Hongarije geeft Facebook miljoenenboete voor pretenderen gratis te zijn

Geplaatst op in Ondernemingsvrijheid, 7 reacties

De Hongaarse concurrentiewaakhond Hungarian Competition Authority heeft een boete uitgedeeld aan Facebook voor het pretenderen een gratis dienst te zijn. Dat las ik bij Nu.nl. De boete bedraagt ruim 3,5 miljoen euro en is gebaseerd op het idee dat je betaalt met je persoonsgegevens, als ik de bron Bloomberg goed begrijp (mijn Hongaars is wat minder). Gebruikers zouden door de term ‘gratis’ misleid zijn; ze gaven immers gegevens van enige financiële waarde aan het bedrijf – ook gaat het om hooguit 50 cent per gebruiker. Maar ik vind dit een vervelend precedent.

Menig scriptie over social media en persoonsgegevens opent met de bekende quote dat als je niet betaalt, je niet de klant bent maar het product (de werkelijke quote). Want ja, het geld moet toch ergens vandaan komen. Dat is een wat defaitistische blik; op Facebook ben je niets, behalve een soort halffabrikaat dat als een dikke worst aan adverteerders wordt voorgeschoteld.

Het idee dat je betaalt met je persoonsgegevens klinkt dan iets positiever. Je maakt een keuze met welke tegenprestatie jij de dienstverlener compenseert voor het harde werk. En dat mag, juridisch gezien. Er zijn meer overeenkomsten mogelijk dan enkel de koop, en binnen de koop is betaling in natura (niet lachen daar achterin) zeker een optie.

Het enige is, dan heb je dus wel de aanname gedaan dat persoonsgegevens objecten zijn die een geldswaarde vertegenwoordigen. Vermogensrechten, zeg je dan. En dat haakt in op de recente discussie over persoonsgegevens als object van eigendom. Ik heb er dus moeite mee om dezelfde redenen:

Verder is eigendom natuurlijk iets dat je kunt verhandelen. Vanuit dat perspectief wordt je positie zelfs zwakker dan nu: de AVG geeft je sterke zeggenschap over je persoonsgegevens, en die blijven altijd bestaan. Zou je de eigendomsrechten op je persoonsgegevens verhandelen (artikel 23.7 in de Facebook TOS) dan kun je daarna dus helemaal niets meer vinden over wat dat bedrijf ermee doet.

In deze context: als je zegt dat je betaalt met persoonsgegevens, dan moet je daarna niet meer zeuren dat men dingen doet met die gegevens. Die heb je immers zelf afgestaan, als wederprestatie voor een afgenomen dienst. En dat is precies dezelfde puur economische visie, die niet past bij de omgang met persoonsgegevens. Het gaat bij dat recht om zelfbeschikking en expressie, jezelf kunnen zijn. Als je dat tot een prijs verklaart, dan devalueer (haha) je dat hele principe. Dan is privacy en dingen geheim kunnen houden gewoon een stukje handelswaar, in plaats van onderdeel van je menselijke waardigheid.

Dus nee, ik ben het er niet mee eens. Facebook is gratis. Ze besnuffelen en bespioneren je, en dat tolereren we tot op zekere hoogte omdat ze als onderneming nou eenmaal ook grondrechten hebben. Maar inbreuken op iemands grondrechten tolereren is niet hetzelfde als betalen.

Arnoud

Wie met verwerkersovereenkomsten smijt, snapt niets van de AVG

Geplaatst op in Privacy, 7 reacties

Het is mijn verjaardag en dan mag ik even wat korter door de bocht dan normaal zijn: wie met verwerkersovereenkomsten gooit, snapt niets van de AVG. Een beetje een standaardverhaal opdringen aan je leveranciers, gewoon omdat het voor de compliance moet en zonder enige overweging wat je nu echt aan het afspreken bent. Kom nou toch.

De verwerkersovereenkomst is een raar ding in contractenland, en niet alleen omdat ‘ie de verkeerde naam heeft (huurderscontract? arbeidersovereenkomst? hypotheekgeverscontract?). De voornaamste reden is dat hij vrijwel altijd verkeerd wordt ingezet en ondertussen een heel onderhandelproces ernstig kan frustreren of zelfs tegenwerken. Daarom roep ik al tijden dat we ermee moeten stoppen. Maar ja, het moet van de AVG hè, dat document.

