Wanneer gaat hengelen naar een beloning over in afpersing?

Geplaatst op in Regulering, 6 reacties

Pretpark Walibi Holland gaat aangifte doen tegen een ontwikkelaar die een datalek meldde bij het bedrijf en om vier gratis toegangskaarten vroeg. Dat meldde Tweakers vorige week. De aangifte zou zijn vanwege chantage dan wel afpersing. De ontwikkelaar verwijst naar eerdere toezeggingen van het park dat kaartjes een gebruikelijke beloning zijn. Natuurlijk is het buitengewoon raar om voor dit niveau ‘afpersing’ naar de politie te stappen, en de PR is bepaald onhandig ingestoken. Al snel werd de keutel ingetrokken. Maar zit er juridisch een punt achter?

Het datalek in kwestie is overigens geen AVG-datalek, maar een financieel lek: je kunt per dag zien hoe veel tickets men verkoopt en wat de prijs per ticket was. Zonder enige rare actie, behalve dan F12 drukken in je browser. (Geen paniek, nog een keer F12 en deze blog is weer normaal.) In iets meer detail:

Ze hebben hun webshop (gezien de urls) afgenomen van het bedrijf Dept Agency. Deze shop zit vrij slordig in elkaar. De data die je in je browser krijgt, bevat precies hoeveel kaarten er totaal zijn voor een dag, en hoeveel er nog te koop zijn. Daarnaast staat de prijs erbij, dus een simpel rekensommetje laat zien wat er aan de spookhuizen en toegangskaarten verdiend wordt in de voorverkoop per dag. Openbaar. In je browser. Via element inspecteren. In een developer-vriendelijk, realtime JSON formaat.

De ontwikkelaar gaf deze technische blunder door aan Walibi, inclusief een stukje van de informatie als bewijs dat het lek er inderdaad zat. Hij gebruikte daarbij het mailonderwerp ‘Datalek ruilen voor kaartjes?’, kennelijk refererend aan eerder contact waarbij Walibi had aangeven dat kaartjes soms als beloning worden gegeven voor het melden van datalekken. Maar de directeur van Walibi (waarom die directrice genoemd wordt ontgaat me overigens, het is toch geen school) las hierin een strafbaar feit, namelijk afpersing:

Walibi laat zich niet chanteren. U zult dus geen tickets van ons ontvangen. Begin van dit jaar niet, nu niet en volgend jaar ook niet. U hoeft ons dus niet weer te mailen. Wij zullen wel aangifte tegen u doen.

Even los van de bepaald onhandige inschatting hier, is dit nu überhaupt afpersing te noemen? Het flauwe antwoord is nee, want afpersing is (art. 317 Strafrecht) kort gezegd dreigen met geweld om jezelf te bevoordelen. Ze bedoelen dan ook afdreiging (art. 318 Strafrecht):

Hij die, met het oogmerk om zich of een ander wederrechtelijk te bevoordelen, door bedreiging met smaad, smaadschrift of openbaring van een geheim iemand dwingt hetzij tot de afgifte van enig goed dat geheel of ten dele aan deze of aan een derde toebehoort, hetzij tot het aangaan van een schuld of het teniet doen van een inschuld, hetzij tot het ter beschikking stellen van gegevens, wordt als schuldig aan afdreiging, gestraft met gevangenisstraf van ten hoogste vier jaren of geldboete van de vijfde categorie.

Het stukje ‘dwingen’ is makkelijk hier, de ontwikkelaar zou die vier kaartjes (kaartjes zijn “enig goed”) willen hebben met zijn mail. Maar wat is dan de ‘dreiging’, het andere essentiële bestanddeel van dit delict? Dat zou dan waarschijnlijk een gang naar de pers zijn, betaal me of ik maak openbaar dat je een datalek hebt.

Dat is wat de ontwikkelaar zou hebben gezegd, aldus het pretpark:

Jullie lekken wederom data wat betreft omzet. Zullen we de bron van [sic] de datalek en het niet publiceren van data dit jaar ruilen voor 4 kaartjes voor volgende week zondag, inclusief Fastlane Gold Single + RIP Pass, Below en Clinic?

Dit stukje doet mij ook de wenkbrauwen fronzen. Het hele punt van belonen is voor het mélden van datalekken, je betaalt mensen niet voor hun stilzwijgen maar voor hun speurwerk. En ja, binnen de letter van de wet is het als afdreiging te construeren als je zegt “ik zal een geheim niet publiceren als je me geld geeft” wanneer dat publiceren op zichzelf wederrechtelijk is.

