zie je toch echt standaardproducten opduiken. Dan moet ik gelijk aan Susskind denken: die verdedigt al meer dan een decennium het standpunt dat ook onze sector gaat standaardiseren en daarna commodificeren, en de opkomst van standaardproducten (in plaats van maatwerkdiensten) is daarbij de belangrijkste factor.

Het verschil tussen een product en een dienst is wezenlijk, en niet alleen maar een kwestie van een ander labeltje plakken op de pagina waar je ‘m adverteert. Een dienst is in principe maatwerk, en een product is standaard met wellicht wat aanpassingen hier en daar. Daarom kan op een product een vaste prijs worden geplakt en op een dienst eigenlijk niet.

Alleen, wat moet die vaste prijs dan zijn? Dat kun je pas zeggen als je weet wat het werk is, wat de investering is moet ik eigenlijk zeggen. In de klassieke wereld kijk je naar inkoop en andere kosten, met een opslag voor je bedrijfsvoering en de winst die je wilt maken. Bij sectoren die klassiek alleen diensten leverden tegen uurtarief is dat veel lastiger, daar is de historische kennis van wat het kóst veel moeilijker te reconstrueren. Maar dat is wel waar we naartoe moeten.

Legal tech kan daar een oplossing in bieden. Deze reduceren een hoop werk tot klikken op wat knopjes en elimineren zo de factor tijd. Dan blijft over de kosten van de kenniswerker om die op te leiden zodat hij weet wélke knopjes er nodig zijn, of wanneer je afwijkt van de standaarduitvoer. Maar daar is veel makkelijker mee te rekenen. Ik ben er dan ook van overtuigd dat je bij het standaardiseren van je proces je al snel een vaste prijs kunt plakken op je producten.

Arnoud

Die journalisten van Trouw hadden dikke mazzel dat ze een scoop vonden bij hun computervredebreuk

Geplaatst op in Ondernemingsvrijheid, Security, 24 reacties

Enkele KPN-medewerkers hebben zich intern kritisch uitgelaten over de door KPN ontwikkelde app WeGoEU. Dat las ik bij Tweakers. De kritiek luidt dat de app data van Chinese toeristen verzamelt en naar Chinese servers, en daarmee naar de Chinese overheid zou sturen. Oké, leuk nieuwtje maar het échte nieuws voor mij is dat Trouw dit achterhaalde door te snuffelen op het KPN intranet, waar men toegang toe had via een laptop die een monteur was vergeten bij een klant – en die ook geen wachtwoord had. Eh, wacht, wat. En vooral, mag dat dan, journalistiek snuffelen?

De laptop gaf met enkele muiskliks toegang tot gevoelige ­documenten van het Nederlandse ­telecombedrijf, aldus Trouw. Vooral vanaf het begin val je ICT-securitytechnisch van je stoel: er zat geen wachtwoord op de laptop. Vervolgens kon men zo bij het intranet TeamKPN, waar geen extra login of tweefactorauthenticatie nodig is. En dan lees je bijvoorbeeld dat een KPN manager over de samenwerking met Tencent zegt dat KPN in zijn ogen ‘een hofleverancier van persoons­data voor de Chinese overheid is’. Oeh, schandaal, manager roddelt over eigen bedrijf met collega’s, nog nooit gehoord.

Nou ja, het zal wel nieuws zijn op een of andere manier. En het is inderdaad zo dat je als journalist net even iets meer mag dan gewone mensen wanneer dat nodig is voor het nieuws. Een misstand of schandaal aan het licht brengen is nu eenmaal de taak van de journalist, en soms kun je dat niet anders doen dan door ahem het schemergebied tussen legaal en illegaal te betreden en zo zorgvuldig mogelijk daarbij te werken.

Voor mij staat wel voorop dat áls je tegen het illegale aan gaat schuren, dat je dat pas doet als je weet dat je een mooie scoop gaat ontdekken. En helemaal als je gewoon keihard computervredebreuk gaat plegen. Want ja, dat doe je als je een laptop opentrekt waarvan je weet dat ‘ie niet jouw eigendom is. En oké, die laptop is achtergelaten dus een bijdehante jurist zegt dan res derelicta dus 5:18 BW geen eigenaar dus mag je erin kijken. Oké, wat jij wilt.