Eh, nee. Als je de AVG er bij pakt dan zie je dat je inderdaad verplicht bent bindende afspraken met je verwerkers te maken over wat ze gaan doen en hoe ze daarbij jou moeten helpen AVG compliant te blijven. Dat is ooit (in Wbp-tijd) praktisch uitgewerkt met het instrument van de bewerkersovereenkomst, wat niet zo raar was in een tijd dat er vaak zonder schriftelijk contract (hooguit een offerte, misschien algemene voorwaarden) diensten werden geleverd. Tegenwoordig is dat natuurlijk allang niet meer zo.

Toch blijven veel mensen het ding op tafel leggen als er een dienstcontract moet worden gesloten. Dat is dan meestal “de template” met als je mazzel hebt een bijlage 1 die ongeveer beschrijft wat er gebeurt in de hoofdovereenkomst. Maar de werkelijke verwerkersbepalingen zijn generiek – vrijwel altijd omdat ze de AVG klakkeloos overpennen met wat standaardfrases er omheen.

Daar heb je dus niets aan. De reden is simpel: de AVG eist dat je régelt dat je verwerker zich aan die eisen uit de wet houdt, en dat kan alleen door maatwerkafspraken te maken. Of in ieder geval door concreet te zeggen wát bijvoorbeeld die “adequate beveiliging” is die je keurig overpent uit artikel 32 AVG. Niet door enkel te zeggen dat verwerker zulks garandeert en verwerkingsverantwoordelijke dienaangaande vrijwaart. Dat is jezelf er lui van afmaken, niet willen nagaan wat de verwerker echt doet en denken dat een contractuele aansprakelijkheid of boete achteraf goed genoeg is naar je betrokkenen toe. Nee. Je moet voorkomen dat er dingen misgaat. Dáár zijn die verwerkersafspraken voor.

Dit is waarom ik al een hele tijd pleit voor verwerkersbepalingen in de hoofdovereenkomst. Bevestig dat het security incident protocol ook opgaat bij datalekken. Leg vast dat inzageverzoeken óók door de helpdesk worden opgepakt maar dat mensen geen geld gerekend wordt. En schrijf letterlijk op dat de security policy uit bijlage 3 door partijen als adequaat wordt gezien – met herzieningsprocedure natuurlijk. Durf je dat niet? Dan ga je dus in zee met een verwerker waarvan je niet durft te zeggen of ‘ie adequaat beveiligd is.

En oké, dat kan ook prima als een apart document. Dan houd je dat sausje dat je “een verwerkersovereenkomst” hebt, zodat je in je compliance rapport kunt zeggen dat je met al je verwerkers overeenkomsten hebt. Maar wat je dan dus hebt, is een document dat in elk artikel zegt waar die afspraken staan over inzagerechten, waarom de beveiliging adequaat is enzovoorts. Dan is het eigenlijk een checklist dat je echte contract aan de AVG voldoet, in plaats van een dubbeloptekst met vage frases.

Arnoud
PS: beetje laat, sorry Dick

De redelijkheid is ver te zoeken in die smart contracts #legaltechtuesday

Geplaatst op in Innovatie, 7 reacties

Smart contracts: zelfdenkende software die buiten de greep van één partij automatisch voorwaarden checkt en afgesproken handelingen uitvoert. Daarover schreef ik een paar columns geleden. Het onderwerp blijft tot de verbeelding spreken, want zeg nou zelf wie wil er geen slim contract dat zonder tussenkomst van een advocaat of rechter netjes nagekomen wordt? En het klinkt ook zo logisch, dat je contractuele afspraken niet opschrijft in juridische woordenwolken maar als duidelijke, stap-voor-stap instructies waar een computer gewoon mee aan de gang gaat.

Een smart contract heet ‘smart’ omdat de verbintenissen en de wijze van nakoming niet in gewone taal zijn opgeschreven maar in uitvoerbare instructies. In principe komt dat neer op een heleboel beslisregels. Is de leverdatum bereikt, zet het vermogensrecht dan op naam van ontvanger. Is er een betaling ontvangen, verreken dan eerst de nog verschuldigde rente op oude vorderingen en pas daarna boek je op de openstaande vorderingen zelf. Staat er in het faillissementsregister de naam van de leverancier, zet dan de betaling stop.

