Hoe moet de universiteit Maastricht omgaan met de Clop ransomware?

Geplaatst op in Ondernemingsvrijheid, Security, 37 reacties

De universiteit van Maastricht kampt mogelijk nog de hele kerstvakantie met hinder van een grote cyberaanval, waardoor nagenoeg alle universiteitssystemen platliggen. Dat meldde de NOS eind vorig jaar. Het gaat om ransomware, software die data versleutelt tenzij losgeld wordt betaald – in dit geval het Clop virus. Er is aangifte gedaan en volgens universiteitsblad Observant is een team van zo’n 25 IT-experts dag en nacht bezig om de aanval te ontmantelen. Ik kreeg in de kerstvakantie vele mails van met name studenten over waar ze nu staan met bijvoorbeeld hun afstuderen, maar de interessantste vraag kwam van een lezer die zich afvroeg of de verzekeraar van de universiteit gaat betalen. Dat schijnt namelijk normaal te zijn?

Net voor de kerst werd de universiteit getroffen door het Clop virus, dat zich blijkt te richten op grote instellingen en overheden. Het virus versleutelt niet alleen individuele bestanden (zoals de meeste ransomware) maar ook netwerken: alle dhcp-servers, Exchange-servers, domeincontrollers en netwerkschijven zouden versleuteld zijn. Dan heb je best wel een probleem als organisatie, zoals nu ook blijkt uit de enorme inspanning die de universiteit samen met Fox-IT levert om alles weer te herstellen.

Het plan was om begin januari weer gewoon open te gaan, zij het met natuurlijk nogal wat beperkingen qua netwerkverkeer, toegang tot studie-informatie en ga zo maar door. Er is nog niets over regelingen bekend, maar dit lijkt me zo’n evident geval van overmacht dat zaken als deadlines of inleverdata zonder problemen opgeschoven kunnen worden.

Die ene lezer had nog best een punt: het is niet ondenkbaar dat een verzekeraar het losgeld betaalt wanneer ransomware heeft toegeslagen bij een polishouder. Zakelijk is het immers puur een rekensom: wat kost het om het hele systeem terug te zetten, en hoe hoog is het losgeld? Verrassend genoeg blijken veel ransomware-verspreiders namelijk gewoon de sleutel te geven als je betaalt. Logisch vanuit hun perspectief, want dan gaan de betalende slachtoffers anderen adviseren om ook te betalen. En dit soort misdaad moet het van vele gewillige slachtoffers hebben.

Voor een individueel slachtoffer is het dus niet gek om gewoon te betalen, hoewel maatschappelijk gezien dat natuurlijk buitengewoon onwenselijk is. Voor een verzekeraar voelt het gekker: die heeft meer klanten die mogelijk slachtoffer kunnen worden, en veroorzaakt zo meer claims bij zichzelf (en concullega’s). Maar voor het individuele geval zou het ook bij de verzekeraar een prima oplossing kunnen zijn.

Ik ken geen wet die expliciet verbiedt dat een verzekeraar losgeld betaalt. Als de verzekeraar dit in de polis zet als recht, dan zou dat waarschijnlijk in strijd met de openbare orde of goede zeden zijn (art. 3:40 BW). Maar dat levert volgens mij alleen op dat de klant de verzekeraar niet kan dwingen te betalen (een dergelijke verbintenis is immers nietig) of dat de verzekeraar het geld als onverschuldigd betaald kan terugvorderen bij de ransomware-verspreider (en dat heeft geen betekenis). Ik ken geen artikel uit het wetboek van strafrecht dat je tegen zo’n betalende verzekeraar in kunt zetten. Waarschijnlijk is het nooit verboden omdat niemand er aan gedacht heeft dat dit grootschalig een ding kon worden – bij traditionele gijzelingen is de politie er meestal bij betrokken, en die kan dan bepalen wat wijsheid is.

Arnoud

Legal tech laten werken gaat vooral om verandermanagement #legaltechtuesday

Geplaatst op in Innovatie, 2 reacties

Legal tech, ik schrijf er het hele jaar al over. Technologie die de juridische sector gaat veranderen. Niet alleen maar efficiënter werken, maar op een heel nieuwe manier werken. Het maakt bijvoorbeeld nogal wat uit of je sneller in je standaardcontract kunt werken, of dat je standaardcontract gewoon staat met twee klikken en je daarna tijd over hebt voor het échte aanpaswerk in dat contract. En de grap is: dat enorme voordeel, die belofte van legal tech, is meteen ook de grootste zwakte. Want je vraagt dan aan mensen om hun werk anders te doen.

