Ziggo hoeft geen NAW-gegevens van downloaders af te staan

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 18 reacties

Ziggo hoeft gegevens van klanten die illegaal een film via BitTorrent zouden hebben gedownload niet af te staan aan filmdistributeur Dutch Film Works (DFW). Dat meldde Security.nl vorige week. Dit bepaalde het Gerechtshof in hoger beroep van een zaak uit februari waarin de rechtbank hetzelfde bepaalde. In theorie kan DFW nog naar de Hoge Raad, maar ik zie weinig aanknopingspunten voor een succesvolle uitkomst voor het mediabedrijf. De reden voor deze beslissing zit hem in het grote pijnpunt bij auteursrechthandhaving online: wat kost dat nou eigenlijk, een inbreuk?

De rechtszaak was het logisch gevolg van DFW’s plan downloaders aan te spreken op illegaal downloaden, inclusief boete, pardon schikkingsvoorstel van 50, pardon 150 euro, pardon een nader te bepalen maatregel per download. Nodig daarvoor is dat providers NAW-gegevens verstrekken wanneer DFW een IP-adres verstrekt en een rapportje dat er daarmee gedownload is. In theorie kan dat: het Lycos/Pessers-arrest uit 2006 bepaalt dat je bij evidente inbreuk gewoon die gegevens moet verschaffen.

Het Gerechtshof gaat er echter eens goed voor zitten en bekijkt de vier criteria uit dat arrest nog eens streng. Het gaat hier om een ‘kleine’ inbreuk (één keer een film), onduidelijk is hoe DFW aan het bedrag komt en wat doe je als de IP-adreshouder niet zelf de downloader blijkt? Je moet echt een goede onderbouwing geven van deze zaken alvorens een provider NAW-gegevens moet geven, en DFW heeft die niet overlegd.

Meer algemeen vindt het Hof eigenlijk dat DFW zich er te makkelijk van afgemaakt heeft. Ik zou het wellicht zelfs lezen als afstraffen van arrogantie, “geef nou maar die NAW gegevens want het is verdorie auteursrechtinbreuk, dan mogen we doen wat we willen”:

Door niet transparant te zijn over de criteria die zij aanlegt bij de inzet van de door haar voorgenomen acties worden de belangen van de betrokken Ziggo-klant aangetast. DFW behoudt zich immers het recht voor pas nadat zij de persoonsgegevens heeft gekregen, eenzijdig en zonder enige motivering of toelichting de actie te kiezen die haar goeddunkt. Dat leidt naar het oordeel van het hof tot een verstoring van het te vinden evenwicht, met name in de situatie dat onzeker is of de betrokken Ziggo-klant ook daadwerkelijk de inbreukmaker is, zoals Ziggo c.s. gemotiveerd en onderbouwd met diverse producties heeft aangevoerd.

Zoals ik in februari al zei, geef je ze die namen, gaan ze blafbrieven sturen waarin op hoge toon van vaststaande inbreuk wordt gesproken die gerechtelijk gestraft wordt met een conform de jurisprudentie berekende staffel van 150 euro, gelieve binnen 14 dagen te betalen bij gebreke waarvan een procedure zal worden gestart waarbij volledige proceskosten ex 1019h Rechtsvordering zullen worden geëist dewelke kunnen oplopen tot 8.000 euro conform het door de Rechtspraak goedgekeurde tarievenmodel. Toch een iets andere brief dan “kunnen wij even praten, volgens mij heeft u een auteursrecht van ons geschonden”, nietwaar?

Ik zie eerlijk gezegd niet hoe DFW dit anders zou kunnen doen. De situatie dat de IP-adreshouder niet de downloader is, is een fundamenteel probleem. Dat los je alleen op door botweg te zeggen, je bent aansprakelijk voor je account. En dan krijg je ook nog het schadebedrag waar al tien jaar over gesteggeld wordt – wat kost dat nou, zo’n illegale download? Is dat de prijs van de DVD, de Blu-Ray, de single play van Videoland of 1/30e van een Netflix maandabonnement? Ik denk niet dat je daar ooit uitkomt.

Arnoud

“Het probleem is niet databescherming, maar dataverzameling.”