Maar dan mag je nog steeds niet het KPN intranet op, want daarvan weet iedereen dat dat een vertrouwelijk netwerk is. En zonder vooraf ook maar iets van een misstand te vermoeden en dat op te willen lossen dan gaan snuffelen, nee dat lijkt mij gewoon strafbaar. Dan blijft alleen nog over “maar ik héb me toch een schandaal gevonden”, het excuus achteraf. Dat vind ik een hele spannende, het zou dus betekenen dat als je zomaar gaat snuffelen je strafbaar bent afhankelijk van wat je uiteindelijk vindt.

Arnoud

Rechter: Nintendo hoeft klanten geen kans te geven om pre-orders te annuleren

Geplaatst op in Ondernemingsvrijheid, 16 reacties

Nintendo is niet verplicht om een mogelijkheid te maken om pre-orders te annuleren, aldus Tweakers onlangs. De Duitse rechter bepaalde aldus in een proefproces van Duitse en Noorse consumentenorganisaties. Kern van de zaak is of je het “Ik doe afstand van mijn ontbindingsrecht”-vinkje ook mag inzetten bij een pre-order die pas veel later geleverd wordt. Het doet wat vreemd aan, maar ik denk dat het wel klopt.

De aanschaf van een online game is juridisch gezien een stukje dienstverlening. Bij dergelijke overeenkomsten heb je in principe altijd het recht deze binnen 14 dagen te annuleren. Alleen, en dat is uniek in consumentenrechtland, het is mogelijk om afstand van dat recht te doen. Bij de aanschaf van fysieke goederen kan dat bijvoorbeeld niet.

Die afstand moet uitdrukkelijk gebeuren (dus niet in de algemene voorwaarden) en mag ook nog eens alleen gevraagd worden als de levering binnen die 14 dagen zal gebeuren. Dit om te voorkomen dat iemand de dienst afneemt en hem daarna annuleert. Want bij een bestelling van een fysiek goed stuur je die dan gewoon terug, maar een dienst kun je niet op die manier ongedaan maken.

Bij een pre-order bestel je iets (een game, in dit geval) maar de levering zal nog wel even op zich laten wachten. Je zou dan als jurist met boerenverstand zeggen dat die mogelijkheid van afstand niet opgaat: de levering van de pre-order vindt niet plaats in de 14 dagen.

Toch wel, zegt nu de Duitse rechter. Bij een pre-order neem je namelijk twéé diensten af. Ten eerste, de aflevering van een niet-speelbare executable. En ten tweede de activatie van je game op de datum van verschijning. En die eerste dienst krijg je binnen de 14 dagen geleverd, zodat je dan rechtsgeldig gevraagd (geëist, want je moet het vinkje zetten) kunt worden om afstand van je annuleringsrecht te doen. En de betaling is dan niet meer annuleerbaar, ook niet als je dan heel slim zegt, ik wil van die tweede overeenkomst af.

Nee, deze begrijp ik ook niet helemaal. Ik lees dat er al hoger beroep is ingesteld, maar in de tussentijd kan Nintendo dus gewoon doorgaan met deze praktijk.

Wat ik niet begrijp: hoezo is een pre-order hier nuttig? Als ze de game al kunnen leveren, waarom kan ik ‘m dan niet gewoon nu al kopen? En oh ja, er lijkt niets te veranderen qua prijs als je pas na de pre-order bestelt, dus waarom zou je überhaupt pre-orderen?

Arnoud

Je zou denken dat die rechtszaak over SyRI niet nodig was geweest, zo logisch was die uitspraak (maar wel heel lang)

Geplaatst op in Regulering, 33 reacties

Het computersysteem dat de overheid gebruikt om fraude te ontdekken, schendt de privacy. Dat meldde NRC in de langverwachte SyRI uitspraak van de rechtbank Den Haag. Die wijst de inzet van SyRI door het UWV af omdat er geen onderbouwde noodzaak is. Logische uitspraak, zou je zeggen. Maar het is wel een héle dikke lap vonnis die men neerlegt: ik heb nog nooit 118 overwegingen gezien om een eis toe te wijzen.

