Wanneer mag je pagina’s uit een boek op een forum posten?

Geplaatst op in Intellectuele rechten, 6 reacties

Een lezer vroeg me:

Is het wettelijk toegelaten om enkele pagina’s uit een boek te scannen en deze scans vervolgens met vermelding van bron en auteur te delen via digitale fora binnen een discussie of dient men dit over te typen en de auteursrechten vervolgens te melden? In het laatste geval, waar voldoet men dan de rechten?

Hoofdregel uit het auteursrecht is natuurlijk dat het reproduceren en publiceren van een werk niet mag zonder toestemming van de rechthebbende, tenzij het auteursrecht al is verlopen. Voor dat laatste is geduld nodig: dat gebeurt pas 70 jaar na de dood van de maker, of bij een uitgave zonder genoemde auteur 95 jaar na eerste publicatie. Dit geldt bij pagina’s uit boeken net zo goed als bij foto’s, muziek en andere werken.

De belangrijkste uitzondering op het voorgaande zou zijn als je een geldig beroep op het citaatrecht kunt doen. Dan zeg je, ik doe zelf een publicatie en daarvoor is het nodig dat ik deze pagina’s uit het boek presenteer aan mijn lezers. Dat kan ter onderbouwing zijn, of juist omdat je erop wilt gaan schieten, of gewoon omdat je wilt melden wat dit boek erover zegt, zoals bij een aankondiging.

Probleem met citaatrecht is wel dat je niet meer overneemt dan nodig is om je punt te maken, of dan nodig is voor de aankondiging. Bij een boek kan ik me dat moeilijk voorstellen als het gaat om enkele pagina’s. Ik zou zelf eerder denken aan een alinea of twee. Maar het is denkbaar dat juist die pagina’s als geheel gelezen moeten worden om te begrijpen wat de auteur zegt, voordat de kritiek of reactie daarop te volgen is.

Als je gaat zoeken op bepalingen over boeken in de auteurswet dan vind je ook een bepaling die zegt dat je boeken geheel mag kopiëren als ze niet meer in de handel zijn (art. 16b lid 2 Auteurswet). Dat is echter een regel die alléén gaat over reproduceren, dus over het maken van een kopie. Het publiceren van die kopie is echter niet toegestaan onder dat artikel, dus voor het publiceren op een forum heb je er niets aan. (En het komt vaker voor dat je denkt dat er iemand een claim legt voor een boek dat al lang niet meer in de handel is.)

Arnoud

Is het rechtens genoeg als AI algoritmes geen bias meer hebben? #legaltechtuesday

Geplaatst op in Innovatie, 2 reacties

Bias of vooringenomenheid in algoritmes en artificial intelligence, veel is er al over geschreven. Het is het grootste actuele probleem dat grootschalige adoptie van AI in de weg staat, lijkt het wel eens. Want het is natuurlijk niet de bedoeling dat AI de besluitvorming over gaat nemen als daarmee discriminatie of uitsluiting van bepaalde groepen optreedt, of als mensen worden afgewezen op basis van een vooringenomenheid die we onwenselijk vinden. Maar zelfs als we dat probleem oplossen, blijft de inzet van AI en algoritmes een moeilijke.

Het probleem achter die bias is dat we AI vaak een eind laten kauwen op een hele berg data, en dan conclusies laten trekken op basis van een onderlinge samenhang. Maar waarom die samenhang er is, of hoe men tot een patroon is gekomen, dat kan zo’n AI vaak niet zeggen. Maar “computer says no” is juridisch onaanvaardbaar, ook als zo’n uitleg er eigenlijk niet is.

Uitlegbaarheid van AI is dus het devies. Laat maar eens zien (met een beslisboom of lijst van relevante factoren) hoe je tot dat besluit bent gekomen. En als je dan ziet dat daar een ‘verboden’ factor is gebruikt, dan bijstellen die hap. Of een moreel kompas eronder dat automatisch zorgt voor correctie. Op die manier voorkom je vooringenomenheid, in ieder geval een heel eind.

