Heb je nou voor pentesten óók al een verwerkersovereenkomst nodig?

Geplaatst op in Ondernemingsvrijheid, Privacy, 2 reacties

Wie penetration testing oftewel securityonderzoek naar binnendringmogelijkheden uitvoert, moet een verwerkersovereenkomst sluiten met zijn opdrachtgever. Dat maak ik op uit een recente Linkedinblog die me attendeerde op een uitspraak van de Saksische Autoriteit Persoonsgegevens van die strekking. Wat natuurlijk enige onrust gaf bij professionele pentesters, want je hébt al zo’n papierwinkel voordatje aan de slag kan en moet er dan ook nog een verwerkersovereenkomst bij voor het geval je persoonsgegevens tegenkomt? Nou ja, formeel wel maar er zijn trucjes.

Bij een pentest ga je bij een klant aan de slag om zwakheden in zijn systeem te vinden. Je probeert binnen te dringen, zeg maar wat je anders computervredebreuk zou noemen. Vandaar die papierwinkel: je wilt dat je klant een pentest waiver of toestemmingsverklaring tekent waarin duidelijk vaststaat dat je niets tegen zijn wil doet, en dus niets dat wederrechtelijk en daarmee strafbaar kan worden.

Dat is voor klanten dan weer spannend, want wat als je nu iets stukmaakt tijdens dat onderzoek of verder kwam dan ingeschat en daar raak je iets dat echt niet de bedoeling was? Dat geeft dus de nodige onderhandeling vaak.

Sinds de AVG is daar een extra risico bij gekomen. Het is natuurlijk mogelijk dat je bij je security-onderzoek persoonsgegevens tegenkomt, denk aan een database met klantgegevens waar je bij kunt. Als je die database dan vervolgens downloadt (“het zal toch niet waar zijn”) dan ben je persoonsgegevens aan het verwerken, in het AVG-jargon.

En dat is dan even lastig, want hoezo mág jij dat van de AVG? Als zelfstandig ingehuurd onderzoeker heb je daar geen grondslag voor, je hebt geen toestemming van de betrokken klanten en je hebt ook geen contract met ze. Vandaar het advies: werk als verwerker, als hulpje van je opdrachtgever. Dan is wat je doet met die gegevens zijn probleem (althans; waarom dat mág dat onderzoek). Alleen zit je dan met de tegenpool dat je niet meer mag doen met die gegevens dan hij je toestaat.

Nu zou dat in de praktijk wel mee moeten vallen, want wat je gaat doen is normaliter niet meer dan een kopie maken, vastleggen wat je gevonden hebt en dan vernietigen (of teruggeven). En dat is precies wat een verwerker ook zou doen.

Het wordt alleen op formele gronden ingewikkeld: oh jee we hebben een verwerker jongens, dus hier is de standaard verwerkersovereenkomst die de boekhouder ook moet tekenen. En daarin staan dan vele dingen zoals een passend securitybeleid (met auditclausule, dus de klant komt bij jou, securityonderzoeker, kijken of je wel veilig bent – de meest hilarische case die ik had was dat de verwerker verklaarde periodiek pentests op zichzelf uit te voeren), medewerking aan inzage- en verwijderverzoeken en ga zo maar door dat echt zwaar over de top is voor zo’n onderzoek. Zeker omdat het ook nog eens aan onbeperkte aansprakelijkheid gekoppeld is.

Wat mij betreft mag je dát dus afwijzen. Je kunt in je pentest waiver of AV volstaan met een verklaring dat je verwerker bent, dat je de AVG zult naleven en dat je alle kopieën van data na logging van de gebeurtenis zult wissen, behalve eventuele kopieën die nodig zijn voor de gewenste rapportage.

Arnoud

Moet ik bezoekers ons securitybeleid onthullen van de AVG?

Geplaatst op in Privacy, Security, 6 reacties

Een lezer vroeg me:

Een bezoeker van ons bedrijf heeft via het gastennetwerk internet gebruikt. Nu krijg ik van hem een verzoek onder de AVG om precies te vertellen wat wij van hem hebben gelogd. We melden inderdaad bij het aanmelden “This network is monitored for security purposes” maar in welk detail moet ik hem dat vertellen? Ik wil geen security-gevoelige details onthullen.

Het monitoren (inclusief loggen) van internetgebruik van gasten is inderdaad iets waar de AVG wat van zegt. Het mag, want we noemen dit een eigen legitiem belang. En zolang je monitoring maar proportioneel is, oftewel dat je niet nodeloos diep zit te spitten in wat mensen op internet uitspoken via jouw verbinding, is er weinig aan de hand.