Bij de reacties lees ik dan de ontwikkelaar die stelt dat je de zin moet lezen in de context van eerdere communicatie. Dat snap ik gezien de voorgeschiedenis, en ik weet vrij zeker dat de directeur die niet kent en daarom de zin zo heftig oppakt. Het bewijst maar des te meer dat wanneer je met bedrijven communiceert, je in het bedrijfs moet communiceren.

Arnoud

Goh, Nederland heeft knappe inzichten over soevereiniteit in cyberspace

Geplaatst op in Regulering, 8 reacties

De brief van minister Blok aan de Tweede Kamer over soevereiniteit in cyberspace is een tour de force op juridisch gebied. Dat hoor je ook niet vaak van Kamerstukken, dus daar gaan we eens goed voor zitten. De brief werd van de zomer verstuurd en onlangs publiek gemaakt. Het doet me goed te zien dat het concept cyberspace als zodanig kennelijk juridisch erkend wordt, maar je maakt dingen wel een stuk ingewikkelder op die manier. De uitkomsten zijn overigens zeker wel verrassend en vernieuwend.

Het grootste probleem met cybervraagstukken is dat het de nationale soevereiniteit doorbreekt. Als een botnet met Europese slachtoffercomputers wordt gecommandeerd door een Braziliaan via een vpn een command&controlserver in Korea om een Nederlandse bank plat te leggen, welke actie neem je dan als Nederlandse politie? In hoeverre zou bijvoorbeeld de soevereiniteit van Korea worden aangetast als je die server terughackt en uitzet? Of die van Brazilië omdat ze die dader daar wilden aanpakken? (Dit is belangrijk omdat uit internationaal recht volgt dat je andermans soevereiniteit niet schendt; je komt dan richting de oorlogsdaden.)

Wanneer doorkruist een cyberactie nu de soevereiniteit? Het antwoord zou volgens Nederland liggen in het effect in het land waar dit gebeurt. Hoe ernstiger dat effect, hoe meer je aan iemands soevereiniteit knabbelt. Effecten die gelijk zijn aan ingrijpen met fysiek geweld zijn het extreemste voorbeeld: dat is eigenlijk gewoon keihard verboden. Het lamleggen van die Nederlandse bank is dus een schending van internationaal recht als dat door een staat zou gebeuren, bijvoorbeeld.

Minstens zo interessant is het zorgvuldigheidsbeginsel: dat je rekening houdt met andere landen wanneer je als soevereine staat handelt. Je opereert weliswaar soeverein maar niet volledig in isolatie, immers. Dat beginsel werkt een-op-een ook in de cyberwereld:

In de cybercontext betekent het zorgvuldigheidsbeginsel dat staten moeten optreden tegen: (1) cyberactiviteiten die worden uitgevoerd door personen op hun grondgebied of waarbij gebruik wordt gemaakt van zaken of netwerken op hun grondgebied of waar zij anderszins controle over hebben; (2) die inbreuk maken op een recht van een andere staat; en (3) waarvan zij op de hoogte zijn of zouden moeten zijn.

Brazilië of Korea zou dus moeten ingrijpen als die Nederlandse bank wordt platgelegd. En niet “dat zou leuk zijn” maar “dat moeten ze van het internationaal recht”. Wel moet het dan gaan om een ernstige inbreuk op de rechten van in dit geval Nederland. Eén enkele phishmail uit Nigera schept dus nog niet meteen zo’n verplichting.

Wat nu als zo’n land daar niet meteen gehoor aan geeft? Want dan komen we bij waar het echt om draait, zou de Nederlandse politie dan die C&C server plat mogen leggen op afstand, of die Braziliaan mogen spearphishen om de login te pakken te krijgen? Die zorgvuldigheidseis is een soort van opstapje daarheen. Als een land – zeg Brazilië – te kort zou schieten daarin, en Nederland ondervindt vervolgens ernstige schade, dan mag Nederland doorpakken en zelf maatregelen nemen. Terughacken dus.

Niet dat terughacken nu automatisch de meest logische actie is. Je moet altijd eerst kijken of er legale alternatieven zijn, zoals Brazilië blokkeren op de AMS-IX, diplomaten uitzetten of een andere handeling die ook wel pijn doet maar duidelijk binnen je eigen rechten valt. Pas als dat niet lukt, dan kun je opschalen naar internationale actie – die dan wel tijdelijk en voor compensatie vatbaar moet zijn.

(Als goed jurist moet ik nu openen door te zeggen dat Nederland een lange traditie heeft met dit soort inzichten: Hugo de Groot formuleerde in 1609 zeer gezaghebbende principes over het recht op de internationale zeeën. Kort gezegd, iedereen heeft daar dezelfde (namelijk geen) exclusieve rechten, omdat geen land dit in eigendom kan hebben. Bij deze.)

Arnoud
PS: vergeet je ticket voor the Future is Legal op 15 november niet, ze gaan hard!