Geplaatst op in Ondernemingsvrijheid, Privacy, 6 reacties

Edward Snowden denkt dat de AVG tot nu toe nog weinig effect heeft gehad in Europa. Dat las ik bij Tweakers tijdens mijn kraamperiode (dank iedereen voor de felicitaties). De NSA-klokkenluider zei op een conferentie dat de Europese privacyverordening vooral ‘een papieren tijger’ is zolang internetbedrijven geen grote boetes krijgen opgelegd. De kern van het argument lijkt hem te zitten in dat het “prima is om data te verzamelen, dat het geen gevaar oplevert en dat het normaal is om iedereen te bespioneren, zolang die data maar niet uitlekt en je er zelf de controle over hebt.” Daarmee is de AVG kennelijk geen effectieve barrière tegen de grote techbedrijven: die doen wat ze willen en gooien er gewoon nieuwe braaftaal tegenaan – “We value your privacy” wordt “We respect your GDPR rights and we fully comply” en dat was het dan. Tsja.

De AVG is natuurlijk in eerste instantie een enorme stapel papier (99 artikelen) waar je als bedrijf maar wat van moet maken. Zowat alle aspecten van dataverzamelen en -gebruiken worden gereguleerd; je moet compliance kunnen aantonen, grondslagen onderbouwen, toezicht houden, security dichttimmeren en ga zo maar door. De normen zijn open en de boetes zijn hoog, althans op papier.

En daar wringt hem de schoen – heel veel papier is de AVG, maar (nog?) maar heel weinig daadwerkelijke handhaving. En dat voelt heel dubbel: overal zie en merk je dat mensen de AVG serieus proberen te nemen, maar tegelijk gebeurt er weinig tegen zij die dat niet doen. Links word je doodgegooid met toestemmingsformulieren (ahh ahh ahh de horreur) die nergens voor nodig zijn, en rechts wordt je gehele doopceel integraal verkocht aan malafide marketeers of erger nog semi-overheden.

Natuurlijk kun je dan heel spitsvondig zeggen dat het hem zit in de naam. “Data protection” impliceert dat je alles mag mits je het maar goed beschermt, en het moet gaan om of je überhaupt data mág verwerken. Die vondst klopt niet: het gaat om de bescherming van data in de zin van réchten op die data, mijn data moet veilig zijn als een bedrijf er wat mee doet. Dat is niet hetzelfde als “alles mag als je het veilig doet”, wat ook in artikel 5 AVG staat: alles moet rechtmatig zijn. Oh ja én moet voldoen aan dataminimalisatie, oftewel niet meer verzamelen dan nodig is voor je rechtmatige doel, dat je ook nog eens vooraf gemeld hebt en op papier uitgewerkt.

Uiteindelijk heeft Snowden wel gelijk als het gaat om de handhaving. Wetten die niet worden gehandhaafd zijn betekenisloos, of het nu de AVG is of het artikel over door rood rechtsaf fietsen uit de Wegenverkeerswet. Waarom die handhaving zo langzaam gaat, weet ik niet precies. Voor een deel zal het de complexiteit van de verwerking zijn, kom ermaar eens écht achter wat Facebook en consorten doet. En je wilt ook geen fouten maken want je weet dat je dan een rechtszaak tegen je krijgt. En het is politiek gevoelig, zo’n boetebesluit. Maar onderaan de streep blijft dan wel het probleem dat die wet met voeten getreden blijft.

Arnoud

Los dit cryptogram op en win een gratis ticket voor The Future is Legal

Geplaatst op in Iusmentis, 77 reacties

Om u toch een beetje bezig te houden in mijn kraamperiode leek het me leuk eens iets heel anders te doen: een puzzel! Dit cryptogram bevat technische en juridische vragen, en ik ben zeer benieuwd wie deze op weet te lossen. De eerste volledig correcte inzending (graag via de mail) wint een gratis ticket voor The Future is Legal! De vijf volgende correcte inzendingen winnen toegang met 30% korting, de tien daarna winnen mijn boek De wet op internet. En de meest behulpzame (=meest gepluste) hintende commenter hieronder wint eveneens een ticket.

De puzzel als PDF vindt u achter deze link.