Maar is dat genoeg, zeker bij juridische analyses en uitspraken zoals in rechtspraak? Ik denk het niet. Er is namelijk een veel fundamenteler probleem met AI dan alleen maar dat de uitspraak mogelijk biased is of gebaseerd op een gebrekkige dataset. AI is namelijk fundamenteel zeer behoudend, en kan niet omgaan met rare situaties waarin de data niet voorziet. Of met voortschrijdend maatschappelijk inzicht. En laten dat nu precies de soort dingen zijn waar de rechtspraak regelmatig mee geconfronteerd wordt.

AI is bedoeld om standaardzaken te automatiseren. Patronen opsporen binnen het gewone, zodat deze in de toekomst sneller en beter (want consistenter) kunnen worden afgehandeld. Bevat deze aanvraag tekortkomingen, lijkt deze persoon op een verdachte, is er een crimineel bezig in ons netwerk. Dat soort patronen kun je prima met een AI opsporen.

Dergelijke patronen zijn namelijk neutraal: zo ziet crimineel gedrag er nu eenmaal uit, of zo bepaal je nu eenmaal gelijkenis van twee gezichten. Laat je dat echter los op juridische situaties dan krijg je een heel ander verhaal. Feitelijk vergelijk je dan een casus met een rits eerdere casussen, en de uitkomst zal dan vergelijkbaar zijn met die eerdere uitspraken. Dat klinkt mooi – consistentie in rechtspraak is een groot goed – maar echte vernieuwing zit er niet in.

Dat is ook precies hoe AI werkt. Een robotrechter leert geen rechtsregels zoals menselijke juristen doen, en leert zelfs niet het analyseren van eerdere jurisprudentie wat belangrijke factoren zijn. AI’s zijn goed in het vergelijken: gegeven een dataset waarin elk item (elk vonnis dus) in een zit, bepaal welke factoren per item essentieel zijn om in een bepaald bakje te horen. Dat is een beetje hoe een ervaren menselijke rechter ook werkt: oké, een standaard-incassozaakje of daar heb je weer een fotoclaim met het bekende verhaal over citaatrecht. Maar niet helemaal: een AI kijkt blind naar alle factoren die hij ziet, en dat kunnen ook onbedoelde factoren zijn (als advocaat X pleit of de eiser in Amstelveen woont, dan is dat een indicatie dat de zaak niet sterk is).

Uiteindelijk is de kern echter wel dat een AI alléén afgaat op de eerdere dataset. Hij leert immers alleen daaruit hoe er recht gesproken moet worden. Een afwijking van die dataset is daarbij niet te verwachten. Computers zijn immers niet creatief, en niet gevoelig voor ongewone omstandigheden, nieuwe feiten of het overtuigendste pleidooi. Dat is ook de reden waarom robotrechters alleen voor standaardwerk ingezet moeten kunnen worden, én dat er altijd ruimte moet zijn om die ongewone omstandigheden te kunnen stellen waarna een mensenrechter er naar kijkt.

De grote uitdaging bij AI in het recht zal dus zijn hoe de gekke gevallen eruit gevist worden en door een mens behandeld gaan worden.

Arnoud

Mag ik als werknemer wel bijdragen posten op Stack Overflow?

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 7 reacties

Vorige week hadden we een discussie over snippets code op Stack Overflow, en toen kwam deze vraag langs:

Volgens mij is het tamelijk duidelijk wat je met snippets op SO mag (CC BY-SA 3.0, zie bovenstaande antwoorden). Wat ik me wel eens afvraag is of ik als developer in dienst van een bedrijf wat eigenlijk eigenaar is van het copyright op alles wat ik aan code schrijf wel snippets op SO mág posten.

Als je in dienst bent bij een bedrijf (dus als werknemer, niet als ingehuurde zzp’er) dan is de hoofdregel dat alles dat je maakt, auteursrechtelijk van de werkgever is. Althans, als het binnen de scope van je arbeidsovereenkomst ligt. Het maakt dus niet uit of je het in eigen tijd doet, op je eigen laptop of vanuit een eigen behoefte om het te maken. Was dit je werk, of had dit je werk kunnen zijn gezien je contract, je afspraken en de definitie van je functie, dan is het van je werkgever. (Je contract kan bredere of andere grenzen trekken.)