Dit klinkt redelijk basaal en dat is het ook. Maar praktisch is het wel, want veel van dit soort afspraken zijn dingen die gewoon automatisch bijgehouden en gecheckt kunnen worden. En het kan bijdragen aan vertrouwen wanneer partijen elkaar niet kennen en elkaar niet voor de rechter kunnen slepen. Als dan het contract, pardon het computerprogramma gewoon doet wat er is afgesproken en niemand kan dat halverwege beïnvloeden of omkopen, dan is zo’n risicovolle transactie misschien toch het ondernemen waard.

Maar zodra je dergelijke basale afspraken overstijgt, wordt het erg ingewikkeld. Je krijgt dan te maken met subjectieve toetsen, en hoe kan een computerprogramma – hoe slim ook – daarop verifiëren? Dat een website opgeleverd is, kun je automatisch nog wel nagaan. Maar of ‘ie mooi is, schrijf daar maar eens een statement voor. Daar kom je niet uit, vrees ik. Dan moet je ‘mooi’ kwantificeren tot objectieve technische eisen en ik weet niet hoe gelukkig je daarvan wordt (kleur A en kleur B verschillen minstens 30 tinten in de Pantone waaier, zoiets?)

Verder is er nog een vrij fundamenteel probleem: de redelijkheid (en billijkheid) is ver te zoeken in smart contracts. Het zijn immers computerprogramma’s, en die staan erom bekend rechtlijnig en compromisloos te opereren. Staat er een fout in, dan wordt die fout netjes uitgevoerd. Dit terwijl een fout in een ‘dom’ contract – stel, een nul vergeten in de verkoopprijs – altijd nog rechtgezet kan worden bij de rechtbank.

Punt is natuurlijk hoe je aantoont dat iets een foutje is. Die vergeten nul krijg je waarschijnlijk nog wel erbij gepraat met de eerdere contractconcepten of het spreekwoordelijke bierviltje. Een verkeerde rechtskeuze die niemand opviel in het proces is alweer wat lastiger recht te trekken. Maar een goed pleidooi kan alsnog de redding bieden.

Een belangrijke factor daarbij voor mij is dat een traditioneel contract (dat klinkt toch mooier dan ‘dom’) opgezet is met uitspraken over de gewenste uitkomst. “A verkoopt aan B het goed C”. Bij smart contracts wordt met programmeertaal gewerkt, en dat betekent instructies die de uitkomst moeten opleveren. Maar daar zit een subtiel verschil tussen. Hoe weet je of een verkeerde instructie fout is, als je niet weet wat de gewenste uitkomst is? Als je zegt, het smart contract is de afspraak, dan is die instructie dus niet fout. Misschien ongewenst, achteraf gezien, maar er staat dat het goed naar X moet dus gaat het naar X.

Een berucht voorbeeld is de zogeheten DAO-hack uit 2016. The DAO is een gedecentraliseerd investeringsvehikel dat opgezet is middels een berg van die slimme contracten, gebruik makend van de Ethereum-blockchainimplementatie. In een van die contracten stond een foutje, althans een onbedoelde feature, waardoor een bijdehantje in staat was om gratis geld te krijgen. Legaal. Hoewel het namelijk evident is dat The DAO dit niet heeft gewild, zijn er geen illegale hacks of dergelijke uitgevoerd. Het stelsel van smart contracts had namelijk een gaatje: iemand die een bepaalde onvoorziene aanvraag indiende en daarna introk, kreeg als een soort afrondingsfoutje meer geld terug dan hij betaald had bij die aanvraag.

Wie dit zou doen bij een papieren contract, zou meteen weten dat dit niet gaat werken. De stap naar de rechter zou waarschijnlijk niet eens nodig zijn. Maar in dit smart contract geval is dat lang zo evident niet. Als je namelijk zegt, de afspraak is wat het smart contract doet, en het smart contract doet iets anders dan jij had beoogd, wat is dan de legale uitkomst? Precies. Ook als dat in strijd met de redelijkheid is.

Het wordt dus tijd die redelijkheid in te gaan bouwen in software. Maar daar moet eerst een nieuwe programmeertaal voor komen vermoed ik.

Arnoud

Nederlandse regering kan providers verplichten netwerkapparatuur te vervangen

Geplaatst op in Regulering, 9 reacties

De Nederlandse regering heeft een Algemene Maatregel van Bestuur gepubliceerd waarmee zij providers kan verplichten bepaalde netwerkapparatuur uit hun netwerk te halen. Dat meldde Tweakers vorige week. De AMvB bevat de bevoegdheid om een bedrijf aan te merken als ‘verdacht’ (zeg maar even) en dus niet gewenst om aan Nederlandse providers apparatuur of dienstverlening te leveren. Dit is volgens mij de eerste keer in telecomland dat er zó specifiek een bevoegdheid wordt gecreëerd om een partij te kunnen weren van de Nederlandse ict-infrastructuurmarkt. Wel moet het dan gaan om “de onderdelen [van de ict] waarvoor geldt dat de leverancier uitgebreide toegang tot gevoelige locaties, gevoelige ict-systemen, vitale infrastructurele installaties of werken krijgt, waarbij misbruik een nationaal veiligheidsrisico kan vormen.”