Laat je niet kisten, oftewel de Rijdende Rechter (nee, die nieuwe) over SEO en domeinnamen

Geplaatst op in Intellectuele rechten, 50 reacties

Als de moeder van Fred en Diana Klopper overlijdt, besluit hun zwager te bellen met de uitvaartondernemer. En toen ging hiet mis, aldus de Rijdende Rechter-uitzending van afgelopen dinsdag. Want dankzij slimme SEO van een budgetuitvaartondernemer vond de zwager diens telefoonnummer, terwijl hij dacht de Dela te bellen omdat het zouden regelen vanuit de uitvaartverzekering. Vanaf daar ging het snel bergafwaarts: de familie ontdekte dat de verkeerde partij bezig was met de uitvaart (“in een aula waar je nog niet dood gevonden zou worden”, zou Victor Brandt zeggen) en wilde de opdracht intrekken maar daarmee belandde men op een juridisch dood spoor. De Rijdende Rechter (die nieuwe dus) erbij gehaald: kan men van de overeenkomst af?

In de kern zat het conflict in deze zaak in het feit dat de zwager had gezocht op Dela (een uitvaartmaatschappij) en toen als eerste zoekresultaat een advertentie van Uitvaart24 zag. Daarop doorklikkend gaf een neutrale site, geen vermelding van Dela maar ook niet “wij zijn géén Dela”, ook geen eigen andere merknaam. Het telefoonnummer bellen gaf eveneens een zeer vlakke naam: de Uitvaartcentrale. Door dit zwijgen als het graf meende de zwager dat hij bij de Dela terecht gekomen was.

Toen het tegendeel aan het licht kwam, was men natuurlijk boos en trok men de opdracht in. Maar daar ging het mis, want de ondernemer vond dat hij alleen zaken deed met die zwager en die was even niet bereikbaar. Daardoor liepen de emoties hoog op, en werd onder meer geweigerd het lichaam vrij te geven – “mijn moeder wordt gestolen”, ik kan me daar wel wat bij voorstellen. Maar hoe zit dat nu juridisch?

Juridisch bekeken is dit een gevalletje misleidende handelspraktijk, wat mij betreft. Een omissie van essentiële informatie leidt tot een vernietigbare overeenkomst, en het niet expliciet noemen van je commercieel oogmerk is een voorbeeld daarvan. Wie een advertentie toont bij de merknaam van een verzekeraar en dan zeer op de vlakte blijft over de eigen identiteit, is volgens mij bezig met het weglaten van dergelijke essentiële informatie.

Ik kan bijvoorbeeld op deze site van ze echt niet concluderen dat men de bedrijfsnaam, KVK en BTW nummers duidelijk vermeldt. Van wie is deze site? Voor mij is “Goedkoopste Crematie [van] Utrecht” simpelweg geen handelsnaam – en ja ik weet dat die beschrijvend mogen zijn. Maar dit is geen náám. “Uitvaart24” wel, en ik denk dat wanneer die naam linksboven prominent had gestaan er geen sprake van redelijke verwarring was geweest. Ik twijfel of je in zo’n geval ook nog expliciet “Leuk dat u zocht naar Dela maar bij ons” er bij moet zetten, maar dat gaat me wat ver.

Je kunt het natuurlijk ook merkenrechtelijk benaderen, zoals in de uitzending gebeurde. Dan zeg je, de advertentie op het trefwoord Dela haakt aan bij de bekendheid van dat merk. Dat is in principe merkinbreuk, tenzij men duidelijk de gewekte indruk wegneemt dat je iets met Dela te maken hebt. Als de Jumbo adverteert “Wij zijn de goedkoopste” bij een zoekopdracht op “albert heijn” dan is dat bijvoorbeeld geen merkinbreuk (als het klopt, natuurlijk). Maar het is bepaald geen plakje cake dat je er langs die route komt: deze 1400 websites van de uitvaartondernemer vermelden nergens merken, nemen geen positie in ten opzichte van merkhouders maar zeggen gewoon “wij regelen uw uitvaart”. Ik denk dat dit merkenrechtelijk in orde is – wat ook de reden is dat de Rijdende Rechter de eis afwijst.

Had men het via het consumentenrecht gespeeld, dan ben ik ervan overtuigd dat het wél was gelukt. Die regels zijn gewoon veel meer in het voordeel van de consument, en er is eerder sprake van misleiding in de zin van het BW dan van merkinbreuk. Dus dat is een gemiste kans. (En ach wat mis ik Victor Brand in dit soort casus…)

Arnoud

VS rechter: ‘Pas websites aan op gehandicapten’

Geplaatst op in Ondernemingsvrijheid, 18 reacties

Het Hooggerechtshof van de Verenigde Staten verplicht eigenaren van websites om deze toegankelijk te maken voor mensen met een handicap. Dat meldde Emerce onlangs. Een man had Domino’s pizza aangeklaagd omdat hun website niet accessible was, en tot de Supreme Court werd bevestigd dat een dergelijke claim mogelijk is onder de Americans with Disabilities act. Daarmee is niet perse gezegd dat de website van Domino’s de wet overtreedt, maar het bevestigt wel dat websites onder die wet vallen. Een tikje een schok voor Amerikanen die dachten dat het alleen over rolstoelingangen bij de winkel gingen. Maar hoe zit dat bij ons?