(Natuurlijk gebruik je die logs alleen voor security doeleinden en niet bijvoorbeeld om te kijken wat hij bij de concurrent aan offertes heeft uitstaan.)

De AVG kent wel diverse informatieplichten, met als doel dat mensen weten wat je over ze verzamelt en met welk doel je die gebruikt. Daar moet dus iets meer informatie komen dan enkel “we monitor for security purposes”. Wat monitor je, en voor welke precieze doeleinden dan? Enkel IP-adressen, ook tijd van gebruik, applicaties en poorten, ga zo maar door? Wat is ‘security’, bedoel je dat je verkeer analyseert op verdacht gedrag, dat je IP-adressen van bezochte sites registreert of dat je een AI loslaat om een profiel van je bezoeker te maken?

Dit moet in je privacy policy staan die je publiceert bij het aanmeldscherm. En dat moet je in eenvoudige taal doen, dus concreet en met bewoordingen die je bezoekers begrijpen. Dat betekent dus dat je inderdaad ongeveer moet uitleggen wat je ingezet hebt aan monitoring tools en wanneer je ingrijpt of naar wie een alert gaat en wat die dan gaat doen.

Het mag natuurlijk in zoverre een tikje in het midden blijven dat je niet de precieze criteria benoemt: “verdacht gedrag zoals verspreiding van bekende virussen” zou genoeg zijn, wat mij betreft. Maar je kunt je niet verschuilen achter enkel de vage frase dat securitydoeleinden in het geding zijn.

Arnoud

Natuurlijk is dat Clearview hartstikke illegaal in Europa

Geplaatst op in Privacy, Regulering, 10 reacties

Het Amerikaanse bedrijf Clearview AI heeft via het verzamelen van openbare online informatie een database van zeker drie miljard foto’s aangelegd. Dat meldde BNR onlangs. Daarmee helpt het bedrijf volgens The New York Times autoriteiten om verdachte personen te identificeren. Wat vele lezers de vraag deed stellen, mag dat zomaar in Europa ook, dat je gewoon overal foto’s vandaan plukt en daar een AI-gedreven dienst omheen bouwt om mensen diep in hun privacy te pakken? Oké, nieuwe regel: als iemand zegt “de informatie komt uit openbare bronnen” dan heeft ‘ie dus geen onderbouwing waarom hij die informatie mag gebruiken.

Clearview is een wat gek bedrijf (omdat ze groot zijn, zeg je dan “mysterieus”) dat al enige tijd bestaat, maar naast onder meer een gekke app om portretfoto’s te voorzien van Donald Trumps haar hadden ze nooit een product. Nu hebben ze dus miljarden portretfoto’s geanalyseerd zodat ze met een enorme Excelsheet, pardon Artificial Intelligence, foto’s van mensen kunnen matchen aan namen en social media profielen. En dat is handig voor opsporingsdiensten, want als je een verdachte hebt dan upload je die foto en krijg je een naam, zodat je daar eens verder naar kunt snuffelen.

De NYT meldt dat Clearview ondertussen meer dan 600 overheidsdiensten aangesloten heeft die regelmatig in haar database kijken. Die is opgebouwd door het scrapen van zo ongeveer alle social media sites, van Facebook tot Instagram en Venmo. En omdat die allemaal een Real Name Policy hebben, heb je een handige herkenningstool. Overheden leken de aantrekkelijkste doelgroep voor de dienst, dus daar is men heen gepivot en daarom lezen we nu dat er al tientallen zaken zijn opgelost van het soort waarvan je denkt “als ze nou toch de foto eens door Facebook heen konden halen dan hadden ze ‘m zo, de naarling”.

Mag dat, dat je zo’n dienst aanbiedt of dat je als politie erin grasduint? Nou, in Amerika is het een tikje schimmig want je handelt in strijd met de gebruiksvoorwaarden als je gaat scrapen maar de gescrapete diensten hebben kennelijk geen zin om dat te handhaven. En dan kun je inderdaad gaan roepen dat je iets uit “openbare bron” betrekt.

Maar in Europa (onder de AVG inderdaad) werkt dat iets anders: van bronnen blijf je af tenzij je kunt bewijzen dat je erin mag en dat je mag doen wat je van plan bent. En dat gaat natuurlijk hartstikke mis: die gegevens staan daar niet zodat Clearview er een matching tool mee kan maken maar omdat mensen zichzelf op social media willen presenteren. Dat is dus een doelbindingsprobleem, in het jargon. Ook gaat het mis met de informatieplicht: Clearview vertelt niemand dat hun foto in hun bestand verwerkt wordt en dat er matches zijn gedaan door politiediensten of andere snuffelaars. Dat is onderdeel van de transparantie die de AVG eist.