Al lange tijd gaat het bericht dat het Chinese bedrijf Huawei zou spioneren voor de Chinese overheid. Echt hard bewijs komt daar (natuurlijk) nooit van boven tafel, maar echt uitsluiten kan ook niet. In mei kwam aan het licht dat de AIVD onderzocht welke mate van toegang Huawei had tot gegevens op Nederlandse netwerken, en of dat een bug dan wel een backdoor was. Desondanks blijven de zorgen bestaan, en die worden actueel nu providers bezig gaan met 5G netwerken opzetten.

Begin juli kwamen ministers Grapperhaus Keijzer (Veiligheid/EZ) met een Kamerbrief waarin deze AMvB al werd aangekondigd, als onderdeel van een pakket maatregelen om de veiligheidsrisico’s rond de 5G-netwerken te beperken. Dat was dan weer een reactie op Kamerzorgen over Huawei en haar rol in de 5G-dienstverlening in Nederland. Het is dan ook niet gek dat hoewel deze AMvB keurig neutraal is geformuleerd, iedereen weet dat hij maar één keer ingeroepen gaat worden en tegen welk bedrijf ook nog:

a. [een partij uit] een staat, entiteit of persoon is waarvan bekend is of waarvoor gronden zijn te vermoeden dat deze de intentie heeft een in Nederland aangeboden elektronisch communicatienetwerk of -dienst te misbruiken of uit te laten vallen, of
b.nauwe banden heeft met of onder invloed staat van een staat, entiteit of persoon als bedoeld onder a, of een entiteit of persoon is ten aanzien van wie er gronden zijn om dergelijke banden of invloed te vermoeden.

Bij misbruik valt te denken aan spionage: ongeoorloofde toegang tot communicatiegegevens (zowel verkeersgegevens als inhoud van communicatie). En de toelichting maakt duidelijk dat het moet gaan om een land met een offensief cyberprogramma gericht tegen Nederlandse belangen. En een vermoeden van die banden is bovendien genoeg, omdat het gaat om kritieke onderdelen van belangrijke netwerken.

De stap is opmerkelijk, zo expliciet aansturen op wetgeving om een bedrijf uit te sluiten heb ik nog niet eerder gezien. Maar er is geen ontkomen aan. In een aanbesteding kan een telecomprovider moeilijk zeggen “we willen geen offerte van Huawei”, en zonder wetgeving kan de overheid een partij ook niet dwingen om dat bedrijf te vermijden.

Wel interessant wordt straks het aanwijzingsbesluit. Reken maar dat Huawei meteen naar de rechter stapt om dat aan te vechten; er is immers geen bewijs. En dan wordt de leuke juridische vraag of de overheid het mag houden op “de AIVD heeft staatsgeheime vermoedens”. Ik ben echt serieus benieuwd wat de rechter daarvan gaat zeggen.

Arnoud

Moet je als hostingbedrijf AVG-verzoeken voor klanten honoreren?

Geplaatst op in Ondernemingsvrijheid, Privacy, 25 reacties

Een lezer vroeg me:

Als hostingbedrijf krijgen wij steeds vaker klachten dat een website van een klant ten onrechte persoonsgegevens publiceert of anderszins de AVG overtreedt, bijvoorbeeld door verwijderingsverzoeken te negeren. Zijn wij verplicht hier gehoor aan te geven en zo ja welk niveau van inhoudelijke check moeten wij dan doen?

Sinds de AVG zijn steeds meer mensen zich bewust van hun rechten omtrent persoonsgegevens. Je ziet dan ook vaker en vaker dat men op websites vergeetverzoeken, correctieaanvragen en dergelijke doet. Een site-beheerder moet daaraan meewerken, maar helaas gebeurt dat niet altijd.