Wie bijvoorbeeld aangenomen is als programmeur bij het ontwikkelteam voor de Initech Finance app, is dus alle rechten kwijt op wat hij aan die app bijdraagt. Maakt hij daarnaast een afspraak om, ik noem eens wat, foto’s te maken op de bedrijfsborrel, dan zijn ook die foto’s auteursrechtelijk van de werkgever. De roman die hij in het weekend schrijft, is en blijft daarentegen zijn eigen auteursrechtelijk werk. Ook trouwens als hij dat onder werktijd op de company laptop schrijft. Dat laatste levert wellicht plichtsverzuim op en kan in theorie reden tot ontslag zijn, maar auteursrechtelijk is en blijft dat boek dan van hem.

Het zal zelden voorkomen dat mensen expliciet in hun contract hebben staan dat ze op Stack Overflow moeten dan wel mogen posten als deel van hun werk. Dan kom je op de vraag of het impliciet alsnog deel van hun werk is. Vergroten van je kennis en discussie met vakgenoten kun je denk ik wel vaak zien als deel van je werk, zodat de werken die je in dat kader maakt, ook eigendom van je werkgever zijn. Maar het is natuurlijk ook een stukje persoonlijke ontwikkeling en interesse, discussie met vakgenoten en het geven van tips aan elkaar.

Ik neig er naar om dit soort bijdragen te zien als privé-eigendom, tenzij het nadrukkelijk gaat om dingen waar je aan werkt of die direct aanverwant zijn aan het werk dat je doet. Een snippet posten dat laat zien hoe je een Postgres database optimaliseert, zou dus zakelijk eigendom zijn als je het post als databasebeheerder. (Ik denk ook als je bedrijf geen Postgres gebruikt, maar vind dat een twijfelgeval.)

Daarnaast kun je bij het posten van snippets en tips in de problemen komen als je bedrijfsgeheimen onthult. Uitleggen hoe de infrastructuur bij jouw bedrijf werkt, kan daar een voorbeeld van zijn. En dat kan gebeuren met zo’n snippet, denk aan een security-advies over hoe de firewall te configureren (“zo werkt het bij ons en dat gaat best goed”). Een stukje code posten van de eigen codebase van het werk, is natuurlijk om diezelfde reden ook best een probleem.

Arnoud

Huh, afpersen is niet verboden als je dreigt met openbaarmaking?

Geplaatst op in Privacy, Regulering, 16 reacties

Af en toe kom je gekke zaken tegen als je op ‘internet’ zoekt op Rechtspraak.nl. Zo ook deze zaak over een relatief simpele afpersing zo lijkt het: een man breekt in bij een bedrijf, kopieert persoonsgegevens en eist bitcoins anders zal hij deze openbaar maken. Je zou zeggen dat dat strafbaar is, en omdat hij nog gepakt werd ook zouden we dat gaan zien. Maar wat zegt de rechtbank: niet strafbaar, want nergens in de wet staat dat zulk openbaar maken verboden is. Eh, wat?

De man wist binnen te dringen in de webserver van een verhuurmakelaar middels een PHP-zwakheid. Hij kon daardoor bij de database en wist gegevens van 18.500 klanten te downloaden (waaronder emailadressen, bankrekeningnummers, werkgeversverklaringen en kopieën van identiteitsbewijzen van personen die zich hadden ingeschreven). Vervolgens nam hij contact op met het bedrijf en eiste 10.000 euro in bitcoin onder het dreigement dat hij de gegevens anders op internet zou zetten.

Omdat dat contact onder meer per telefoon ging, wist de politie de man te achterhalen. Hij werd vervolgens vervolgd voor afpersing (art. 317 Sr). Dat is normaal dreigen met geweld om zo iets te krijgen dat niet van jou is maar er is ook een digitale variant in lid 2:

Met dezelfde straf wordt gestraft hij die de dwang, bedoeld in het eerste lid, uitoefent door de bedreiging dat gegevens die door middel van een geautomatiseerd werk zijn opgeslagen, onbruikbaar of ontoegankelijk zullen worden gemaakt of zullen worden gewist.