Ja, dan heb ik het over verandermanagement. Een van de taaiste onderwerpen binnen bedrijven. Je kunt nog zo veel mooie shiny tools het bedrijf binnenrijden, als mensen er niet aan willen omdat ze hun oude hulpmiddelen zo prettig vinden, dan gebeurt het niet. Dan blijft dat nieuwe ding aan de kant staan stof te happen. In menig organisatie is ooit een prachtig customer relationship management-tool ingevoerd, waar weliswaar de basisgegevens staan maar alle échte informatie zit in een Excelsheet, Outlookpagina of achterhoofd van de medewerkers. Dat werkt namelijk al 20 jaar prima, en die nieuwe tool kost echt even veel tijd en moeite. Idem voor legal tech tools die bijvoorbeeld contracten genereren met een vragenlijst; leuk ding maar menig collega pakt toch even dat Word document van de vorige keer.

Ergens is dat raar. Je zou zeggen, als de hoogste baas zegt, dit gaan we nu doen met tool X, dan gaat iedereen dat doen. Instructie van de werkgever is wet, nietwaar? Maar helaas voor vele gefrustreerde werkgevers werkt het niet zo, zeker niet met tools voor het dagelijks werk. Mensen zijn gewend aan een manier van werken, en verwachten dat de nieuwe tool dat ook doet. Dat is natuurlijk niet zo, dus dat roept frustratie op. Wordt die niet opgepakt, dan grijpen mensen terug naar de oude manier van werken. En als je dáár dan niet hard op wordt afgerekend, dan is er natuurlijk geen reden om veranderen meer.

Specifiek in de juridische sector speelt er nog een extra factor. Wij juristen en advocaten zijn gespitst op het leveren van de hoogste kwaliteit, en vooral op het uitsluiten van risico’s. We kunnen die risico’s ook met de meest bloemrijke taal in de zwaarste akkoorden aanzetten, dat is immers ons werk. Dat maakt het extra lastig om nieuwe tools in deze sector te introduceren, want je moet dan al die risico’s adresseren om überhaupt het ding over de drempel te krijgen. En daarnaast moet je het wantrouwen wegnemen of die tool wel net zo goed werkt als de oude manier van werken.

Neem documentgeneratie (iets waar mijn eigen bedrijf tools voor levert). We willen graag het beste contract neerzetten, ook als het een ‘simpele’ standaardklus is – er is immers geen simpele klus, er zijn alleen verdacht eenvoudige situaties en cliënten die ondoordacht een businessdeal sluiten. Dat contract moet dus gewoon goed. Starten vanuit een model is prima, maar staat er wel in wat ik vind dat nodig is? Worden de risico’s waar ik op stuur, wel geadresseerd in deze tool? Als ik daar geen zekerheid voor kan krijgen, of net zo lang bezig ben dat te controleren, dan doe ik het wel gewoon ouderwets met het vorige contract waar ik de namen uit aanpas.

Hier doorheen breken is buitengewoon moeilijk. Nog los van de tijd die je nodig hebt om mensen de nieuwe tool te leren – allereerst moet de wil er zijn de nieuwe tool te leren kennen. En die wil komt er niet enkel omdat de nieuwe tool er is en “legal tech” heet of met een robot in toga wordt gepromoot. Daar is meer voor nodig; overtuigingskracht en inzicht, vertrouwen dat dat nieuwe systeem echt minstens zo goed is als het oude. En als dat niet werkt, ook negatieve prikkels. Maar ja, welk kantoor durft écht Word eruit te gooien om zo de advocaten te dwingen naar de nieuwe omgeving?

Arnoud

Mag Sonos een speaker in recycle oftewel deurstoppermodus zetten?

Geplaatst op in Informatiemaatschappij, Ondernemingsvrijheid, 12 reacties

Sonos’s “recycle mode” intentionally bricks good devices so they can’t be reused. Dat twitterde Ralph waldo cybersyn onlangs. Alle mooie woorden over sustainability en minimale impact op het milieu ten spijt blijkt de maker van de slimme netwerkmuziekspelers apparaten in de “recycle mode” gewoon keihard onbruikbaar te maken en weg te gooien. Dat gaf de nodige ophef; een tweedehands Sonos kan al snel voor €250 worden doorverkocht, en nu worden ze hooguit voor onderdelen gesloopt en verkocht. Kan een bedrijf dat maken?

De “recycle mode” is een vereiste uit het Trade Up-programma van Sonos. Je kunt je oude apparatuur inruilen voor nieuwe, met meer functionaliteit. Je krijgt dan 30% korting maar moet je oude apparaten inleveren. En dat doet Sonos digitaal: het apparaat gaat in de recycle modus, en schakelt zichzelf dan keihard uit. Het apparaat werkt niet meer, en als je het toch weer werkend krijgt met bijvoorbeeld een factory reset dan zullen de servers van Sonos niet toestaan dat het ooit op een Sonos netwerk aangesloten kan worden, want het serienummer komt op een zwarte lijst.