We kennen deze problematiek van andere juridische domeinen, zoals het auteursrecht. Je gaat dan hogerop in de keten, en je spreekt de hoster aan. Volgens de gewone regels voor aansprakelijkheid (art. 6:196c BW) moet een hoster ingrijpen als een klant evident (onmiskenbaar) onrechtmatig handelt. De site of publicatie weghalen bijvoorbeeld, of de klant dwingen een correctie door te voeren.

Bij auteursrechtinbreuk is dat relatief simpel: weg die film, weg die muziek. Of er komt discussie, van wie is die foto eigenlijk, en dan is de overtreding niet meer evident. Daar kom je nog wel uit.

Bij privacykwesties is dit een stuk lastiger. Is dit vergeetverzoek terecht of is de informatie nog actueel? Is er toestemming gegeven (en/of niet ingetrokken) of is het beroep op een legitiem belang hier juist? Is dit hergebruik binnen de doelbinding? Daar kom je gewoon niet uit als hostingbedrijf.

Een complicatie is dat veel hosters zich opstellen als verwerkers, oftewel partijen die de informatie uitsluitend in opdracht van de klant online zetten. Dan mógen ze niet eens zelf besluiten om in te grijpen, ook al is de overtreding nog zo evident. Onder de AVG moet een verwerker verzoeken van betrokkenen doorspelen naar de verantwoordelijke (de klant dus) en die het laten afhandelen.

Wel is het zo dat een verwerker verplicht is verwerking te staken als deze evident in strijd is met de AVG. Hij moet dan in discussie met de verantwoordelijke over hoe verder. Effectief komt dat volgens mij op hetzelfde neer: je zegt dan alsnog tegen de klant, volgens mij gaat hier iets mis met deze persoonsgegevens op je site, hoe ga je dat oplossen of haal ik de site/pagina offline? De route is anders maar het resultaat volgens mij gelijk.

Facebook is verplicht post Singaporees nieuwsmedium aan te merken als ‘onjuist’

Geplaatst op in Uitingsvrijheid, 6 reacties

Facebook heeft in Singapore een post aangevuld met de tekst “Facebook is wettelijk verplicht te melden dat de Singaporese overheid stelt dat deze post onjuiste informatie bevat”. Dat meldde Tweakers onlangs. Facebook houdt zich daarmee aan de nieuwe Protection from Online Falsehoods and Manipulation-wet uit Singapore. De melding is dan ook alleen te zien vanaf IP-adressen die aan Singapore verbonden zijn. De wet is volgens Reuters de eerste die voorschrijft dat Facebook een correctie publiceert. En bij Nu.nl lees ik dat het inderdaad zou gaan om een feitelijk onjuist bericht.

Volgens Nu.nl gaat het om een bericht van Facebook-gebruiker Alex Tan die een bericht heeft geplaatst dat de Singaporese verkiezingen doorgestoken kaart zouden zijn en er een klokkenluider zou zijn gearresteerd. De Singaporese overheid stelt dat dit feitelijk onjuist is, maar Tan weigerde dit aan te passen, met name omdat hij in Australië woont en dus niet onder het recht van Singapore valt. Inhoudelijke onderbouwing heb ik niet voorbij zien komen.

De Singaporese POFM wet kent naast de eis aan posters om dit soort dingen te corrigeren, ook de mogelijkheid een bevel aan het platform (zoals Facebook) te geven. Dat is uniek inderdaad, dergelijke regels heb ik nog nergens in de wereld gezien. Ook niet bij andere wetsovertredingen zoals smaad of laster. De regel is kennelijk voor Facebook genoeg om tot vermelding van de correctie over te gaan.

Het voelt raar aan, maar vooral omdat we al jaren zo gewend zijn dat Facebook en consorten alles maar mag laten staan, hoe evident de onzin ook is. Ja oké, als de rechter het zegt dan nou ja vooruit maar eigenlijk blijft het raar, is toch een beetje de tendens. Ik snap dat niet helemaal. Als berichten niet juist zijn of schade toebrengen, dan is het toch niet zó raar dat daar iets van maatregelen tegen genomen worden? En als zo’n platform zo opgezet is dat je gebruikers nauwelijks aan kunt spreken, waarom zou het platform dan niet zelf aan te spreken worden?