Of de politie hiervan gebruik mag maken, is een iets lastiger vraag. Het idee namelijk dat de politie niet aan bronnen mag zitten als daar ook maar enig luchtje zit, is iets uit Amerikaanse televisieseries. Een keer een foto uploaden naar Clearview zou dus volgens mij best legaal zijn als onderdeel van het softe onderzoek. Maar een structureel gebruik – een betaald abonnement en elke middag even de camerabeelden van gisteravond er doorheen jassen – is denk ik wel een probleem, want dan wordt Clearview als het ware deel van de opsporingsdienst, een uitbestede partij. En dan moet dat onder de Wet politiegegevens wel kunnen, en daar gaat het mis. Al is het maar omdat Clearview de gegevens voor zichzelf houdt, en dus geen verwerker is. En het is niet de bedoeling dat private partijen die de politie helpen, de informatie vervolgens zelf ook gaan gebruiken.

Ondertussen heeft minister Grapperhaus wil dat gezichtsherkenning alleen in specifieke gevallen wordt ingezet en alleen met de juiste waarborgen. Grofmazig gebruik is niet wenselijk en in strijd met onze waarde.

Arnoud

Tesla-eigenaren kochten per ongeluk peperdure updates

Geplaatst op in Innovatie, Ondernemingsvrijheid, 10 reacties

Sinds kort is het mogelijk om in de app van je Tesla een software-update te kopen, waaronder de zelfrijdende AutoPilot-functies. Sommige mensen deden dat per ongeluk en werden verrast met een rekening van bijna 10.000 dollar. Dat meldde Bright onlangs. Men noemt het voorbeeld van een acceleratieboost die je voor 2000 euro een halve seconde sneller naar de 100 km/u krijgt (niet echt een Turbo Boost dus), en zo is er nog veel meer dat je softwarematig voor elkaar kunt krijgen. Het wordt allemaal via de creditcard afgerekend, zonder dat je daar apart goedkeuring voor hoeft te geven. Wacht, kan dat zo maar?

In all fairness heeft Tesla ondertussen al aangekondigd dat het opgelost gaat worden. De per ongeluk aangeschafte updates kun je laten terugdraaien en je krijgt dan je geld terug. Hoe het precies kon gebeuren, lijkt niet duidelijk. Je bestelt via de app en kennelijk kan dat per abuis gebeuren als je scherm niet vergrendeld is. Hoewel anderen weer zeggen dat je echt diverse schermen moet doorlopen, waaronder een “weet u het zeker” scherm. (Wie het voor mij wil uitzoeken graag, maar ik ben niet aansprakelijk voor per abuis gekochte upgrades.)

Je hebt echter, in ieder geval in Europa, consumentenbescherming bij online aankopen. En volgens mij valt zo’n in-app aankoop daar gewoon onder. Je koopt via een systeem dat bedoeld is om een online aanschaf te doen zonder dat verkoper en koper bij elkaar zijn.

Het gaat hierbij om een “levering van digitale inhoud” zoals de wet dat noemt, die als download en dus niet op een drager is geleverd. Dan heb je in principe recht op annuleren van de aankoop binnen 14 dagen na sluiten van de koop. Maar dat recht kan je worden ontnomen, zoals de wet het formuleert:

g. de levering van digitale inhoud die niet op een materiële drager is geleverd, voor zover de nakoming is begonnen met uitdrukkelijke voorafgaande toestemming van de consument en de consument heeft verklaard dat hij daarmee afstand doet van zijn recht van ontbinding.

De ‘nakoming’ is in dit soort gevallen het moment van downloaden en installeren. Je moet dus alvorens de download (of in ieder geval de installatie) begint, hebben gezegd dat je dat wil én expliciet dat je wil afzien van je recht van ontbinding. Ik kan nergens vinden dat de Tesla-installatieschermen deze tekst hebben, dus dan kun je zo’n aanschaf gewoon binnen 14 dagen ongedaan laten maken.

Arnoud

De waarde van data-analyse in het recht #legaltechtuesday

Geplaatst op in Innovatie, 5 reacties

De Erasmus Universiteit heeft, in samenwerking met de Rotterdamse Legal Tech startup LexIQ, studenten van de Technische Universiteit en wetenschappers van Erasmus School of Law een algoritme ontwikkeld waarin inzichtelijk wordt gemaakt hoe rechters in ontslagzaken handelen en oordelen, zo meldde hun persbericht enige tijd terug. Een voorbeeld: waar Amsterdamse rechters niet veel meer dan de helft van de werkgevers – 58 procent – gelijk geven, heeft de baas in Den Bosch een kans van 83 procent een ontslag toegewezen te krijgen. Een knap systeem, maar wat betekent dit nu voor de praktijk?