De reden is natuurlijk simpel: Sonos wil dat je je oude apparaat inruilt, en wie het oude apparaat nog bruikbaar overhoudt kan het dan tweedehands verkopen. Daar ga je dan met je inruilkorting – en met het eigenlijke doel, het elimineren van oude meuk die maar steeds zorgt voor compatibiliteitsproblemen. Want dat oude apparaat is dan nog steeds op de markt. Met de recycle mode is doorverkopen onmogelijk, alleen extraheren van onderdelen en zo is nog mogelijk. Of gewoon op de vuilnisbelt gooien van die spullen, wat Sonos kennelijk doet als je het apparaat naar hen opstuurt (een optie in dat Trade Up programma).

In Amerika kan ik niets vinden, maar in Europa hebben we al een tijd regels over afgedankte apparatuur, die mikt op het verminderen van de hoeveelheid afval uit deze productgroep. Producenten en importeurs van elektrische en elektronische apparatuur moeten een inzamelsysteem opzetten dat het consumenten mogelijk maakt om de afgedankte apparatuur in te leveren voor verwerking. Wat dus wil zeggen, netjes slopen en hergebruiken van onderdelen, metalen enzovoorts. Maar niets over het tweedehands verkoopbaar houden van op zich nog goede maar afgedankte materialen. En dat is dus niet wettelijk verplicht.

Voor zover ik kan zien, mag Sonos dit dus doen. Mits ze – in Europa – de ingeleverde Sonos (Soni?) maar netjes uit elkaar laten halen. En dat voelt best wrang, want die apparaten doen het nog prima. Daar is een woord voor: planned obsolescence, geplande veroudering. Dat wil zeggen dat je een systeem ontwerpt met slijtage ingebouwd, terwijl dat eigenlijk helemaal niet hoeft. Dat is dit niet helemaal, je hóeft je oude apparaat niet in te ruilen, maar het lijkt er genoeg op om het toch een rare move te vinden.

Arnoud

Het probleem met die (te?) strenge uitleg van het legitiem belang door de AP

Geplaatst op in Informatiemaatschappij, 22 reacties

De Autoriteit Persoonsgegevens is te streng met de uitleg van de privacywetgeving AVG, zo vinden juristen en datahandelaren, las ik bij Security.nl (dat zich weer op het FD baseerde). Aanleiding is een vorige maand gepubliceerde normuitleg waarin de toezichthouder stelt dat ‘zuiver commerciële belangen’ en ‘winstmaximalisatie’ geen reden zijn om persoonsgegevens te verwerken. Dat is tegen het zere been van menig organisatie die drijft op die grondslag, omdat je nu eenmaal niet voor alles toestemming wilt vragen en ook geen contract met die mensen hebt. Dus wat moet je dan. Maar tegelijkertijd klinkt het wel lekker stoer, een zuiver winstoogmerk kan toch geen reden zijn om de privacy te schenden? Maar het ligt wat subtieler.

De normuitleg is een soort richtsnoer van de AP: zo zien wij deze term uit de AVG, en als jij deze interpretatie volgt dan kan er weinig mis zijn met de onderbouwing van je verwerking. (Je hébt toch een onderbouwing op papier van elke verwerking, nietwaar? Anders zit je sowieso fout, ook als het legaal is wat je doet.) De discussie begon met een volgens mij zijdelingse tussenwerping van de AP:

Wat ook niet als een gerechtvaardigd belang kwalificeert, is bijvoorbeeld: het enkel dienen van zuiver commerciële belangen, winstmaximalisatie, het zonder gerechtvaardigd belang volgen van het gedrag van werknemers of het (koop)gedrag van (potentiële) klanten, etc.

Ik denk dat het probleem hier is dat de discussie over het legitiem belang eigenlijk een drietrapsraket is, en dat vaak de eerste trap en de uitkomst met elkaar verward worden. Beiden heten namelijk “legitiem belang” in de wandelgangen.

Bij de analyse (die je dus vooraf op papier doet, ik blijf het maar even zeggen) van je legitiem belang – dus de uitkomst – bepaal je allereerst wat jouw reden, jouw belang is om die persoonsgegevens te willen verwerken. Daarna kijk je als tweede welke privacybelangen van de betrokken mensen daarmee in het gedrang komen, en als derde verzin je maatregelen om die privacybelangen te beschermen en/of de inbreuk daarop te beperken. Kom je er niet uit bij stap 3, of merk je bij stap 2 dat je wel héél diep op mensen hun privacy in gaat, dan krijg je de analyse dus niet rond en dan mag het niet.