De vragen voor het gemak ook even los in de blog zelf:

Horizontaal
2. Bijoux RL, het is nogal anders (8)
5. De zuurgraad van een Filipijnse website (8)
7. Dat beestje roept op tot een update (7)
11. Het omgekeerde van een handige app is elektronische overlast (4)
13. Maar wie is Ed dan? (12)
16. Ruimte voor overleg (14)
19. Eetbaar contract (3)
20. Online dief (6)
22. Dit apparaat is weg met ‘r (6)
23. Informatie-eenheid van een paard (3)
24. Hij zegt kort dat hij het kent (5)
25. O de vis is door elkaar (6)
27. Niet vals, volgens de Amerikanen (4)
28. Software voor kijkers (11)
33. Hartige informatie (4)
34. Juridisch overdrachtelijk persoon (6)
35. Elektronisch agendapunt (6)

Verticaal
1. Deze licentie zit volgens de Fransen vol gas (3)
3. Zending conform protocol (8)
4. Anders een mixervak, genie, wat een grap (7)
5. De media zuchtte tweemaal; de Spoorwegen hadden dit verstrekt (15)
6. Door deze afkorting ben ik de draad kwijt (4)
8. Ik ben verward geen lifter (10)
9. Dat meisje zocht op internet (4)
10. De late trui leek anders zeer goed op de hoogte van technologie (8)
12. Afspraak in miniatuur (13)
13. Anders is het racestuur een monopolie (12)
14. Zeer slecht functioneren van een groot netwerk (12)
15. Weer Leno (4)
17. Deze Emacs-hatende Sovjet is besmettelijk (5)
18. Op internet was dit keurige evenhoevig zoogdier iets minder beschaafd (9)
21. Deze informatie-eenheid klinkt zeer gedurfd (4)
26. Als Li weg is, is zwijgen het devies van de mol (3)
29. Die Engelsen laten iedereen binnen (10)
30. Deze advocaat is Engels bekeken zeer koud (5)
31. Communicatie van Mohammed is een kleinigheid (5)
32. Six, och; hoe verward is dit (6)

Arnoud

Hoe hou je je verwerkersovereenkomsten op één lijn?

Geplaatst op in Ondernemingsvrijheid, Privacy, 6 reacties

Een lezer vroeg me:

Als ICT-dienstverlener krijg ik van al mijn klanten verwerkersovereenkomsten. Dat is tot daar aan toe, ik ben eigenlijk altijd ook wel verwerker. Maar iedereen doet het weer anders – en eist daarbij ook nog eens wat anders dan wat mijn leveranciers mij kunnen bieden. Hoe hou je dat nou op een praktische manier op één lijn, hoe zorg je er voor dat al die afspraken blijven kloppen? Is het echt de bedoeling van de AVG dat je bij iedere klant je contracten met de leveranciers gaat openbreken?

Ah, die verwerkersovereenkomst. Het blijft spijtig dat ze ’t ding niet afgeschaft hebben bij de AVG want het is een van de grootste tijdverspillers in de contractering. Zelden zo’n stukje contracten cargo culting gezien. Wat mij betreft blijft het devies: stoppen met dat ding. Maak scherpe privacy-specifieke afspraken in je SLA en je zit goed.

Oké, ik ben alweer rustig. Want het is een feit dat iedereen denkt dat je aparte documenten met aparte afspraken nodig hebt. En dat iedereen het anders doet, want elke casus is uniek en vereist de toegewijze inzet van een zeer ervaren jurist die op maat gesneden clausules produceert om het belang van de cliënt maximaal te dienen. En dan blijf je bezig met dit soort vragen.

Er zijn een paar manieren om dit praktisch op te lossen. Je kunt zeggen, ik heb mijn eigen verwerkersovereenkomst en daar heeft u het mee te doen. Maar als je grote klanten hebt, of de bedrijfsjurist/FG bemoeit zich ermee, dan werkt dat niet altijd. Dan kun je als alternatief een set harde en een set zachte punten voor een verwerkersovereenkomst maken. De harde zijn punten die je niet anders kunt doen, de zachte ben je bereid op toe te geven, eventueel uiterlijk tot een bepaalde grens. Dan onderhandel je in ieder geval een stuk sneller.