Vanuit de juridische theorie is het raar dat er zo’n verschil zit tussen uitspraken. Het arbeidsrecht is immers nationaal recht, dus waarom zou dezelfde casus in Den Bosch anders uitvallen dan in Amsterdam? Nou ja, als het niet exact dezelfde casus is natuurlijk. Trouw noemt als voorbeeld dat men in Amsterdam misschien minder geneigd is te schikken dan in Brabant, zodat in de laatste rechtbank alleen complexere zaken langskomen. Maar desondanks zijn deze verschillen wel érg groot. Daar zou wellicht een stukje persoonlijke voorkeur van de rechter achter kunnen zitten. Of wat anders.

Dit is de sterkte en de zwakte van data-analyse. Je ziet correlaties en verbanden, maar naar de achterliggende redenen blijft het gissen. Een bekend voorbeeld is dat mannen die aan het eind van de week rond 17 uur luiers kopen, meteen ook bier kopen. Doen ze dat om zich meer man te voelen – kijk mij bier drinken, ondanks dat ik net man ben – of hebben ze dan toevallig de auto om twee volumineuze aankopen mee te kunnen nemen? In de marketing maakt dat niet uit: daar zetten ze gewoon op donderdag bier en luiers naast elkaar en zien ze de omzet stijgen.

In de rechtspraak is het wel belangrijk dat je weet waarom zaken uitvallen zoals ze doen. Anders versterk je alleen maar een toevallige samenloop. Dan is het leuk te weten dat men in Den Bosch gemiddeld 12.000 euro ontslagvergoeding meegeeft, maar hoe vertaal je dat naar jouw zaak?

Dit algoritme is een mooi voorbeeld van hoe data-analyse steeds vaker wordt ingezet. Overeenkomsten en categorieën vinden in een grote dataset is steeds vaker mogelijk, maar de onderliggende redenen daarvoor vinden is een stuk lastiger. Allereerst zijn veel van deze machine learning systemen niet in staat tot uitleg te komen. Die knop zit simpelweg niet in het systeem.

En ten tweede, waar dat wel kan, kom je vaak op heel andersoortige uitleg dan we als mens verwachten. Voor een mens zou bijvoorbeeld een logische uitleg zijn “in Den Bosch hechten ze veel waarde aan voorafgaand overleg” of voor mijn part “Bossche rechter Jansen was jarenlang vakbondsvoorman”. Wij kunnen begrijpen dat dergelijke factoren meewegen.

Een computer die uitleg moet geven, kan zomaar komen met de constatering dat de dagvaarding op maandag is uitgebracht, dat de werknemer een vrouw is of dat het dienstverband tussen de 5,7 en 8,5 jaar lag. Dat zijn onweerlegbare feiten, maar wat moet je daar mee naar een cliënt? Toch maar delen, met het risico dat we het toevallige gaan rationaliseren (“ja, rechters hebben ook de maandagochtendblues” of “zie je wel dat ze in Brabant nog ouderwets seksistisch zijn”)? Of negeren, waardoor je een voordeeltje in de zaak weggeeft?

Dat laatste is uiteindelijk het grootste risico. Want zo houdt die correlatie zichzelf in stand. Bij supermarkten komen die mannen vaker en vaker op donderdag luiers en bier kopen – zie je wel zegt de marketeer dan, die willen echt als Man het weekend in gaan. Terwijl die mannen op donderdag gaan omdat het dan in de aanbieding is en je binnen 10 minuten weer buiten staat want het staat op de kop naast de zelfscankassa. En dat is bij marketing tot daar aan toe, maar in het recht niet werkbaar.

Wie dus met data in het recht beslissingen gaat nemen, moet ervoor zorgen dat de uitkomsten uitlegbaar zijn volgens juridische criteria. En dát wordt een hele pittige kluif, verwacht ik.

Arnoud

Hoe laat ik mijn werknemers het auteursrecht houden op hun hobbysoftware?

Geplaatst op in Intellectuele rechten, 35 reacties

Een lezer vroeg me:

Vorige week blogde je over een werknemer die bij StackOverflow bijdragen doet. In de discussie kwam toen langs hoe je als werknemer de rechten zou kunnen behouden. Ik ben werkgever en wil mijn mensen hierin vrij laten, maar hoe schrijf je zoiets op?

Als werknemer heb je inderdaad niet zomaar zelf de rechten op wat je programmeert, ook niet als je dat in je vrije tijd doet of op je eigen laptop. Het criterium is namelijk of dat werk werkgerelateerd was. Zeg maar of je werkgever je gewoon had kunnen opdragen om dat werk te maken.