Al die exploitanten van ransomware zijn dus strafbaar onder dit artikel. Maar deze man had een iets andere insteek: niet wissen, maar openbaar maken oftewel reputatieschade (en mogelijk een AVG boete) als je niet betaalt. En daarvan zegt de rechtbank terecht, dat stáát er niet, in lid 2. Zo werkt strafrecht, dit wetboek lezen we heel letterlijk om te voorkomen dat mensen worden veroordeeld voor iets dat niet expliciet verboden was verklaard.

Ik blijf dan wel even bladeren om te zien hoe meneer wél voor dit feit veroordeeld had kunnen worden. Een mogelijkheid is artikel 318:

Hij die, met het oogmerk om zich of een ander wederrechtelijk te bevoordelen, door bedreiging met smaad, smaadschrift of openbaring van een geheim iemand dwingt hetzij tot de afgifte van enig goed dat geheel of ten dele aan deze of aan een derde toebehoort, hetzij tot het aangaan van een schuld of het teniet doen van een inschuld, hetzij tot het ter beschikking stellen van gegevens, wordt als schuldig aan afdreiging, gestraft met gevangenisstraf van ten hoogste vier jaren of geldboete van de vijfde categorie.

Je zou dan zeggen dat deze klantendatabase een “geheim” (bedrijfsgeheim) is, en er wordt dan gedreigd met openbaarmaking daarvan. Dan kom je dus bij afdreiging en dat is strafbaar. Maar ik kan geen jurisprudentie vinden die dat punt maakt.

Arnoud

In mijn tijd had je niet eens Deliveroo op je telefoon als scholier

Geplaatst op in Ondernemingsvrijheid, 26 reacties

De school als afleveradres voor maaltijdbezorging en postpakketten: sommige scholen willen het niet meer hebben. Dat meldde NRC onlangs. Leerlingen mogen dan dus geen maaltijden meer bestellen via bijvoorbeeld Deliveroo, UberEats en Thuisbezorgd. Ik voel me echt oud als ik dan bedenk dat ik op de middelbare school hooguit een zak chips bij een supermarkt een eind verderop kon kopen, of (als ie al open was) ergens een frietje. Maar goed, ik krijg er vragen over (ja, echt) of een school dat wel mag – en omdat men met een app bestelt vanaf een smartphone is dit internetrecht, dus ik ga een antwoord schrijven.

Het korte antwoord is natuurlijk dat een school dit mag reguleren, om de eenvoudige reden dat zij bepalen wie er op hun terreinen mogen komen. Het is immers hun eigendom (ook als ze het huren, slimmerik uit 5vwo ergens in Gouda). Als zij niet willen dat bezorgers van post dan wel voedsel op het terrein komen, dan is dat hun goed recht en dat jij als scholier ze hebt gevraagd, doet daar niet aan af. Je bent niet bevoegd mensen uit te nodigen op andermans terrein.

Die ene middelbare school uit Overijssel die (blijkens een boze mail van een 14-jarige havist) aankondigde dat “wie Deliveroo op zijn telefoon open heeft op school, de telefoon mag inleveren voor de dag” gaat wat mij betreft dan weer een stapje te ver. Het innemen van een telefoon als sanctie kan alleen als dat a) in het schoolreglement benoemd is als sanctie bij bepaald gedrag en b) die sanctie proportioneel is gezien dat gedrag. We hebben hier meer discussies over gehad, en ik denk dat dat alleen kan als je echt onrechtmatige dingen doet met de telefoon zelf. Ik wil nog net daaronder rekenen dat je overlast veroorzaakt in de klas, maar op een rustig moment en buiten de les een vette hap bestellen voor op school kan ik niet als overlast zien.

Ook het laten bezorgen van pakketten komt voor, aldus NRC. „De school is een uitermate goede plek om dingen af te laten leveren waarvan je niet wilt dat ze ouders ze zien”, zegt directeur De Zoete. „Maar ook dat willen we liever niet hebben.” Eh ja, ik word oud inderdaad. U ook?