Als een klant iets eist dat je leverancier niet kan waarmaken, dan zit je inderdaad knel. Een van de twee zal dan water bij de wijn moeten doen. In principe zou dat de klant moeten zijn – sorry, reeds aangegane verplichtingen gaan niet zo ver en die contracten openbreken kan pas 1 juni 2020. Je kunt het natuurlijk ook als onderhandeltruc brengen: wat u nu vraagt, valt buiten de SLA dus ik moet even navragen wat dat met de prijs doet.

Want uiteindelijk zijn er geen juridische issues, er zijn alleen onderhandelpunten in juridische taal. Aarzel dus nooit een prijs te zetten op een tegenbod van de wederpartij. Je zult versteld staan hoe vaak je dan gelijk krijgt – of meer geld verdient.

Arnoud

Wat als ik in het wintertijduur te hard rijd?

Geplaatst op in Regulering, 12 reacties

Een lezer vroeg me:

Gisternacht reed ik om 03:15 (zomertijd) oftewel 02:15 (wintertijd) over de A2 langs een flitspaal. Ik reed keurig 100 maar bedacht me, als ik te hard had gereden dan was ik geflitst en dan had er dus 02:15 op de boete gestaan. Maar om 02:15 (zomertijd) was ik nog op het werk, en daar zijn beelden en logs van (een datacenter). Had ik daarmee dan onder de boete uit gekund?

Leuk geprobeerd, maar nee.

Ik dacht eerst dat het antwoord makkelijk zou zijn: de tijd van de overtreding zal wel in UTC vastgelegd zijn, en dan is corrigeren voor wintertijd triviaal. Maar dat viel dus tegen, want op alle voorbeelden van verkeersboetes die ik kan vinden staat gewoon “02:15” zonder tijdzone-aanduiding. En toen las ik dat in 2013 de trajectcontrole bij de zomertijd misging, de klok werd niet verzet waardoor iedereen foute boetes kreeg. Dus eh, kennelijk is het wel mogelijk, dit theoretisch scenario.

Maar desondanks, nee je komt er niet mee onder de boete uit. Deze specifieke optie kende ik nog niet, maar dat verkeerscontrolesystemen fouten maken met de tijd van de overtreding komt vaker voor. Mensen gaan dan in beroep (Wet Mulder, meestal, maar ook in het strafrecht) en dan wordt de foute tijd aangepast door de officier en gaat de zaak gewoon verder.

Een fout als deze is volgens de leerboekjes een vormfout, de overtreding is immers niet begaan op het tijdstip dat er staat. Maar in de praktijk moet je het als officier wel héél bont maken wil je op een vormfout je zaak verliezen. Zeker als het gaat om triviale details zoals wanneer het feit precies begaan is, tenzij het tijdstip van de overtreding natuurlijk raakt aan de kern.

In geval van een verkeersovertreding als deze is het tijdstip hier niet relevant. Ja, er zijn stukken op de A2 waar de maximumsnelheid tijdsafhankelijk is, maar dan gaat het om 06:00-19:00 en of het nu 01:15, 02:15 of 03:15 was, je zit altijd binnen hetzelfde vak. Er is geen plek op de A2 waar het voor de snelheid van belang is of je er om 01:15, 02:15 of 03:15 reed.

De discussie over tijd wordt pas relevant als het gaat om zo’n tijdvakgrens. Want als je 130 rijdt om 19:02 en het systeem zegt dat je dat deed om 07:02, dan kan dat het verschil maken tussen wel of niet strafbaar zijn (pardon, onderwerp zijn van een administratieve boete, het is bestuursrecht immers). Dat is dus wat er misging in 2013 op de A2, dat zijn onterechte boetes want er was geen strafbaar feit begaan.

Maar dit zijn héél zeldzame situaties. De hoofdregel is en blijft: de tijd deed er niet toe, het gaat erom of het feit begaan is. Dus zelfs als de flitscameraklok werkelijk 100% verkeerd stond en je kunt aantonen dat je op het vermelde tijdstip werkelijk ergens anders was, dan nog krijg je de boete en die moet je gewoon betalen – als je op enig ander tijdstip wel die fout hebt begaan.