Nog belangrijker is dus wat er in je contract staat, want je kunt afspraken maken die verder gaan dan dat. Ik ken bedrijven die zeggen, alles dat raakt aan enig product dat wij uitbrengen dat is van ons. Ben jij Apache webserver beheerder en programmeer je ’s avonds games, dan zijn die van ons want een andere divisie van ons programmeert al games. Dat kan, maar gaat wel ver.

(Het moet wel echt in je arbeidscontract staan, enkel een mededeling in een reglement of achteraf aangekondigd is niet mogelijk. Dit is iets dat vrijwillig moet worden afgesproken, niet eenzijdig kan worden bepaald.)

Het is natuurlijk ook mogelijk dat je als werkgever juist wel wil toestaan dat de werknemer hobbywerk doet dat in de buurt komt van het werk. Dat moet je dan wel even opschrijven, iets dat ook kan nadat het arbeidscontract al lang is getekend. Je stemt dan beiden in met een wijziging van het arbeidscontract, vaak gebeurt dat in een briefje (“side letter”) dat het contract aanvult.

Zo’n wijziging kan een specifieke toestemming bevatten, oftewel verwijzen naar één specifiek project, maar voor de vraagsteller is een algemene toestemming logischer. Dat kan relatief simpel:

Werknemer wordt hierbij toegestaan buiten werktijd en voor zover het werk hier niet onder lijdt, naar eigen inzicht te werken in samenwerkingsverbanden met als oogmerk het als open source aanbieden van software.

De term ’toestemming’ is nodig omdat werknemers vaak een concurrentieverbod hebben. En een term als “opensourceprojecten” vind ik net te vaag, vandaar deze iets grotere mond vol. Het lijkt me wel belangrijk dat het gaat om aanbieden als open source, omdat je anders gewoon bij de concurrent kunt gaan werken en dat is vast niet de bedoeling. (Het “onder werktijd” kan er natuurlijk af, uiteindelijk is “voor zover het werk er niet onder lijdt” het belangrijkste.)

Dan krijg je juridisch de zenuwen als werkgever, want gaan ze nu gewoon alles inbrengen dat ze bij jou maken of te weten komen? En wat moet je met reputatieschade? Dat soort zorgen schrijf je er dan als aanvullingen (lid 2, 3 et cetera) achteraan:

Werknemer zal bij dergelijk werk de belangen van werkgever niet schaden. In geval van twijfel overleggen partijen vooraf. Voorts zal werknemer geen bedrijfsgeheimen van werkgever of reeds voor werkgever ontwikkelde software inbrengen in dergelijke samenwerkingsverbanden.

Bij die laatste is natuurlijk de crux hoe je zegt, je mag zelf dingen maken maar niet als dat eigenlijk van ons is – terwijl je nou net wil zeggen, die dingen zijn niet van ons. Dat kun je bijvoorbeeld zo doen:

Werknemer zal geen software inbrengen die zhij voor het werk heeft gemaakt of die zhij redelijkerwijs opgedragen zou kunnen worden te maken.

Een andere oplossing is dat je als werkgever wilt horen om welke projecten het gaat, en dan die per stuk goed- of afkeurt. Dat heeft als voordeel dat je per geval heel duidelijk weet waar je staat, maar als nadeel dat je dus niet spontaan iets nieuws kunt gaan doen:

Werknemer wordt hierbij toegestaan buiten werktijd en voor zover het werk hier niet onder lijdt, naar eigen inzicht te werken in de hieronder opgesomd samenwerkingsverbanden welke als oogmerk hebben het als open source aanbieden van software. Werknemer zal bij dergelijk werk de belangen van werkgever niet schaden. In geval van twijfel overleggen partijen vooraf. Voorts zal werknemer geen bedrijfsgeheimen van werkgever of reeds voor werkgever ontwikkelde software inbrengen in dergelijke samenwerkingsverbanden.

Dan heb je alleen nog een clausule nodig die zegt wanneer een nieuw project (“samenwerkingsverband”) wordt toegevoegd:

Op verzoek van werknemer zal werkgever een nieuw samenwerkingsverband toevoegen aan de opsomming hierboven. Een verzoek wordt alleen geweigerd als het verband concurreert met software van werkgever, als werkgever redelijkerwijs mag vrezen voor reputatieschade als bekend wordt dat werknemer daaraan deel zou nemen of als het waarschijnlijk is dat het werk hieronder zou lijden.

Dat zo’n project niet mag concurreren, lijkt me vrij logisch. De tweede eis is ook redelijk voor een werkgever: ook als je op persoonlijke titel ergens aan werkt, kan het afstralen op je werkgever als mensen de link ontdekken. En het werk kan lijden onder een hele grote rol in de privésfeer, dus ook dat lijkt mij een weigeringsgrond.