Arnoud

Doe mij eens wat meer van die boetes van 5000 euro

Geplaatst op in Ondernemingsvrijheid, 5 reacties

De Belgische privacywaakhond heeft twee boetes van 5000 euro opgelegd aan lokale politici, las ik bij Tweakers. De politici gebruikten gegevens die ze in hun ambt hadden verkregen (“burgers die een beroep op hen als burgemeester/schepen deden”) om ze politieke reclame te sturen. Dat is in strijd met het beginsel van doelbinding aldus de Gegevensbeschermingsautoriteit, die aan de boete tevens een berisping koppelde. Het getal van 5000 euro zal misschien wat wenkbrauwen doen fronsen: kon de AVG niet tot 20 miljoen per overtreding aan boetes opleveren? Ja, en toch ben ik erg blij met deze eh microboete. Want dit werkt beter.

In België zijn burgemeester en schepen (wethouden) politieke beroepen. De beboete burgemeester en schepen gebruikten lijsten van burgers uit hun gemeente om ze op te roepen op hen te stemmen. En die lijsten verkregen ze dus via hun ambt, wat strijd oplevert met de doelbinding: gegevens mag je niet voor andere doeleinden inzetten dan waarvoor ze zijn verkregen (behoudens de direct nabij en volkomen logisch aanverwante doelen). Politieke reclame voor jou als persoon heeft natuurlijk niets te maken met je werk als ambtenaar, ook niet als je via verkiezingen op die plek gekomen bent en daar graag weer wilt zitten.

Boetewaardig dus. En stevig ook, in theorie staat daar die 20 miljoen per overtreding op. Maar de Gegevensbeschermingsautoriteit houdt het bescheiden en wel bij 5000 euro per persoon. Dat komt zo te lezen omdat het gaat om een eerste overtreding door privépersonen en een gering aantal persoonsgegevens, hoewel de zaak zo ernstig wordt gezien (het gaat over verkiezingen, dat is de kern van de legitimatie van ons bestuur) dat men er ook nog een publieke reprimande tegenaan gooit. (Die de politieke tegenstanders ongetwijfeld in het verkiezingsdebat gaan aanvoeren.)

Waarom ben ik nou zo blij met 5000 euro? Nou ja, omdat zo’n boete écht afschrikt. Zeg nou zelf, als je weet dat je in privé 20 miljoen moet ophoesten, dan zul je daar weinig wakker van liggen. Dat bedrag lukt toch niet, dus dat spreekt niet tot de verbeelding. Maar 5000 euro kwijt zijn aan een overtreding? Dat is voorstelbaar, doet echt pijn en je kunt je inleven op welke manier. Dat hakt er dus veel meer in – zeker bij de vele kleinere bedrijven dan de clubs waarvoor die 20M als maximale boete in de wet is gezet.

Natuurlijk staat of valt het uiteindelijk met handhaving. Maar ook dan denk ik, juist kleine boetes kun je makkelijker opleggen. Megaboetes hebben de neiging gejuridiseerd te worden. Als je Facebook een boete oplegt, wéét je dat je hoe dan ook vele jaren verder bent totdat het Hof van Justitie van de EU een uitspraak doet, en dan nog. Een mkb-ondernemer die 5000 euro moet aftikken omdat hij een klantenlijst verkocht, die gaat die stappen niet nemen. Die baalt als een stekker, ontslaat zijn marketeer en doet het beter. En zijn collega’s ook.

En het leuke is volgens mij dat juist die handhaving in het klein vaak te automatiseren is. Privacystatements checken of ze wel in eenvoudige taal is, dat kun je met een script. Het verwerkingsregister van een bedrijf opvragen en op trefwoorden controleren (is er een tab Personeelsadministratie, bijvoorbeeld) is ook eenvoudig uit te voeren. Maak dáár nou eens werk van, dan wordt de AVG veel effectiever gehandhaafd.

Arnoud

Kan dat, een algoritme met een moreel kompas? #legaltechtuesday

Geplaatst op in Innovatie, 61 reacties

Wat doe je als slimme algoritmes verkeerde of gevaarlijke keuzes maken? Die vraag las ik in FD onlangs. Machine learning-onderzoeker Philip Thomas uit Massachusetts heeft een methode ontwikkeld om ‘ongewenst gedrag’ vooraf uit intelligente machines te filteren. Hij noemt dat een Seldonian algoritme, en omdat mijn eerste zelfgekochte boeken de Foundation-reeks van Asimov waren trok dat meteen mijn aandacht. Want ja, het is een probleem als algoritmes racistisch, seksistisch of biasbevestigend zijn. Maar is daar werkelijk een quick fix voor die ook nog eens een mooie science fiction term kan krijgen?