Waar het hier misgaat, is dat die opmerking van “het dienen van zuiver commercieel belangen” volgens mij bedoeld is om te zeggen dat je niet “ja ik wil geld verdienen dus dit heb ik gewoon nodig” kunt gebruiken als analyse, als conclusie. Maar als je de analyse doet, dan kom je bij stap 1 tot de conclusie dat een commercieel belang wél mogelijk is als je reden, als je belang. Ondernemersvrijheid is een grondrecht namelijk, net als de andere grondrechten (vrijheid van meningsuiting, kunst, bescherming van je eigendom bijvoorbeeld) die de AP een alinea eerder noemt.

Het was dus handiger geweest als hier iets had gestaan van “In theorie is ook het dienen van zuiver commerciële belangen mogelijk als een legitiem belang, zij het dat de privacyinbreuk (stap 2) dan zeer gering moet zijn en al het mogelijke (stap 3) moet worden gedaan om die inbreuk te beperken”. Nu krijgen we dus spraakverwarring of de AP de conclusie verbiedt dat een commercieel belang de grondslag kan dragen, of meteen zegt dat je bij stap 1 af bent – en dus het grondrecht van ondernemersvrijheid ontkent. Dat laatste lijkt me niet helemaal juist en creëert dus ruis in de discussie. Jammer.

Arnoud

Als je OSS in het onderwijs wilt, moet je er een SLA bij verkopen

Geplaatst op in Ondernemingsvrijheid, 12 reacties

Tijd om een grens te trekken, stellen de rectores magnifici van de Nederlandse universiteiten. Die oproep in de Volkskrant van eind vorig jaar betrof de steeds grotere inzet van commerciële platformdiensten voor onderwijsdoeleinden, van plagiaatcontrole tot learning management systems, die dan lekker goedkoop en handig zijn maar wel ondertussen data van leerlingen of studenten verzamelen. Dat is immers het verdienmodel achter zo’n dienst. Wat onder meer leidde tot verbaasde reacties uit e-learningland: er zijn toch genoeg open source alternatieven? Maar die komen er niet, en dat is omdat er geen SLA is.

OSS klinkt als een heel mooi uitgangspunt. Kwaliteit, direct beschikbaar, geen verplichte winkelnering bij een licentiegever en natuurlijk ook nog gratis. Helaas is voor veel instellingen het inzetten van OSS onnodig ingewikkeld. Volgens mij omdat het niet ‘past’ in het denkpatroon van inkopen: er is een community, geen leverancier. Dus waar haal je de SLA, wie stel je aansprakelijk?

OSS drijft op de gedachte van communities. Iedereen helpt elkaar, en daar kan iedereen dus terecht. Natuurlijk kun je prima met een community werken, maar veel organisaties sturen op zekerheid, en die krijg je met een contract. Denkt men. Dus geen contract, dan kan het niet goed zijn. Ook al is je community nog zo supportive. En natuurlijk, tegen de tijd dat men ontdekt dat de leverancier hele zwakke SLA’s biedt tegen een veel hogere prijs (TCO, niet slechts licentiekosten) dan zit men al zo ver in het proces dat alsnog OSS inzetten niet meer im frage is.

Ik zie helaas OSS gemeenschappen hier zelden tot nooit goed mee omgaan. Kwaliteit is één ding, maar het commerciële inkoopkanaal bedienen iets heel anders. OSS stichtingen zouden er goed aan doen commerciële supportcontracten aan te bieden. Hoeft niet duur te zijn, maar het kunnen betalen van geld maakt dat je in de picture komt bij inkoopafdelingen. (En oh ja, dat betalen gaat dan via purchase orders en bankoverschrijving. Creditcards en Paypal zijn onmogelijke dingen bij grotere bedrijven.)

De discussie gaat dan vervolgens over aansprakelijkheid en oplostijden. Juristen dienen die soep heel heet op, in de praktijk valt dat vaak reuze mee als de bug snel opgepakt wordt – en dat is precies waar OSS sterk in is. Plus, juridisch gezien is een zachte SLA met een lage prijs eigenlijk hetzelfde als weinig aansprakelijkheid: je hebt weinig verantwoordelijkheid op je genomen (zie bijvoorbeeld deze recente case waarbij de rechter de SLA gewoon lekker zacht interpreteerde).

Daarnaast, als er weinig geld bij je te halen is, waarom zou een bedrijf dan gigaclaims gaan doen (als die al onderbouwd kunnen worden, het is nog altijd Nederland hier)? Schiet zakelijk niet op. (Ik ben de ST:TNG aflevering even kwijt waarin Picard de autodestruct als negotiating tactic inzette.)