Arnoud

Mag een webshop klanten opjagen met random verkoopcijfers?

Geplaatst op in Ondernemingsvrijheid, 17 reacties

Via Twitter:

Ok this is really funny, check this out. I was in the process of booking a flight via @OneTravel. Trying to make me book ASAP, they claimed: “38 people are looking at this flight”. Whoa, 38 is a lot, I have to hurry up. But first I have to check how they came up with 38 >

En dan gaat het verder met de constatering dat dat getal 38 zuiver willekeurig gekozen wordt (Math.Random() is your friend), en dus na een page reload compleet anders is. Andere mensen melden in de reacties vergelijkbare setups bij andere boeking- en bestelsites. Dat voelt nogal vuil, mensen opjagen door te schermen met “zojuist verkocht”?

In principe is het legaal om mensen aan te sporen om te kopen door ze te wijzen op beperkte voorraad of beschikbaarheid. De laatste kaarten, alleen vandaag nog korting, dat werk. Bij vliegreizen zeggen dat er 38 mensen interesse hebben is van dezelfde orde, en dat mag je dus zeggen – aangenomen dat er ook 38 mensen zijn natuurlijk.

Klopt de informatie niet, dan wordt het juridisch spannender. De wet noemt expliciet het (art. 6:193g sub g BW):

bedrieglijk beweren dat het product slechts gedurende een zeer beperkte tijd beschikbaar zal zijn of dat het slechts onder speciale voorwaarden gedurende een zeer beperkte tijd beschikbaar zal zijn om de consument onmiddellijk te doen beslissen en hem geen kans of onvoldoende tijd te geven een geïnformeerd besluit te nemen;

Dat gaat vooral over de tijd van beschikbaarheid, maar het lijkt me evident dat ook bedrieglijk beweren dat er nog maar zeer beperkte voorraad is misleidend is. (Je kunt op zijn minst zeggen dat “nog slechts 3 op voorraad, wees er snel bij” hetzelfde is als “over een uur is ’t uitverkocht, wees er snel bij”.)

De crux zit natuurlijk in dat “bedrieglijk”. Dat impliceert een zekere mate van actieve wetenschap dat het niet waar is wat je zegt, en natuurlijk vinden we dat misleiding. Een geïnformeerde gok (je hebt er nog 3, je weet dat je er normaal 4 per uur verkoopt, dus je roept “over een uur is het op”) lijkt me een heel ander verhaal.

Hier is het getal natuurlijk opzettelijk willekeurig gekozen, dat wijst op bedrog. Tegelijk zit er wel iets van kennis achter, in dit geval was het willekeurige getal altijd tussen 28 en 45 bij deze vlucht. Dan zou je kunnen zeggen, ik weet dat er altijd 30 à 40 mensen naar deze vlucht kijken en ik wil niet te veel detail onthullen (en de site vertragen door een realtime check in de besteldatabase) daarom de quick fix van een random getal tussen die grenzen. Dat voelt erg bijdehand maar ik kan het niet

Over bijna uitverkocht gesproken: The Future is Legal op 15 november. We hebben een uniek programma, van zelfrijdende auto’s tot de toekomst van identiteit, het spotten van fakenews, Society 3.0 en digitale burgerrechten. Oh en er rijdt ook een robot rond. Wees er snel bij, want er zijn nog maar ,script>document.write(Math.random()*38</script> kaarten te koop!

Arnoud

Mag de politie de telefoon van een getuige leegtrekken?

Geplaatst op in Regulering, 13 reacties

Via Twitter een ietwat verontrustend item van de BBC over speciale apparatuur waarmee de politie telefoons in één keer geheel uit kan lezen. Die technologie wordt ingezet bij arrestaties, maar kennelijk ook bij telefoons van getuigen. En dan heb ik het over alles, van foto’s tot chatberichten, cache-informatie en prullenbakbestanden. De journaliste vraagt zich af hoe dat dan gaat als je uiteindelijk niet vervolgd wordt, want al die data is dan al wel bij de politie. Wat nu als je alleen maar getuige bent? En hoe zit dat in Nederland?