De kern van het onderzoek van Thomas is dat je bepaalde ongewenste uitkomsten vooraf algoritmisch vastlegt, zodat een machine learning algoritme een uitkomst kan toetsen aan dit geprogrammeerde moreel kompas:

Using an experimental dataset, they gave their algorithm mathematical instructions to avoid developing a predictive method that systematically overestimated or underestimated GPAs for one gender. With these instructions, the algorithm identified a better way to predict student GPAs with much less systematic gender bias than existing methods.

Het idee is dus dat als je vooraf kunt zeggen “je mag geen bias hebben op klasse X”, dat je dan eerlijker uitkomsten krijgt. Dit is de omgekeerde benadering van hoe men nu vaak probeert vooringenomenheid te voorkomen, namelijk door klasse X weg te laten uit de dataset. Zeg maar, je wilt voorkomen dat je vrouwen onderselecteert dus je laat het veld ‘geslacht’ weg. Maar dat werkt niet: ML algoritmes zullen andere factoren oppikken (zoals de hobby vrouwentennis of het voornaamwoord haar) en daaruit alsnog genderbias construeren. De Seldonian-benadering is dus dat je zegt “ik wil even veel vrouwen als mannen op gesprek” als HR-adviseur.

(De benadering gaat overigens verder dan alleen discriminatie; je kunt ook bijvoorbeeld zeggen dat de uitkomst niet mag zijn dat een diabetespatiënt een risicovol lage bloedsuikerspiegel kan krijgen. Maar dat terzijde.)

Je zou dus zeggen, opgelost nu dat bias-probleem: maak een kompasregel voor iedere verboden factor uit artikel 9 AVG en verplicht ieder ML systeem daarop te toetsen. Maar dat is ingewikkelder dan je denkt. Bias of vooringenomenheid is niet alleen dat je keihard vrouwen uitsluit of weglaat. Vaak is het veel subtieler; lees het boek Invisible Women als u de details wil weten maar het was voor mij bijvoorbeeld een eye-opener dat als je mannen en vrouwen gelijke toegang tot toiletten wilt geven je 50% meer dames-wc’s nodig hebt. Dáár op komen is niet zo simpel als “je mag geen bias hebben op geslacht”.

Arnoud

Kun je als Nederlandse Youtuber een boete krijgen vanwege COPPA?

Geplaatst op in Ondernemingsvrijheid, 15 reacties

Een lezer vroeg me:

Per 1 januari 2020 zijn Youtube Creators zoals ik verplicht om te vertellen of de video’s voor kinderen zijn gemaakt of niet. Ik heb gehoord dat als ik dat niet goed doe, ik een boete tot 42.000 dollar kan krijgen van de Amerikaanse Federal Trade Commission (FTC). Mar hoe maak ik nu die afweging en kan zo’n Amerikaanse organisatie mij nu echt beboeten?

In september schikte Google voor 170 miljoen met de FTC vanwege privacyschendingen onder de COPPA wet. Deze wet verbiedt het volgen of profileren van kinderen (onder de dertien), en op Youtube gebeurde dat natuurlijk op grote schaal. Onderdeel van de schikking is dat Youtube een systeem optuigt om te voorkomen dat kinderen nodeloos gefilmd of geprofileerd worden.

In de kern komt het systeem erop neer dat kanalen gemarkeerd moeten worden als wel of niet bestemd voor kinderen. In het eerste geval schakelt Youtube de nodige features uit, waaronder dus dat profileren. Advertenties zijn dan ook niet meer gebaseerd op informatie van de bezoeker, maar enkel nog gerelateerd aan de video die je dan ziet.

Zeg je dat je kanaal niet voor kinderen is, dan blijft alles bij het oude – maar het is dus een strafbaar feit om dat te zeggen terwijl het kanaal wél voor kinderen is. De pijn van veel Youtubers zit hem dan ook in de vraag hoe je dat zeker weet. Want het gaat weliswaar om personen onder de dertien, maar die hebben ook interesse in games, makeup, dure auto’s of animatieseries.

De COPPA wet zelf spreekt van “directed” of “targeted” op kinderen. Daar is dan een hele lijst factoren bij die moet helpen:

In determining whether a Web site or online service, or a portion thereof, is directed to children, the Commission will consider its subject matter, visual content, use of animated characters or child-oriented activities and incentives, music or other audio content, age of models, presence of child celebrities or celebrities who appeal to children, language or other characteristics of the Web site or online service, as well as whether advertising promoting or appearing on the Web site or online service is directed to children. The Commission will also consider competent and reliable empirical evidence regarding audience composition, and evidence regarding the intended audience.

maar ik lees dat als “je mikt op kinderen als je dingen doet die typisch zijn om kinderen binnen te hengelen als publiek” en dat voelt een tikje een cirkelredenering. Desondanks is dit denk ik zo’n geval “I know it when I see it” als uitgangspunt, maar ik snap goed de twijfel want wat moet je met je makeup-kanaal of je Fortnitespeeltips terwijl je denkt dat je op 15, 16, 17-jarigen mikt?