Maar goed, het punt is: als je als OSS project in het bedrijfsleven (of onderwijs) aan wil slaan, zorg dat je in te kopen bent. Met purchase orders en SLA’s. Prima als die soft zijn, en je hoeft niet duur te zijn (maar dat helpt vaak wel) maar regel dat bureaucratisch kanaal. Ik ben het onmiddellijk met je eens dat dit zinloze bureaucratie is, zeker als het gewoon een turnkey SaaS oplossing is. Maar bureaucratie heeft zijn eigen leven in organisaties, en daar omheen willen gaan geeft je Interessante Tijden maar weinig garantie op succes.

En voor de OSS LMS’en dus de les: wees inkoopbaar. Heb SLA’s. Compliance documenten. DPIA’s. DPA’s. Iemand die RFP formulieren invult. En natuurlijk een prijs voor dat alles. (En dat mag, ook als stichting; je mag winst maken maar alleen die niet aan je bestuur uitkeren.)

Arnoud

Wanneer steel je iets bij een zelfscansupermarkt?

Geplaatst op in Ondernemingsvrijheid, 45 reacties

Een lezer vroeg me:

Ik vroeg me zo af, nu winkelketens zoals de AH inzetten op zelfstandig scannen en afrekenen, wat doet dat met de aansprakelijkheid? Een vergissing van de kassa medewerker in uw voordeel (of nadeel) lijkt mij opeens heel anders te liggen wanneer je het zelf doet.

Dit is ingewikkelder dan je denkt; menig juristenborrel werd ongezellig omdat deze discussie langskwam. De onderliggende vraag is namelijk wanneer je iets koopt in de supermarkt en hoe je dat vaststelt – en in hoeverre de objectieve vaststelbaarheid relevant is bij de vraag of je iets koopt.

Je koopt iets wanneer je het aanbod van een product aanvaardt. Dat moet blijken uit een of andere handeling die (mede) gericht is op het juridisch willen sluiten van een koop. Een ding bij de kassa neerleggen en zeggen “deze graag” is volgens mij genoeg. Maar je kunt ook zeggen, op het moment dat je het product in je mandje legt dan wil je het al hebben (en ben je bereid te betalen, zo mogen we redelijkerwijs veronderstellen) dus dan heb je het dán al gekocht.

Ook mogelijk is dat je zegt, pas als je afrekent koop je het echt, want tot dat moment is het doodnormaal je te bedenken in de supermarkt. En de gewoonte in een branche weegt mee bij de vraag of je een rechtshandeling verricht. (Normaal is niet vereist dat je betaalt om een koop te sluiten, juridisch gezien; betaling is een verplichting die ontstaat door het sluiten van de overeenkomst.)

Als je als bezoeker van de supermarkt zelf een product scant en daarna afrekent op basis van wat je gescand hebt, dan lijkt het meest logische moment om het moment van scannen aan te wijzen als het moment dat je dat product koopt. Die scan is vrij expliciet bedoeld als “dit wil ik hebben”, en de algemene voorwaarden die je gedachteloos wegklikt zeggen dat ook. Maar je creëert weer een nieuw probleem dan: mag je dan dingen achteraf weer terugleggen, of is dat een ontbinding waar je instemming van de supermarkt voor nodig hebt? Ik zou zelf dan ook het moment van afrekenen (dus de scanner bij de kassa houden en het afrekenproces doorlopen) logischer vinden.

Wanneer steel je dan? Dat doe je op het moment dat je je een product toeëigent zonder dat dat mag (“wederrechtelijk”) met de bedoeling het te houden. Dat zou je bijvoorbeeld doen als je het in een geprepareerde tas doet of stiekem in je jaszak, omdat je dan duidelijk van plan bent naar buiten te lopen met dat product zonder te betalen. Of omdat je even geen mandje had, en daarna verstrooid naar buiten loopt. Inderdaad, dan steel je niet maar het lijkt wel zo. Dat noemen strafrechtjuristen de discussie over opzet, was je het van plan of had je in ieder geval de aanmerkelijke kans aanvaard dat je straks lekker buiten stond met een niet-betaald product?

Dat laatste stond centraal in een rechtszaak uit 2015 over een persoon die een deel van de inhoud van zijn winkelwagentje niet had gescand met de zelfscanner. Volgens het OM was dat diefstal, ook als het niet volledig opzettelijk was. Als het slordigheid was, dan was het zó slordig dat we het toch opzet noemen – voorwaardelijke opzet:

Het standpunt van de officier van justitie komt er op neer dat het feit dat verdachte wist hoe het scanapparaat werkt en dat de weggenomen goederen voor meer dan de helft van de waarde ervan niet waren afgerekend, maakt dat verdachte bewust de aanmerkelijke kans heeft aanvaard dat hij deze goederen heeft weggenomen met het oogmerk om zich die wederrechtelijk toe te eigenen.