Wat zouden jullie als werknemer prefereren? Of als werkgever?

Arnoud

Ben ik strafbaar als ik in opdracht tijdelijk illegale software installeer?

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 7 reacties

Een lezer vroeg me:

Onze organisatie gebruikt al jaren bepaalde software onder licentie. Deze blijkt enige maanden geleden te zijn verlopen en het heractiveren duurt om onduidelijke redenen heel erg lang. Mijn manager heeft me opgedragen dan maar tijdelijk een illegale versie te installeren zodat het werk niet blokkeert, en ze gaan dat rechttrekken in de onderhandelingen. Ben ik strafbaar als ik dat doe, of kan mijn werk dan alsnog de boete van de rechthebbende op mij verhalen?

Als werknemer ben je niet privé aansprakelijk voor je handelen dat je in opdracht doet, of het moet wel héél ver buiten “gewoon je werk doen” treden. Je handelt immers als vertegenwoordiger van het bedrijf, dus wat jij doet wordt je werk aangerekend.

Als je specifiek en expliciet discussie hebt gevoerd dat de software illegaal gebruikt gaat worden, dan zie ik die grens wel in beeld komen. Ik kan me niet voorstellen dat je dan wegkomt met “ik kreeg de opdracht dus ik doe het gewoon”.

Vaak zie je dat het eerder iets is van, we hebben een tijdelijke licentie gebruik die maar, of je collega is parttime HBO docent dus we gebruiken de educatieve licentie. Daar kun je over twisten of dat legaal is maar daarbij heeft de werkgever dan het laatste woord. Dat zou hier op kunnen gaan, omdat de werkgever aangeeft dat dit een tijdelijke oplossing is die men gaat melden aan de licentiegever (en kennelijk denkt voordelig recht te kunnen breien). Ik denk dat je daar als werknemer wel in mee moet gaan.

Mijn advies zou desondanks zijn om expliciet in de mail op schrift te krijgen dat men de illegale versie wil, onder verwijzing naar het mondelinge gesprek en de gevolgen die jij ziet. Of je stuurt het door naar de bedrijfsjurist met de vraag hoe jij die licentieovereenkomst vervolgens moet sluiten.

Arnoud

Mag een werkgever verbieden dat je ze noemt op sociale media zoals Linkedin?

Geplaatst op in Ondernemingsvrijheid, 22 reacties

Mijn werkgever heeft meerdere BV’s gestart ipv de 2 die er nu zijn, zo begon een recente Redditpost op de JuridischAdvies reddit. Het personeel moet nu ineens een nieuw arbeidscontract tekenen in verband met deze overgang, en er staan toch wat gekke dingen in dat contract die de juridische wenkbrauwen doen fronzen. De vakbond is al ingeschakeld lees ik, en er komt zelfs het advies voorbij snel nog een ondernemingsraad op te richten (150 medewerkers en er is geen OR, huh) maar mij trof vooral artikel 14 over social media:

Indien Werknemer privé gebruikmaakt van sociale media, waaronder doch niet uitsluitend begrepen Facebook, Twitter en LinkedIn, dient ieder gebruik van of verwijzing naar de naam van Werkgever evenals iedere andere uiting in verband met Werkgever of het werk te worden vermeden. Werknemer dient zich te allen tijde te onthouden van uitingen in de ruimste zin van het woord die Werkgever en/of medewerkers van Werkgever in diskrediet kunnen brengen dan wel de goede naam van Werkgever kunnen schaden.

Dit is een standaardbeding in diverse op internet rondzwervende modellen. Voor zover ik weet, is het nooit getest bij de rechter maar dat zegt natuurlijk weinig. Strekking is vrij duidelijk: de werkgever wil voorkomen dat zij wordt aangesproken op rare dingen die werknemers online doen. Want tegenwoordig is het niet ongebruikelijk dat werkgevers dan belletjes krijgen van derden (“Weet je wel wat jullie werknemer zegt over Zwarte Piet”), naast dat het gewoon ouderwets vervelend is dat je werknemer in het openbaar iets zegt dat tegen bedrijfsstandpunten ingaat.