Arnoud

De toekomst van legal tech: verdwijnen naar de achtergrond

Geplaatst op in Innovatie, 9 reacties

“De Nederlandse legal tech-markt is nog onvoldoende rijp en te onvolwassen om de vorm van geïntegreerde dienstverlening die we voor ogen hebben, succesvol te laten zijn.” Dat las ik half december in Advocatie. Merkwaardig, ik had niet het idee dat de rijpheid van de technologieleveranciers het grote probleem was bij de adoptie van legal tech in de juridische dienstverlening. Ik denk wel dat de term legal tech steeds meer naar de achtergrond gaat drijven – of zelfs gaat verdwijnen – en zie dat in 2020 al wel beginnen. Want uiteindelijk gáát het niet om de tech.

Legal tech is de verzamelnaam voor een bonte verzameling van technologieën en diensten die het juridische werk gaan transformeren. Van apps tot saas en van AI bots tot smart blockchains, je kunt het zo gek niet bedenken. Alle aspecten van juridische diensten worden daarbij aangepakt. Je hebt chatbots die parkeerboetes aanvechten, AI’s die dossiers doorspitten op zoek naar verborgen pijntjes en beslisboomdiensten om adviezen te genereren, opinies te checken of documenten samen te stellen.

Weet u nog dat u stopte met papieren formulieren en online ging tijdschrijven, reizen declareren en vakantiedagen aanvragen? Of dat u stopte met dicteren en zelf in Word uw dagvaardingen en adviezen typte? Of dat u stopte met adverteren in de krant en ging Twitteren? (Ik hoop dat ik zo alle generaties heb gehad.) Allemaal voorbeelden van technologieën die we met enige skepsis maar ook gevoelens van hype en vernieuwing ontvingen, en die we ondertussen doodnormaal vinden.

Want dat is de grap achter innovatie: zolang we het niet gebruiken is het nieuw, inspirerend maar misschien ook eng. En zodra we er aan gewend zijn, is het doodnormaal en gaan we het geen innovatie meer noemen. Een grapjas definieerde artificial intelligence dan ook eens als datgene wat een computer binnenkort kan. Zodra hij het nu kan, is het gewoon een knopje in Word of een site waar je een document uploadt.

Legal tech is voor veel organisaties een typisch voorbeeld van een innovatie die ietwat spannend voelt. Zoals ik in december al schreef: de adoptie van legal tech in een organisatie is vooral een kwestie van verandermanagement, en dat is eigenlijk altijd een zware dobber. Zeker in organisaties waar men gewend is op risico’s te sturen (zoals juridische dienstverleners). Daarom is er de nodige aarzeling en vertraging in de adoptie.

Maar de ervaring leert ook dat wanneer die innovatie eenmaal geaccepteerd wordt, hij binnen de kortste keren normaal is. Dan is het gewoon het knopje dat zegt dat het contract voldoet aan de business-eisen of dat de dagvaarding correct is opgesteld. Als we daar zijn, dan is legal tech een succes – maar noemt niemand het meer legal tech. De grootste toekomst voor legal tech is dus zo snel mogelijk verdwijnen.

Arnoud

Wat mag ik met snippets van Stack Overflow?

Geplaatst op in Intellectuele rechten, 17 reacties

Een lezer vroeg me:

Zoals vele ontwikkelaars neus ik vaak op Stack Overflow naar oplossingen voor mijn programmeerproblemen. Ik zie dan vaak broncode die de oplossing implementeert, maar ik weet dat ik die niet zomaar mag copypasten in verband met licentieproblemen. Maar wat mag ik dan wel?

Stackoverflow is de bekendste site voor programmeurs om met elkaar tips, ideeën en oplossingen te delen. Meestal gebeurt dat in de vorm van programmeercode (broncode) omdat dat nu eenmaal de meest exacte en directe manier is om aan te geven hoe je in software een bepaald probleem aanpakt. Die oplossingen zijn vaak relatief kort en worden dan ook wel snippets genoemd.

Op software rust auteursrecht. Je mag dus iemands software niet overnemen, ook niet als hij de broncode publiceert of die broncode ergens neerzet waar het de bedoeling is om erover te praten en er naar te kijken. Alleen als er een licentie bij staat, kun je de software gebruiken – binnen de grenzen van de licentie. Helaas zetten maar weinig SO gebruikers expliciet een licentie bij hun snippets.