De rechtbank zag echter nog een ander probleem:

In de aangifte namens Albert Heijn wordt niet verklaard dat is gezien wie tijdens het boodschappen doen het scanapparaat heeft bediend. Verdachte en zijn dochter, die samen boodschappen aan het doen waren, hebben beiden verklaard dat de dochter van verdachte het scanapparaat heeft bediend, nadat verdachte de producten had gepakt. Verdachte heeft daarnaast echter nog verklaard dat hij ook zelf producten heeft gescand. De bewijsmiddelen sluiten derhalve niet uit dat de dochter van verdachte een deel van de in de boodschappenkar gelegde producten ten onrechte niet heeft gescand. … Nu niet kan worden vastgesteld welk deel van de boodschappen ten onrechte door verdachte niet is gescand, kan niet wettig en overtuigend worden bewezen dat verdachte heeft gehandeld met het oogmerk van wederrechtelijke toe-eigening.

Op de achtergrond woog hierbij mee dat de supermarkt de administratieve last van wat je wel en niet wil kopen, volledig bij de klant legt. “Indien door de klanten al dan niet opzettelijk fouten worden gemaakt lopen zij het risico om strafrechtelijk aangesproken te worden”, en ik proef daaruit dat de rechter dat wel een beetje stevig vond als consequentie van een stukje gemak dat de supermarkt aanbiedt. Zó makkelijk gaat dat niet.

Arnoud

Kan ik nu eindelijk mijn personeel MDM software opdringen?

Geplaatst op in Ondernemingsvrijheid, Privacy, 21 reacties

Een lezer vroeg me:

Ik las je blog van maandag over een boete bij een bedrijf omdat personeel WhatsApp-chats wiste. Dat lijkt me het perfecte argument om alle werknemers gewoon mobile phone beheersoftware (MDM) op te leggen, ook op hun privételefoon. Als je als werkgever zúlke schade kunt oplopen door gewiste gesprekken, dan is je belang toch evident? Of zit de AVG hier ook weer tegen in de weg?

Recent werd een bedrijf beboet door de ACM wegens het wissen van bewijs tijdens een inval op verdenking van kartelvorming. Dat bewijs bestond uit WhatsApp-chats en lidmaatschap van zekere groepen, en het wissen kon gebeuren doordat medewerkers snel dit hun telefoon konden regelen en er geen centrale logs of backups waren van die gegevens.

Mobile Device Management of MDM is een algemene naam voor software waarmee bedrijven centraal beheer uitoefenen op telefoons (en andere mobiele apparaten) van medewerkers. De bekendste MDM feature is het wissen op afstand bij diefstal van de telefoon, maar er is veel meer mogelijk. Onder meer het centraal bewaren van backups van bijvoorbeeld chats, of het blokkeren van bepaalde applicaties: je zou WhatsApp kunnen weren en uitsluitend Telegram afdwingen als chatapplicatie, waarbij je de logs dan op andere wijze bewaart.

Het ‘probleem’ met MDM begint wanneer men dit wil opleggen aan privételefoons die werknemers meenemen, meestal omdat die als “bring your own device” apparaat worden ingezet. De zakelijke logica is eenvoudig: je wilt de zakelijke data en belangen beschermen, dus moet er beheersoftware op. Maar die software kan ook bij privézaken (de spreekwoordelijke foto’s op zaterdag of chats met de partner) en niet ieder personeelslid heeft daar dus trek in.

Dat MDM veel vervelends kan voorkomen, zoals bij bovenstaand bedrijf, is daarbij niet echt een argument vrees ik. Het blijft een feit dat je op iemands privételefoon toegang hebt tot alle data. Dat kun je alleen verantwoorden als je duidelijk en aantoonbaar rekening houdt met de privacy van je personeel, bijvoorbeeld met helder beleid wie wanneer welke data uitleest, hoe dat veilig wordt gelogd en hoe dat wordt gemeld en uitgelegd aan het personeel. Als dat soort zekerheid er zijn, dan pas ga je praten over waarom het eigenlijk nodig is.