Is het rechtsgeldig, zo’n afspraak? Tot op zekere hoogte wel. Als werknemer moet je rekening houden met de belangen van je werkgever, en dat kan ook betekenen dat je in het openbaar niet zomaar dingen zegt die nadelig uit kunnen pakken voor die werkgever. Wel moet er dan een redelijk belang zijn voor de werkgever om iets te mogen zeggen over wat werknemers twitteren of Facebooken. Dit belang moet te herleiden zijn tot het werk: werknemers kunnen bedrijfsgeheimen onthullen door bijvoorbeeld een voorgenomen fusie op Facebook te melden, of arbeidsconflicten veroorzaken door te twitteren dat een collega onfris ruikt. Maar ook het vragen beantwoorden over producten of diensten kan het bedrijfsbelang raken: dergelijke communicatie wordt toegerekend aan het bedrijf, en kan het bedrijf dus binden aan bijvoorbeeld een toegezegde schadevergoeding of vervangend product.

Een in zulke algemene termen geformuleerd beding als hier geciteerd gaat echter dat doel vér te buiten. Die eerste zin verbiedt immers ook het op LinkedIn vermelden dat je ergens werkt, wat de normaalste zaak van de wereld is. Bovendien heeft de werkgever nul last van zo’n vermelding (oké als je bij de AIVD werkt of infiltrant bij de politie dan wel, maar ten eerste heb je dan geen arbeidscontract dat zomaar wijzigt en ten tweede kom nou) dus kan zij moeilijk een bedrijfsbelang inroepen dat deze inperking van de uitingsvrijheid van de werknemer rechtvaardigt.

De tweede zin gaat over het schaden van de goede naam van de onderneming. Dat is op zich iets eerder te rechtvaardigen, zij het dat dat ‘kunnen’ het natuurlijk lekker speculatief en breed maakt. In combinatie met een boetebeding (dat in die internetmodellen staat, maar ik niet zie in het geciteerde contract) zou dat wat mij betreft toch net even de grens over gaan.

Het probleem is natuurlijk dat je als werknemer weinig onderhandelingsruimte hebt. Zeker omdat het lastig onderbouwen is wat je dan wilt gaan doen. “Ja misschien twitter ik eens wat dat mogelijk jullie schaadt en daar wil ik niet op aangesproken worden” is geen handig openingsbod als je een arbeidscontract wil.

Gelukkig is dat specifiek voor deze werknemers geen issue: zij hoeven helemaal niet te tekenen, want bij een overgang van onderneming verandert er niets aan je contract.

Arnoud

Wanneer mag je pagina’s uit een boek op een forum posten?

Geplaatst op in Intellectuele rechten, 6 reacties

Een lezer vroeg me:

Is het wettelijk toegelaten om enkele pagina’s uit een boek te scannen en deze scans vervolgens met vermelding van bron en auteur te delen via digitale fora binnen een discussie of dient men dit over te typen en de auteursrechten vervolgens te melden? In het laatste geval, waar voldoet men dan de rechten?

Hoofdregel uit het auteursrecht is natuurlijk dat het reproduceren en publiceren van een werk niet mag zonder toestemming van de rechthebbende, tenzij het auteursrecht al is verlopen. Voor dat laatste is geduld nodig: dat gebeurt pas 70 jaar na de dood van de maker, of bij een uitgave zonder genoemde auteur 95 jaar na eerste publicatie. Dit geldt bij pagina’s uit boeken net zo goed als bij foto’s, muziek en andere werken.

De belangrijkste uitzondering op het voorgaande zou zijn als je een geldig beroep op het citaatrecht kunt doen. Dan zeg je, ik doe zelf een publicatie en daarvoor is het nodig dat ik deze pagina’s uit het boek presenteer aan mijn lezers. Dat kan ter onderbouwing zijn, of juist omdat je erop wilt gaan schieten, of gewoon omdat je wilt melden wat dit boek erover zegt, zoals bij een aankondiging.

Probleem met citaatrecht is wel dat je niet meer overneemt dan nodig is om je punt te maken, of dan nodig is voor de aankondiging. Bij een boek kan ik me dat moeilijk voorstellen als het gaat om enkele pagina’s. Ik zou zelf eerder denken aan een alinea of twee. Maar het is denkbaar dat juist die pagina’s als geheel gelezen moeten worden om te begrijpen wat de auteur zegt, voordat de kritiek of reactie daarop te volgen is.

Als je gaat zoeken op bepalingen over boeken in de auteurswet dan vind je ook een bepaling die zegt dat je boeken geheel mag kopiëren als ze niet meer in de handel zijn (art. 16b lid 2 Auteurswet). Dat is echter een regel die alléén gaat over reproduceren, dus over het maken van een kopie. Het publiceren van die kopie is echter niet toegestaan onder dat artikel, dus voor het publiceren op een forum heb je er niets aan. (En het komt vaker voor dat je denkt dat er iemand een claim legt voor een boek dat al lang niet meer in de handel is.)