Dat gezegd hebbende, dit is Amerikaanse wetgeving van een organisatie die weinig boetes uitdeelt. De kans daarop lijkt me dus minimaal, of je moet wel heel duidelijk de regels overtreden. Het meer reële risico is dat Youtube je kanaal als toch voor kinderen aanmerkt en je account schorst, waar dan geen bezwaar of beroep tegen mogelijk is. Een praktijk die men vaker pleegt.

Helaas heeft Youtube geen duidelijke richtlijnen voor wat zij als de gevarenzone zien; erger nog ze gaan AI bots inzetten om video’s te classificeren als op kinderen gericht of niet. Dat maakt het dus erg spannend.

Maar een concreet advies “doe dit en je zit safe” is er niet. Iedereen die met disclaimerteksten komt is per direct af en ontvangt geen 200 euro, overigens. Grofweg zou voor mij de eerste vuistregel zijn of je wéét dat er 13-minners meekijken (meer dan een verdwaalde klik) en of je dan denkt “nou ja prima, die kunnen/mogen dit ook”. Als je dat denkt, dan zit je in de gevarenzone.

Je kop in het zand steken (bijvoorbeeld door nooit leeftijden na te gaan) is geen optie want je hebt juridisch gezien een zorgplicht. Zijn er aanwijzingen (zoals taalgebruik, foto’s, soort vragen) dan moet je verder kijken en kan het mogelijk zijn dat je je video of kanaal op “bestemd voor kinderen” zet.

Arnoud

Hoe kun je optreden tegen een database met 1.2 miljard persoonsgegevens?

Geplaatst op in Privacy, 10 reacties

Beveiligingsonderzoekers hebben een database gevonden met informatie over 1,2 miljard personen. Dat las ik bij Tweakers. In de database zitten geen gevoelige gegevens zoals creditcardnummers of wachtwoorden, maar wel profielgegevens, telefoonnummers en e-mailadressen. De vondst is opmerkelijk gezien de omvang, en vooral vanwege het feit dat er geen duidelijke dader lijkt te zijn. Het gaat waarschijnlijk om een combinatie van vier databases van dataleveranciers, maar wie deze heeft gemaakt en waarom ze online staat, is een raadsel. Maar wat kun je daar nou mee, AVG technisch?

Het is onder de AVG ten ene male onmogelijk dat ergens ‘gewoon’ persoonsgegevens rondslingeren. Iemand heeft die dataset gemaakt, en dus is er iemand verwerkingsverantwoordelijke voor het geheel. Dat je die niet kunt vinden, is een praktisch probleem bij de handhaving maar dat maakt in principe verder niet uit. Als ooit de maker bekend wordt, dan is die boetewaardig. Ook als het een werknemer was die dit helemaal niet mocht, of als men dacht dat men niet onder de AVG viel.

Ik blijf me verbazen dat er bedrijven als People Data Labs zijn, die dus kennelijk ook hele grote datasets hebben en denken dat de AVG-technisch gewoon kan. Natuurlijk, in de VS mag er veel meer (hoewel de nieuwe Californische wet veelbelovend klinkt) maar dit soort bedrijven valt gewoon onder de AVG, ook al zitten ze fysiek buiten Europese jurisdictie. En nee, het gaat niet helpen dat zij in de contracten keihard zeggen dat dit niet mag.

Dat gezegd hebbende, handhaving is natuurlijk een reëel probleem. Ja, je kunt boetes opleggen (of verboden met dwangsommen) aan iedereen met een kopie van die data, maar je wil eigenlijk de bron aanpakken dat dit nooit meer gebeurt. En dat is lastig als die onbekend is.

Ik denk dat er dan maar één ding op zit: structureel terug de keten in, tot aan desnoods het kleinste individuele webforum waar 100 records vandaan kwamen bijvoorbeeld. En dan die laten uitleggen hoe het kon dat ze die data hebben verstrekt en aan wie, op straffe van hoge boetes. Een enorme klus, dat wel.

Arnoud