Arnoud

Voor de laatste keer: de openbare weg filmen met je securitycamera mag als dat nodig is

Geplaatst op in Privacy, Uitingsvrijheid, 11 reacties

De hoeveelheid beveiligingscamera’s in Nederland groeit gestaag, vooral ook onder particulieren. Dat meldde Nu.nl, dat er meteen aan toevoegde dat hier een privacyrisico aan zit: zo’n 86,6 procent van de 211.308 camera’s van particulieren en bedrijven is deels op de openbare weg gericht. De cijfers zijn van VPNGids, dat via de Wob deze informatie van de politie loskreeg. De AP laat in een reactie weten dat ze “risicogericht” handhaven, wat ik lees als dat men niet actief optreedt tegen cameratoezicht. Wel staat er dan het ergerlijke “het mag alleen als”, wat neerkomt op “het mag eigenlijk niet”. Ik vind dat ergerlijk want het mag eigenlijk wel, mits. En dat is héél wat anders dan, het mag in principe niet.

Natuurlijk, de AVG is van toepassing als je met een aangebrachte camera de openbare weg filmt. Met een voor mij volkomen onnavolgbare uitspraak heeft het Hof van Justitie dat bepaald. De motivatie was namelijk dat je dan “buiten de privésfeer geraakt van degene die door middel van dit systeem gegevens verwerkt”. Oftewel het is niet privé omdat het niet privé is. Maar ik ga er maar vanuit dat ze bedoelen dat je wel heel erg buiten de privésfeer komt omdat de openbare weg, eh openbaar is. Maar goed.

De AVG zegt dat dingen mogen als je daar een grondslag (artikel 6) voor hebt en bovendien binnen de randjes van zorgvuldigheid, minimalisatie en dergelijke (de beginselen, artikel 5) opereert. Dit is altijd iets om uit te zoeken, en mede omdat die wet zo generiek geschreven is, is er een beeld ontstaan dat er niets mag, tenzij je dat hele moeilijke verhaal rondkrijgt. Oftewel, het mag in principe niet.

Dit maakt het leven best ingewikkeld, zeker als je bedenkt dat filmen van dingen om je heen óók een grondrecht is – de vrije informatiegaring, de parallel van de uitingsvrijheid (artikel 10 EVRM). En grondrechten mogen tenzij – tenzij de wet regelt wanneer daar een grens aan is. Denk aan het betreden van privéterrein om informatie te vergaren, het overtreden van een auteursrecht om een kopie te maken, enzovoorts. Filmen van de openbare weg valt onder die vrije informatiegaring en mag dus, tenzij ergens specifiek staat of en tot hoeverre het niet mag.

De AVG stelt dus (strenge, bureaucratische) regels, maar ik lees daar niet in dat het dus niet mag. Het mag als je die papierwinkel invult. En meer inhoudelijk: als je de beveiligingsnoodzaak rond krijgt. Als het voor jouw oogmerk van beveiliging nodig is dat je de weg filmt, dan is dat prima. De vraag is dan wat die noodzaak is – dat is niet hetzelfde als “dan hoef ik niet in de settings te spelen met privacymaskers” of “leek me leuk om ook te zien welke auto’s langsrijden”. Een inhoudelijk argument dat voor mij genoeg is, is dat je de criminelen die jou gaan lastigvallen, in het gezicht wil filmen vóórdat ze binnen zijn. Denk aan een juwelier die ramkraken vreest, een camera gericht op de weg filmt de daders terwijl ze nog niet de pui hebben geraakt. Iemand die vuilnis in je tuin gooit, wil je ook filmen terwijl hij op de weg loopt – die persoon kómt niet eens in je tuin.

Iets formeler heet dit het probleem van botsende grondrechten: het ene grondrecht uitoefenen loopt over het andere heen, welke wint er dan. Daar is geen onderlinge rangorde bij, het is zoals dat heet altijd een afweging van omstandigheden van het geval. Maar daaruit concludeer ik ook dat je dus niet mag zeggen, de privacy wint tenzij de informatievrijheid nu kan onderbouwen waarom het wel zou mogen.

Meer algemeen krijg ik de laatste tijd het gevoel dat mensen wel érg makkelijk enkel in de AVG kijken en concluderen dat het niet mag, daarbij de uitingsvrijheid of informatievrijheid uit het oog verliezend. Dat moet eens ophouden.

Arnoud

Is artificial intelligence niet vooral een hype? #legaltechtuesday

Geplaatst op in Innovatie, 6 reacties

Zo’n veertig procent van de bedrijven in Europa die claimt AI in te zetten, doet dat niet daadwerkelijk. Dat maak ik op uit onderzoek van de Londense investeringsmaatschappij MMC, dat 2.830 AI startups in 13 EU landen onderzocht voor die conclusie. Daar moet wel worden bijgezegd dat het label “AI firma” vaak door anderen aan een bedrijf wordt toegeschreven, maar de vraag wordt desondanks legitiem: hoe reëel is het om te zeggen dat je met AI werkt, wanneer ben je een AI bedrijf dan? Is het niet vooral een hype?