Hoofdregel in Nederland is dat de politie in geval van een strafbaar feit “alle voorwerpen die kunnen dienen om de waarheid aan de dag te brengen” in beslag mag nemen (art. 94 Strafvordering). En een telefoon met inhoud voldoet aan die omschrijving, ook wanneer die van een getuige is. Die heeft wellicht foto’s gemaakt of in een chat met een ander relevante informatie staan, bijvoorbeeld. De nuance is natuurlijk dat de inbeslagname wel noodzakelijk en proportioneel moet zijn. Zomaar van alle omstanders de telefoon meenemen is natuurlijk idioot, maar de telefoon van een persoon die wekenlang chatte met de dader is een heel ander verhaal.

Als je de telefoon hebt, ligt snel een kopie maken en daarin spitten natuurlijk voor de hand. En hier wordt het juridisch ingewikkeld, want hier gaat het om privacygevoelige informatie en dan mag de politie in beginsel alleen dingen doen die wettelijk geregeld zijn. In 2017 bepaalde de Hoge Raad dat dit ook geldt bij telefoondoorzoekingen, maar dat gezien de praktijk het vooral van belang is dat er een duidelijke noodzaak is en er een onafhankelijke toetsing plaatsvindt. Blijkt achteraf dat de opsporing te ver ging met de doorzoeking, dan heeft dat gevolgen voor de rechtszaak (bijvoorbeeld dat het bewijs buiten toepassing blijft).

Anders ligt dat bij even snel kijken naar een paar berichtjes of foto’s. Dat is geen of slechts een geringe inbreuk op de privacy, en dat mogen agenten dus doen zonder specifieke opdracht. Even snel kijken bij de recente foto’s of de chat met de verdachte zou dus nog net kunnen, zelfs als de getuige niet meewerkt. Je moet als agent natuurlijk wel een goede aanleiding hebben waarom je dacht dat er iets zat bij die recente foto’s of waarom deze meneer/mevrouw met de verdachte zou hebben gechat en waarom dat relevant is voor het onderzoek naar die verdachte.

Arnoud

HP wil goedkope inktpatronen alleen nog toestaan in duurdere printers

Geplaatst op in Informatiemaatschappij, 15 reacties

HP wil printers die ook inktcartridges van andere merken accepteren, duurder maken. Goedkopere printers gaan zulke cartridges voortaan blokkeren. Dat meldde Bright onlangs (dank, Vincent). Het bedrijf worstelt al geruime tijd met goedkopecartridgeconcurrentie, en heeft nu deze creatieve insteek gevonden om alsnog haar model van “goedkope printer terugverdienen met dure cartridges” goed te maken. Mag dat, is dan natuurlijk de vraag.

In het verleden hadden we diverse keren discussie over het weren van cartridges. Ik denk nog steeds dat dat in principe mag, mits het vooraf gemeld is als eigenschap van het product. De wet (art. 6:230m BW) eist dat de handelaar vooraf meldt:

de relevante interoperabiliteit van digitale inhoud met hardware en software waarvan de handelaar op de hoogte is of redelijkerwijs kan worden verondersteld op de hoogte te zijn

Nu gaat het hier om interoperabiliteit van hardware met hardware (tenzij je zegt dat het gaat om de software in de chip) maar dat lijkt me op dezelfde lijn te zitten qua belang. Dus is ook die informatie essentieel. Het moet dus op de doos staan of en in hoeverre de printer dit blokkeert. En bij online verkoop moet het in de productinformatie staan.

Aangenomen dat HP dit alleen doet bij nieuwe printers, zie ik er niet direct iets mis mee. Heel misschien wordt het problematisch als deze printerboer een machtspositie heeft. Dan gaan er vanuit het mededingingsrecht andere regels spelen en kan het zijn dat je anderen toe moet laten (tegen een redelijke vergoeding, dat wel). Ik heb nog steeds niet het idee dat dat zo is, HP is weliswaar een grote speler maar zeker niet de enige.

Zou HP dit via een softwareupdate pushen naar bestaande printers, dan wordt het een heel ander verhaal. Dát kan niet, want dan maak je achteraf een printer nonconform vanwege een beperking in functionaliteit die niet vooraf gemeld was.

Arnoud