Bij snippets kun je dan weer wel je afvragen óf er auteursrecht op rust. Er moet wel iets van creativiteit in het werk zitten. Dat kan bij een kort werk, maar zeker bij software is dat geen automatisme. Een snippet die laat zien hoe een API aangeroepen moet worden, zou ik niet creatief noemen. Dat is alleen “kijk hier moet de sessiesleutel, hier zet je parameters zoals kleur en gewicht en dan krijg je een array terug met de actuele voorraad”. Zo’n snippet heeft geen auteursrecht en daarmee mag je natuurlijk doen wat je wil.

Helaas is zodra je boven dergelijke trivialiteiten gaat het al snel onduidelijk. Er zijn geen juridische vuistregels zoals dat tot tien regels code vrij van rechten zijn. Zo werkt auteursrecht gewoon niet. Je moet dan inhoudelijk je afvragen of dit iets creatiefs is of ‘gewoon’ zoals je het zou doen. Dertig regels code met hoe een quicksort werkt zou ik niet creatief noemen (dat is nu eenmaal grofweg een standaard algoritme) maar 5 regels om snel een matrix te scannen is vaak juist héél creatief.

Wat natuurlijk wel altijd mag, is het idéé dat men je communiceert met zo’n snippet overnemen en in eigen code verwerken. Ideeën, principes en algoritmes vallen buiten het auteursrecht en mogen dus vrij worden gebruikt. Dat doe je dan dus door eerst in eigen woorden (of pseudocode) op te schrijven wat er onder die geposte broncode zit, en daarna dat in echte code uit te werken in je eigen applicatie.

Arnoud

Ruzie met de universiteit over een briljant idee

Geplaatst op in Intellectuele rechten, 13 reacties

Keiharde onderhandelingen, contracten onder druk tekenen of aandelen moeten afstaan. Dit soort zaken verwacht je misschien bij bedrijven, maar niet op universiteiten. Dat schreef de NOS onlangs. Universiteiten blijken soms maanden tot jaren met studenten te steggelen over contracten rondom uitvindingen en software die studenten maken. Dat verrast natuurlijk wel, want een universiteit is toch een wetenschappelijke instelling die niet direct alles zou moeten claimen dat studenten (niet eens werknemers) bedenken. Maar de praktijk is weerbarstig.

Je zou zeggen, natuurlijk kan een student de door hem of haar opgedane kennis vrij toepassen als hij afstudeert of tijdens de studie een briljant idee opdoet. Maar tot veler verrassing blijken universiteiten dan toch claims te leggen op die kennis. Vaak gaat het dan om octrooien, maar ook auteursrechten staan daarbij steeds vaker centraal: de meeste studenten ontwikkelen software (zoals apps) waarmee ze de markt op willen, en de auteursrechten op die software worden dan geclaimd.

Een belangrijk argument daarvoor is dat docenten of hoogleraren hebben meegedacht of zelfs meegewerkt aan die software of het idee. En het is nu eenmaal zo dat als twee mensen iets bedenken, ze beiden rechten kunnen claimen. Maar het voelt wel raar omdat een student toch (zeker bij de afstudeeropdrachten) juist een éigen prestatie moet neerzetten. Als je dan als prof zegt, dat heb ik mee bedacht, is er dan wel een valide afstudeerklus afgerond?

In het artikel lees ik dan ook “wat als je faciliteiten van de universiteiten hebt gebruikt, zoals een lab of printer”, maar daar krijg ik zo’n jeuk van dat ik het kort zal houden: eigendom van productiemiddelen is irrelevant bij de vraag wie intellectueel rechthebbende is. Kom op nou.

Een opvallende in het artikel is de TU/e (mijn alma mater, 1999) die de IE-rechten claimt bij inschrijvingen dat al sinds jaar en dag doet. Dit noemen zij “een voorzorgsmaatregel, omdat er veel met bedrijven wordt samengewerkt.” Want bedrijven nemen graag studenten in dienst voor stages en afstudeerklussen, maar hebben geen zin om per student te onderhandelen over de IE-rechten. Als het raamcontract tussen TU en bedrijf gewoon zegt “alle IE wordt van het bedrijf” dan gaat dat een stuk vlotter.