SyRI is bedoeld voor gemeenten om fraude met sociale voorzieningen op te sporen. Dat gebeurt door gegevens van burgers uit allerlei overheidsdatabases te koppelen. Via een algoritme komen vervolgens risicoprofielen en personen met een verhoogd risico op fraude naar voren. Grof gezegd: als in het weekend je waterverbruik hoger is dan normaal en je staat als alleenstaand bekend, dan ben je een mogelijke fraudeur, pardon een risico want kennelijk woont je partner in het weekend bij jou. Dus dan krijg je een onderzoek en moet je aantonen dat je in het weekend gewoon graag in bad gaat. (Let op dat jij de bewijslast hebt want jij moet alle relevante feiten melden, dus ook bewijzen dat je alles hebt gemeld. Ja dit is raar.)

Om als overheid de privacy van de burger te mogen inperken (“legaal schenden”), zet de wet (artikel 8 EVRM) een aantal grenzen. De eerste lijkt de makkelijkste: er moet een wet zijn die bepaalt wanneer dit mag, waarom en tot hoe ver dan. Die wet maken kostte onze overheid nog even tijd, maar hij kwam er dan toch in 2014 als een wijziging in de Wet SUWI. Deze bepaalt dat “risicomeldingen” kunnen worden gedaan binnen een samenwerkingsverband, op basis van data die een aantal samenwerkende instanties tot hun beschikking hebben.

Maar met een wet ben je er niet. Die wet moet ook een legitiem doel dienen. Daar is de rechtbank vrij snel klaar mee: fraudebestrijding is legitiem want dat kost ons allen veel geld. Zo’n 150 miljoen euro, en daar achteraan willen is legitiem. (Als de rechtbank had gezegd dat dat slechts 0,2 procent van het totaal aan uitkeringen is, dan had dat zo raar geklonken. En ik laat u tussen deze haakjes achter met de constatering “Het gemiddelde fraudebedrag per uitkering is 17 euro.”)

Oké, kennelijk legitiem dus. Maar dan komt de laatste en grootste horde: noodzakelijkheid, proportionaliteit en subsidiariteit in het licht van de doelen die de wet dient. Dit is een hele mond vol, zeg maar het juridisch equivalent van een virtual inheritance base class constructor. En juristen worden daar altijd net zo zenuwachtig van als programmeurs. Maar concreet, er moet sprake zijn van een ‘fair balance’ tussen de doelen van de SyRI-wetgeving en de inbreuk op het privéleven die de wetgeving oplevert.

De grote pijn bij SyRI zit hem hier. Met name wreekt zich dat je niet kunt zien wanneer je een verhoogd risico bent, of waarom dan precies. De wet vermeldt dat niet maar laat dat aan de implementatie over (“specificatie: het doet wat het doet”). Verder dan “je krijgt punten voor iedere risicofactor en er zijn modellen die factoren herleiden tot een signalering” lijkt men niet te zijn gekomen qua uitleg. En dat is bepaald vervelend, zeker als je bedenkt dat je met een systeem als dit juist mensen treft die toch al in een zwakke positie zitten én met wetgeving te maken hebben waarvan het niet frauderen bepaald geen sinecure is. (Had ik al gezegd dat vergeten door te geven dat je moeder 3 weken komt logeren een vorm van fraude is?) Daarmee ontbreken dus de benodigde waarborgen om fouten te voorkomen of de gevolgen daarvan in te kunnen perken.

Het belangrijkste verweer lijkt te zijn geweest dat SyRI ‘slechts’ een indicatie geeft en nog lang geen vonnis. Dat mag zo zijn, maar in de praktijk krijg je natuurlijk gewoon een onderzoek op je dak, en mede vanwege die omgekeerde bewijslast én de weinig juridisch onderlegde mensen die je dan treft, pakt dat dus erg vervelend uit. Oh ja, en meer dan de helft van de signaleringen was vals positief, als ik het zo snel even lees. Dan was dus een muntje opgooien “audit of niet” een stuk effectiever én legaler geweest.

Ik ga nu even iets doen waar ik vrolijk van word want ik merk dat bloggen over dít stuk faal-ict bepaald onprettig voelt. Ik heb niet snel dat ik echt bóós van het onrecht word.

Arnoud