De term artificial intelligence of AI dateert uit de jaren vijftig maar heeft nooit een formele definitie gekregen. De beste vind ik zelf “dat wat de computer bijna kan”, maar bekender is de Turing Test: als je de reactie van een computer niet van die van een mens kunt onderscheiden, dan kunnen we de computer ‘intelligent’ noemen. AI’s werken daarbij wel wezenlijk anders dan mensen. In de woorden van computerwetenschapper Edsger Dijkstra: “The question of whether machines can think, is about as relevant as the question of whether submarines can swim”. De vraag is dus hoe relevant het is om een computer intelligent te noemen.

Machines kunnen teksten analyseren, data minen en correlaties aanwijzen. Die kunnen relevant zijn om beslissingen te nemen, maar het proces dat je dan volgt is onvergelijkbaar met de traditionele werkwijze. Een AI zou bijvoorbeeld bij een rechtszaak precedenten zoeken en concluderen dat in 90% van de gevallen deze zaak verloren wordt, maar drijft dan puur op statistische vergelijkbaarheid. Een mens zou andere factoren zien, zoals hoe gevoelig het onderwerp tegenwoordig ligt, de verhouding van partijen en ga zo maar door.

In de praktijk vandaag de dag is AI vooral een kwestie van machine learning. Door grote hoeveelheden data door te ploegen, leert een systeem verbanden leggen zoals welke vragen bij welke antwoorden horen, welke producten samen gaan of wanneer je een bepaalde input ‘frauduleus’ of ‘verdacht’ of ‘interessant’ noemt. Daar genereert het systeem dan formules bij, die worden losgelaten op nieuwe input om zo zonder menselijke tussenkomst nieuwe output te kunnen leveren.

Vandaag de dag ontkom je nauwelijks aan AI: bedrijven zetten chatbots in die zelfstandig gesprekken kunnen voeren, dossiers worden met AI gescand op rare issues of ongebruikelijke situaties, fraudedetectie gebeurt zelden meer handmatig en ga zo maar door. En natuurlijk staat het groots gebruik van AI net om de hoek – de computer kan al bijna zelfstandig boeken schrijven, films componeren, een dagvaarding opstellen of een patiënt onderzoeken. Dat is waarom het een hype genoemd wordt: als een nieuwe technologie al bijna alles gaat kunnen, dan is dat een teken dat kritisch kijken naar die technologie te weinig aandacht krijgt.

Het MMC onderzoek constateert terecht dat het vaak gaat om overdreven inzet van de term AI. Een chatbot die een basaal gesprek kan voeren (“Hoi, ik ben Billy van Bol.com, waarmee kan ik je helpen?”) is gebaseerd op AI technologie, net als fraudedetectie waarbij nieuwe orders worden vergeleken met heel veel eerdere. Heel erg nieuw is dat niet, zowel chatbots als fraudesignalering bestaan al behoorlijk lang. Het is natuurlijk nieuw in zoverre dat er vroeger veel meer met harde regels werd gewerkt en nu veel meer statistiekgedreven is. Kunnen werken met statistische regels op basis van grote hoeveelheden data en daar heel goed passende formules bij verzinnen is wel degelijk nieuw in technologische zin.

Ook in de juridische wereld zien we dit steeds vaker. Een systeem dat teksten kan herkennen als standaardclausules is innovatief en kan de advocaat ontlasten in een contractsreview. Een analyse van vonnissen om zo nuttige of achterhaalde argumenten te achterhalen – of de keuze voor de gunstigste rechtbank te voorspellen – kan veel toevoegen aan de kansen voor een zaak. Zo’n analyse kan heel slim overkomen en verrassend voelen voor de praktijkjurist. Maar om dan te zeggen dat zo’n systeem ‘intelligent’ is, of dat men een AI-gedreven uitspraakvoorspeller heeft, gaat natuurlijk wel ver. Dat is waar de term ‘hype’ begint.

AI is dus in zoverre géén hype dat het wel degelijk op een nieuwe manier werkt, om op basis van data regels of formules te verzinnen en die vervolgens toe te passen in de praktijk. Maar het toepassingsgebied is vaak zodanig specifiek of klein dat het nogal overdreven en dus hyperig voelt om een bedrijf AI-gedreven te noemen. Bol.com is geen door zelfdenkende robots gedreven boekwinkel, men zet een handige chatdienst in die op een slimme manier veel voorkomende vragen kan herkennen en antwoorden daarop kan geven. Dat is innovatief en handig maar heel wat anders dan wat we ons voorstellen bij AI.

Arnoud