In 2016 is het Verdrag inzake de rechten van personen met een handicap goedgekeurd. Dit verdrag beschrijft rechten van mensen met een handicap (langdurige fysieke, mentale, intellectuele of zintuiglijke beperkingen) en bevat tevens de verplichting dat verdragsstaten alle passende maatregelen nemen om te waarborgen dat redelijke aanpassingen worden verricht. In Nederland is daartoe een Uitvoeringswet ingevoerd, die in artikel 2 vermeldt:

Degene tot wie het verbod van onderscheid zich richt, draagt daarnaast tenminste geleidelijk zorg voor de algemene toegankelijkheid voor personen met een handicap of chronische ziekte, tenzij dat voor hem een onevenredige belasting vormt.

En ja, dit is zo breed bedoelt als u het hier leest. “Algemene toegankelijkheid”, dus die rolstoelingang maar ook de brailleaanduiding in de lift – én de navigatie van de website. Maar het wordt enigszins genuanceerd door dat “geleidelijk zorg dragen” en “geen onevenredige belasting”.

In 2017 is dit nader uitgewerkt in een AMvB:

1. [Dienstverleners zijn] verplicht tot het treffen van voorzieningen van eenvoudige aard en gaandeweg zorg te dragen voor de algemene toegankelijkheid voor personen met een handicap of chronische ziekte, tenzij dat voor hem een onevenredige belasting vormt.
2. Onder een voorziening van eenvoudige aard wordt verstaan: een voorziening die op weinig ingrijpende wijze en zonder of met weinig kosten tot stand kan worden gebracht.

Helaas is er nog steeds weinig duidelijkheid wat daar nu allemaal onder valt. Uit de parlementaire stukken haal ik maar één echt voorbeeld, namelijk “er op websites voor zorgen dat teksten groter kunnen worden gemaakt en er voldoende contrast is tussen voor- en achtergrondkleur”. Dat vereist dus niet eens dat je een schermlezer kunt inzetten om door een bestelformulier heen te komen.

Arnoud

Hoe navigeer je tussen werkbare procedures en de omstandigheden van het geval?

Geplaatst op in Informatiemaatschappij, 3 reacties

Mijn oog viel op deze tweet van de Engelse toezichthouder, waar ik een tikje van opkeek:

Hi, orgs should not look to adopt a blanket approach in asking for ID when responding to a SAR [inzageverzoek onder de AVG]. They should consider each request on a case by case basis and identify which form of ID is most proportionate if required.

De tweet was een reactie op een vraag van de onvolprezen privacyvoorvechter Pat Walshe, die constateerde dat je bij het vragen van een kopie van je persoonsgegevens bij Engelse politieke partijen altijd een kopie ID moet meesturen. Uit de reactie valt op te maken dat dat niet mag, en dat een organisatie dus per verzoek moet kijken of de persoon duidelijk geïdentificeerd is als de betrokkene en zo nee wat in dat geval het handigste is.

Mijn wenkbrauwen fronsen bij zo’n benadering, omdat ik net daarvoor dit onderzoek las over waarom organisaties regels schenden. Iets dat voor juristen vaak moeilijk te vatten is. Het staat toch in de wet dat dat niet mag, opgelost slotje. Maar voor organisaties werkt dat niet zo:

Because organizations rely on routines for following rules, complex rules would require complex routines, which would be harder to execute reliably. As expected, both types of rule complexity increased noncompliance. The two also reinforced one another such that having many components and connections made it far more likely that the rule would be broken.

Met name die eerste zin springt in het oog natuurlijk: organisaties werken altijd met routines, met procedures. Dat is de enige manier om het werkbaar te houden voor de mensen die het moeten doen. Elk geval toetsen op de individuele merites is ongelofelijk kostbaar en geeft veel ruimte voor onduidelijkheid. Het voelt dan ook wat onwerkbaar wat de ICO hier zegt.

Natuurlijk is het niet perse zo dat je altijd een kopie ID kunt vragen en anders stomeenvoudig zeggen, uw verzoek wordt afgewezen. Je moet een controle hebben die past bij de situatie. Als mensen bijvoorbeeld zich online aanmelden voor je dienst (zoals bij de bekende “Mijn Dinges” portalen) dan is een aanvullende identificatie niet nodig. En staan ze aan de balie, dan kun je gewoon hun ID bekijken zonder dat een kopie nodig is. Dat zijn prima procedures.