En nou ja, ik snap best dat als je als bedrijf een student aanneemt voor een klus, je de rechten op zijn of haar werk wilt hebben. Dat moet je apart regelen, want een stage (al dan niet in verband met afstuderen) is geen arbeidsovereenkomst en dus ben je wettelijk geen eigenaar van die rechten. Maar de TU/e regelt het wel héél vroeg, namelijk bij de inschrijving als student. Dat voelt wel een tikje sneaky want welke student-in-spe staat er op dat moment bij stil? En of het juridisch klopt, kun je ook betwijfelen: een akte van overdracht moet concreet en specifiek zijn over wát er wordt geleverd. “Al datgeen ooit gemaakt wordt” is bijvoorbeeld veel te generiek.

De koepel voor universiteiten, de VSNU, werkt nu aan een eenduidige richtlijn voor universiteiten over hoe ze met uitvindingen van studenten om moeten gaan, meldt de NOS nog. Ik ben benieuwd. Mijn suggestie: de student houdt zijn rechten, docenten claimen geen mede-eigendom tenzij concreet software van de universiteit is gebruikt en bedrijven moeten bij begin van de stage gewoon in de stage-overeenkomst regelen (met de student dus, niet de universiteit) welke rechten zij willen hebben.

Arnoud

Natuurlijk mag je niet om extra legitimatie vragen bij een online account

Geplaatst op in Privacy, 21 reacties

Wanneer iemand zijn online pseudonieme account wil laten verwijderen, mag de beheerder van die site geen aanvullende informatie eisen bovenop het kunnen inloggen op dat account. Dat bepaalde (pdf) de Oostenrijkse privacytoezichthouder onlangs. Bij registratie op een advertentiesite hoefde je niet meer te doen dan een nepnaam en een mailadres op te geven, maar als je je account weer wilde verwijderen dan moest je ook je echte naam, adres en andere informatie opgeven. En dat is een schending van de AVG, die gegevens zijn niet werkelijk nodig om het verwijderverzoek te honoreren. Een uitspraak die hopelijk een precedent gaat worden, want ik kan me werkelijk dood ergeren aan al die sites die een volledige doopceel eisen (of erger nog, een kopietje paspoort) voordat ze iets weghalen dat je met heel wat minder informatie aan had gemaakt.

Het eerste dat me opvalt in de uitspraak is dat je je account niet gewoon online kon verwijderen. Je moest een formulier downloaden en invullen, wat op zich natuurlijk al een idioot overdreven manier van werken is. Dan ga je al een beetje denken dat de website-eigenaar liever geen accounts verwijdert. Het is triviaal om een “delete this account” knop in te bouwen als je accountbeheer hebt, en als je je zorgen maakt over misbruik van die knop dan stuur je de accounthouder een mail met link om te bevestigen dat hij het echt wilde.

Bij dit formulier ging het ook nog eens mis omdat je allerlei informatie moest invullen, zoals je werkelijke naam en je adres. De vraag is dan natuurlijk onmiddellijk waarom die informatie nodig is. Wat ga je ermee doen, hoe heb je die informatie nodig om te valideren dat je werkelijk met de accounthouder te maken hebt? Ik kan geen reden bedenken; immers, de accounthouder is enkel bekend onder dat pseudoniem of via dat mailadres.

Ja maar je paspoort is toch je officiële naam, dat bewijst toch iets, zou je denken? Nee, niet in deze context. Want de eigenaar van dit account had de naam ‘Petra’ gebruikt en het mailadres van zijn vrouw, dus vertoning van zijn paspoort had helemaal niet bewezen dat hij eigenaar was van het account. Maar hij was het wel. En hoe weten we dat? Nou ja, omdat hij kon inloggen op het account natuurlijk. En dat is dan dus eigenlijk het enige dat je mag eisen van de AVG.

Een goede zaak, wat mij betreft. Ik weet dat er sites zijn die dergelijke formulieren gebruiken als barrière tegen uitschrijven (want meer gebruikers is jezelf groter kunnen voordoen) maar de meesten doen het volgens mij omdat ze denken dat het moet, correct identificeren door middel van formulieren en paspoorten. Daar mogen ze dus mee ophouden.

Arnoud