Arnoud

Is het rechtens genoeg als AI algoritmes geen bias meer hebben? #legaltechtuesday

Geplaatst op in Innovatie, 2 reacties

Bias of vooringenomenheid in algoritmes en artificial intelligence, veel is er al over geschreven. Het is het grootste actuele probleem dat grootschalige adoptie van AI in de weg staat, lijkt het wel eens. Want het is natuurlijk niet de bedoeling dat AI de besluitvorming over gaat nemen als daarmee discriminatie of uitsluiting van bepaalde groepen optreedt, of als mensen worden afgewezen op basis van een vooringenomenheid die we onwenselijk vinden. Maar zelfs als we dat probleem oplossen, blijft de inzet van AI en algoritmes een moeilijke.

Het probleem achter die bias is dat we AI vaak een eind laten kauwen op een hele berg data, en dan conclusies laten trekken op basis van een onderlinge samenhang. Maar waarom die samenhang er is, of hoe men tot een patroon is gekomen, dat kan zo’n AI vaak niet zeggen. Maar “computer says no” is juridisch onaanvaardbaar, ook als zo’n uitleg er eigenlijk niet is.

Uitlegbaarheid van AI is dus het devies. Laat maar eens zien (met een beslisboom of lijst van relevante factoren) hoe je tot dat besluit bent gekomen. En als je dan ziet dat daar een ‘verboden’ factor is gebruikt, dan bijstellen die hap. Of een moreel kompas eronder dat automatisch zorgt voor correctie. Op die manier voorkom je vooringenomenheid, in ieder geval een heel eind.

Maar is dat genoeg, zeker bij juridische analyses en uitspraken zoals in rechtspraak? Ik denk het niet. Er is namelijk een veel fundamenteler probleem met AI dan alleen maar dat de uitspraak mogelijk biased is of gebaseerd op een gebrekkige dataset. AI is namelijk fundamenteel zeer behoudend, en kan niet omgaan met rare situaties waarin de data niet voorziet. Of met voortschrijdend maatschappelijk inzicht. En laten dat nu precies de soort dingen zijn waar de rechtspraak regelmatig mee geconfronteerd wordt.

AI is bedoeld om standaardzaken te automatiseren. Patronen opsporen binnen het gewone, zodat deze in de toekomst sneller en beter (want consistenter) kunnen worden afgehandeld. Bevat deze aanvraag tekortkomingen, lijkt deze persoon op een verdachte, is er een crimineel bezig in ons netwerk. Dat soort patronen kun je prima met een AI opsporen.

Dergelijke patronen zijn namelijk neutraal: zo ziet crimineel gedrag er nu eenmaal uit, of zo bepaal je nu eenmaal gelijkenis van twee gezichten. Laat je dat echter los op juridische situaties dan krijg je een heel ander verhaal. Feitelijk vergelijk je dan een casus met een rits eerdere casussen, en de uitkomst zal dan vergelijkbaar zijn met die eerdere uitspraken. Dat klinkt mooi – consistentie in rechtspraak is een groot goed – maar echte vernieuwing zit er niet in.

Dat is ook precies hoe AI werkt. Een robotrechter leert geen rechtsregels zoals menselijke juristen doen, en leert zelfs niet het analyseren van eerdere jurisprudentie wat belangrijke factoren zijn. AI’s zijn goed in het vergelijken: gegeven een dataset waarin elk item (elk vonnis dus) in een zit, bepaal welke factoren per item essentieel zijn om in een bepaald bakje te horen. Dat is een beetje hoe een ervaren menselijke rechter ook werkt: oké, een standaard-incassozaakje of daar heb je weer een fotoclaim met het bekende verhaal over citaatrecht. Maar niet helemaal: een AI kijkt blind naar alle factoren die hij ziet, en dat kunnen ook onbedoelde factoren zijn (als advocaat X pleit of de eiser in Amstelveen woont, dan is dat een indicatie dat de zaak niet sterk is).

Uiteindelijk is de kern echter wel dat een AI alléén afgaat op de eerdere dataset. Hij leert immers alleen daaruit hoe er recht gesproken moet worden. Een afwijking van die dataset is daarbij niet te verwachten. Computers zijn immers niet creatief, en niet gevoelig voor ongewone omstandigheden, nieuwe feiten of het overtuigendste pleidooi. Dat is ook de reden waarom robotrechters alleen voor standaardwerk ingezet moeten kunnen worden, én dat er altijd ruimte moet zijn om die ongewone omstandigheden te kunnen stellen waarna een mensenrechter er naar kijkt.

De grote uitdaging bij AI in het recht zal dus zijn hoe de gekke gevallen eruit gevist worden en door een mens behandeld gaan worden.

Arnoud