Maar écht maatwerk, dat zou de uitzondering moeten zijn. Ik vrees dat het juist eerder misgaat als ieder geval als maatwerk wordt behandeld. Dat duurt langer, leidt tot willekeur en fouten.

Arnoud

Eh, de fysieke inhoud van een gevonden portemonnee hoef je dus niet te vernietigen van de AVG

Geplaatst op in Privacy, 25 reacties

Ik raakte mijn portemonnee kwijt in de supermarkt en toen ik terugkwam, bleek het ding te zijn vernietigd want de AVG he meneertje. Nee, niet mijzelf overkomen maar ik las het op Reddit (dank tipgever). Oké, in Engeland waar ze wel meer rare dingen doen maar het voelt zomaar als een beleidsregel die ook bij ons gaat rondzingen als we niet uitkijken. Immers, als je ongevraagd toegezonden persoonsgegevens, moet vernietigen, dan toch zeker ook met ongewenst aangetroffen fysieke dragers met die gegevens?

Een vuistregel bij juridische uitkomsten is, als de uitkomst absurd is dan is je redenering fout. De winkelketen (het Engelse Co-op) maakt dus een fout, maar waar gaat het mis? Je kunt het op twee manieren bekijken.

Allereerst puur de AVG: het in bezit nemen van een gevonden portemonnee met pasjes is nog geen verwerking van persoonsgegevens die onder de AVG valt. Het betreft hier immers geen elektronische verwerking, dus geldt de AVG alleen wanneer de gegevens bestemd zijn om (bij jou) in een bestand opgenomen te worden. En daar is geen sprake van, de kluis van de manager is geen bestand. De AVG stelt dus überhaupt geen eisen aan deze verwerking, laat staan de eis tot vernietiging.

Ook kun je zeggen dat dit gewoon mag van de AVG, want dit is in het belang van de eigenaar (artikel 6 lid 1 sub f AVG) en als je het ding gewoon in de kluis laat liggen dan zijn de risico’s voor de eigenaar minimaal, mag ik aannemen. Het ligt in de kluis. Natuurlijk, als je portemonnees bewaart op een plankje achter de kassa dan wordt dat anders maar dat is gewoon dom en moet je dus niet doen. (Soms is juristerij makkelijk.) Er is dus niet a priori een eis dat die pasjes meteen vernietigd moeten worden.

Ten tweede speelt er naast de AVG – als die dus al geldt – ook nog gewoon andere wetgeving, zoals dat het strafbaar is om andermans eigendom te vernietigen. Nu is er in het recht de regel dat jonger recht (zoals de AVG) wint van ouder recht (zoals het wetboek van strafrecht), en ook de regel dat hoger recht (Europees) boven lager recht (Nederlands) gaat. Maar die regels spelen pas bij een conflict, en dat conflict is er pas als de AVG ondubbelzinnig zou zeggen dat die pasjes vernietigd moeten worden. En dat doet de AVG dus niet.

Arnoud

Hela, hebben we nou ineens een recht op reparatie van slimme (haha, ja) apparaten?

Geplaatst op in Innovatie, 5 reacties

Huishoudelijke apparaten worden vanaf 2021 makkelijker te repareren, las ik bij de BBC. Fabrikanten moeten zorgen dat die dingen langer meegaan én dat reserveonderdelen 10 jaar beschikbaar blijven, waarbij ook anderen dan eigen dealers de reparatie moeten kunnen uitvoeren. Dit right to repair is al een jaar of tien een discussieding, want steeds vaker gaan apparaten op slot: alleen de fabrikant kan er softwareupdates in duwen, en hardwareupdates zijn technisch ingewikkeld of ook onmogelijk gemaakt tenzij je dealer bent en de juiste schroevendraaier of aansluiting hebt. Combineer dat met planned obsolescence oftewel geplande slijtdatum en je ziet hoe dat de markt verpest.

De berichtgeving gaat terug op tien Verordeningen over nieuwe ecologische eisen aan huishoudelijke apparaten. Deze moeten te herstellen en te recyclen zijn, en een stuk energiezuiniger ook. Oh, en softwareupdates mogen het gedrag niet veranderen op een manier die in strijd is met de certificering of op een manier die betere performance bij onderzoeken geeft. Oh en speciaal voor Apple: aanpassing van energieconsumptie mag alleen met expliciete toestemming van de gebruiker.

Herstel moet kunnen voor 7 tot 10 jaar na verkoop afhankelijk van het soort apparaat. Daarbij moeten de onderdelen binnen 14 dagen na verzoek geleverd worden en met algemeen gebruikelijke apparatuur geïnstalleerd kunnen worden zonder het apparaat permanent te beschadigen. Dat laat nog maar weinig ruimte voor fabrikantengeintjes. Zeker omdat ook de voor eigen onderdelen benodigde informatie (zoals diagrammen en specificaties van sensoren en dergelijke) moet worden gepubliceerd op de eigen officiële website.

Weinig, want specifiek bij software zie ik wel meer mogelijkheden. Mag je bijvoorbeeld inbouwen dat een zelfgemaakt vervangend stuk hardware alleen door jou gecertificeerde code mag bevatten; geen certificaat met digitale handtekening van de fabrikant, dan werkt ie niet. Dit voelt tegen de geest van de regel maar ik zie zo 1-2-3 geen expliciet verbod daarop.

Verder is het natuurlijk jammer dat de informatie alleen aan professionele herstellers hoeft te worden aangeboden. De informatie mag dus afgeschermd worden tot personen die zich aanmelden en door een (vrij beperkte, maar toch) screening heenkomen. Reken maar dat deel daarvan dan is dat ze de informatie niet publiek maken, zodat Jan met de 3D printer er niets mee kan.

In de goede journalistieke traditie van “een vraag in de kop wordt met nee beantwoord” is het antwoord dus helaas nee, slimme apparaten zijn niet wettelijk afdwingbaar te herstellen – dat gaat immers om softwareupdates en daar zegt de Verordening nu net niets over. Een gemiste kans dus. Jammer.

Arnoud
PS: er zijn nog beperkt kaarten beschikbaar voor mijn congres The Future is Legal!

Hoe ethisch verantwoord mag een opensourcelicentie zijn?

Geplaatst op in Ondernemingsvrijheid, Uitingsvrijheid, 23 reacties

Een nieuwe toevoeging aan het opensourcefirmament: de Hippocratische licentie, grofweg de MIT licentie met de toevoeging dat de software niet mag worden ingezet voor doelen die de Universele Verklaring van de Rechten van de Mens schenden. Iets preciezer: die mensen in gevaar brengt of hun well-being aantast op een wijze in strijd met de UVRM. Een nobel idee natuurlijk, maar het gaf herrie in de tent, want opensourcelicenties horen neutraal te zijn over het ‘field of endeavor’ waarvoor de software wordt ingezet. Deze eis staat ook zo vanaf het begin in de Open Source Definition. Maar is dat nog wel actueel om die eis te stellen?

De auteur van de licentie motiveert haar keuze kort gezegd als volgt:

Developers don’t want their labor being used to do harm, and the current structure of open source software strips any power from creators to prevent this from happening. We are being exploited. Human freedom is being traded for so-called “software freedom”.

Toen de Open Source Definition werd geschreven, was de kijk op de wereld heel anders. De discussie ging daar vaak over of bedrijven (commercial entities) al dan niet de software mochten gebruiken. Veel licenties van gratis beschikbare software verboden commercieel gebruik, of stelden extra eisen aan bedrijfsmatig gebruik. Voor het succes van open source zou dat onwenselijk zijn geweest, vandaar dat de Open Source Definition (en al eerder de Debian Free Software Guidelines) expliciet eiste dat de licentie neutraal was op toepassingsgebied:

The license must not restrict anyone from making use of the program in a specific field of endeavor. For example, it may not restrict the program from being used in a business, or from being used for genetic research.

Het ‘genetic research’ voorbeeld is later toegevoegd, en laat zien hoe de discussie verschoven is. Want controverse over zakelijk gebruik van gratis beschikbaar gestelde software is er nauwelijks meer; de controverse over onethisch gebruik van software des te meer. En dan is ‘genetic research’ nog een zwak voorbeeld: wat te denken van inzet van je software voor concentratiekampen, killer robots of systemen voor manipulatie of onderdrukking van bevolkingsgroepen.

Het doet denken aan de discussie over de Do No Evil-licentie en de antibarrearbeidsomstandighedenlicentie. Hoe baken je af wat “evil” is. Deze auteur sluit aan bij een definitie die voor juristen algemeen aanvaard en redelijk duidelijk is: de definitie van mensenrechten die al sinds 1948 wijd geaccepteerd is (althans in het Westen). Dat is de klassieke juridische truc voor afbakeningen waar je niet uitkomt; kies een fraaie formulering of open norm en laat de interpretatie over aan de arme collega (of rechter) die over vijf jaar moet duiden waar je aan toe bent.

Bij die antibarrearbeidsomstandighedenlicentie zie ik ergens nog wel een juridisch sprankje hoop. Die verbiedt grofweg alleen dingen die toch al tegen de wet zijn. Het lijkt me lastig verdedigbaar dat de Open Source Definitie zo breed opgevat moet worden dat ook het field of endeavor van de illegale zaken toegelaten moet zijn. Ik weet niet hoe ik dit neutraal opschrijf, het voelt gewoon te onredelijk en onlogisch dat een licentiegever moet toelaten dat zijn licentienemers de software voor wetsovertredingen inzetten. Die dingen mogen gewoon niet. En dan is het volgens mij geen reële beperking als ik zeg “ik sta niet toe dat je mijn software daarvoor gebruikt”.

Datzelfde argument zou wat mij betreft hier opgaan. Het kan niet waar zijn dat mensen moeten toestaan dat mensenrechten worden geschonden met hun software. Daar kan ik alleen cultuurrelativistisch tegenover zetten dat het mensenrecht van de een het privilege van de ander is. Als kinderarbeid bij mij legaal is, waarom moet jouw licentie dat dan verbieden? Als de overheid iets een detentiefaciliteit noemt, terwijl anderen het een concentratiekamp noemen, mag die software daar dan voor worden ingezet of niet?

Daar kom je niet uit zonder gerechtelijke toetsing, en daar zit precies de pijn: hoe ga je hier een rechtszaak over voeren? Als je licentienemer werkelijk de wet overtreedt, dan kan hij daarop aangesproken worden. Voegt het dan wat toe dat je als licentiegever ze aanklaagt voor softwaregebruik bij kinderarbeid? En als het lokaal niet tegen de wet is om zoiets te doen, dan kom je per definitie ook nergens met een claim wegens licentieschending. Die is er dan immers niet, het is legaal. Dus ik denk dat deze bepaling vooral een signaal is om ethiek hoger op de agenda te zetten, en geen afdwingbare juridische clausule.

Arnoud

Een rechtbank mag providers (en dus ook Facebook) tot notice en *stay* down verplichten

Geplaatst op in Ondernemingsvrijheid, Uitingsvrijheid, 8 reacties

Het Hof van Justitie in Luxemburg heeft bepaald dat er geen EU-regels zijn die zich verzetten tegen een verplichting voor hostingproviders als Facebook om commentaren te verwijderen die sterk gerelateerd zijn aan eerdere onwettig verklaarde commentaren. Dat las ik bij Tweakers. Nogal een omweg om te zeggen dat rechters providers kunnen verplichten om onrechtmatig verklaarde inhoud ook werkelijk down te hóuden, bijvoorbeeld door met filters te herkennen dat iets vrij sterk lijkt op eerder, geweerd commentaar. Maar ze moesten wel, want er is geen EU-regel die letterlijk zegt dat rechters dit mogen doen. Daarmee is eindelijk een grondslag gekomen voor wat in het jargon notice and stay down heet; je hoeft niet apart een procedure te voeren over iedere repost met een toegevoegde komma of een zin “hear hear” er boven geplakt.

Wanneer iemand een onrechtmatige uiting plaatst op een platform zoals een website of een Facebookpagina, kun je een klacht indienen bij de beheerder. Die moet dan (als de klacht evident juist is) de uiting weghalen. Dat is notice & takedown zoals we dat al bijna 20 jaar kennen. Maar vaak speelt dan het probleem dat die content dan weer opnieuw wordt geplaatst door een ander, eventueel met kleine aanpassingen zodat het niet direct opvalt. Dan moet je als klager dus wéér aan de bak en die hele notice&takedown procedure doorlopen.

In een Oostenrijkse zaak had de eisende partij (dus de klager) tegen Facebook geëist dat deze stay down maatregelen zou nemen om een smadelijk bericht blijvend offline te houden. De rechter aldaar vond het belangrijk genoeg om dit aan het Hof van Justitie voor te leggen, dat dus niet alleen bevestigt dat die maatregelen er moeten komen maar ook dat de rechtbank mag vonnissen dat dat wereldwijd gevolg moet hebben.

En dus dat het ook moet gelden voor inhoudelijk grofweg dezelfde teksten. Dit omdat je anders nog steeds aan de gang blijft; iedere trol weet dat je een komma weg kunt halen of een zin toevoegen en dan een simpel algoritme kunt omzeilen. Het gaat alleen niet zo ver dat ieder bericht van gelijke strekking automatisch geweerd moet worden, ik denk echt dat het beperkt is tot tekstuele aanpassingen op het bericht, zeg maar even als we het plagiaat zouden noemen. Dit omdat de reden achter deze uitspraak is dat een verbod op herpublicatie niet te eenvoudig omzeild moet worden. Een volledig nieuwe tekst valt sowieso niet onder dat verbod, immers.

Bijzonder is nog dat het Hof expliciet zegt dat de rechter zo’n verbod ook wereldwijd mag opleggen. Althans, dat niets in het Europese recht zegt dat dat niet mag. Een paar weken terug zei het Hof nog wat anders bij het vergeetrecht. Maar het verschil is dat in die zaak de Europese wetgever vrij duidelijk niet aangedurfd had om een wereldwijd vergeetrecht aan te nemen. Bij dit soort klachten is er überhaupt weinig Europees recht, landen mogen dus zelf uitzoeken of zo’n vonnis wereldwijde werking mag hebben. Daarom kan de Europese rechter daar geen uitspraak over doen.

Arnoud

Duitse politie haalt datacentrum voor darknetmarktplaatsen offline

Geplaatst op in Regulering, 8 reacties

De Duitse politie heeft donderdagavond een datacentrum voor darknetmarktplaatsen offline gehaald en zeven verdachten gearresteerd. Dat meldde Tweakers onlangs. De servers werden onder meer gebruikt voor darknetmarktplaats Wall Street Market en een aanval op Deutsche Telekom-routers. De beheerder van het dc omschrijft haar diensten als bulletproof hosting en heeft beleid dat men zich niet actief bemoeit met wat klanten doen “except child porn and anything related to terrorism.” De inval lijkt te suggereren dat dat beleid niet geheel binnen de wet blijft, maar ik kreeg bezorgde hosters in de mail of zij ook strafrechtelijk aansprakelijk gehouden kunnen worden als er een strafbare klant tussen zit.

Bij Emerce een fascinerend verhaal over de geschiedenis van deze cyberbunker. In principe is onder de wet iedere hoster gelijk – je bent als partij die gegevens van klanten opslaat en doorgeeft als hoofdregel niet aansprakelijk voor die gegevens. Dat zou immers ook onwerkbaar zijn, hoe moet je dan iedere klant op ieder moment toetsen.

Het is dan ook weer niet de bedoeling dat je bewust de andere kant op kijkt. In de wet (art. 6:196c BW) staat dan ook dat zodra je actief bewust bent van bepaalde onrechtmatige inhoud, je moet ingrijpen. De bekende notice-takedownpolicies zijn op dat stukje gebaseerd. En voor de duidelijkheid: dat gaat over álle wetsovertredingen, niet alleen auteursrechtschendingen of strafbare zaken. Een NTD verzoek gebaseerd op de AVG behoort dus ook gewoon te werken, zij het dat de overtreding wel onmiskenbaar (evident) juist moet zijn en dat is bij AVG-dingen niet perse het geval.

Maar dat is civiel recht. Strafrecht kent zijn eigen regime, in dit geval artikel 54a Strafrecht, waarin staat:

Een tussenpersoon die een telecommunicatiedienst verleent bestaande in de doorgifte of opslag van gegevens die van een ander afkomstig zijn, wordt als zodanig niet vervolgd indien hij voldoet aan een bevel van de officier van justitie, na schriftelijke machtiging op vordering van de officier van justitie te verlenen door de rechter-commissaris, om alle maatregelen te nemen die redelijkerwijs van hem kunnen worden gevergd om de gegevens ontoegankelijk te maken.

De definitie is grofweg hetzelfde. Je moet een hoster (of access provider) zijn, een partij die gegevens van anderen opslaat en doorgeeft. Die definitie is breed genoeg om ook diensten als Skype of Twitter te vangen. Je kunt dan volgens de normale regels van het strafrecht worden vervolgd voor die handelingen, je bent immers formeel gezien behulpzaam en dus op zijn minst medeplichtig als die handelingen strafbaar zijn.

Maar dit artikel zegt van niet. Althans, wanneer je op bevel van de officier van justitie meteen die gegevens ontoegankelijk maakt. Dat bevel mag dan weer niet zomaar worden gegeven, er moet een machtiging van de onafhankelijke rechter-commissaris worden verkregen. Daar zit dus een stukje gerechtelijke toetsing. Dit mag je “alleen met gerechtelijk bevel” noemen, alleen laat je dan wel zien dat je meer vaart op Amerikaanse rechtbankseries dan Nederlandse wetboeken. De RC is de gerechtelijke instantie die zegt dat de officier mag eisen dat het weggaat. Bevalt dat je niet, dan kun je naar de ‘echte’ rechtbank maar dan sta je dus al in het strafbankje – geen gehoor geven aan een bevoegd gegeven bevel op zijn minst, of als men echt boos is dus medeplichtigheid aan dat strafbare feit.

Wanneer je je echter structureel inhoudelijk gaat bemoeien met wat je klanten doen, dan kun je niet meer spreken van een “tussenpersoon als zodanig”. Dan kun je je dus niet meer beroepen op de bescherming van artikel 54a, en je zou dan als medeplichtige van het handelen van die klanten gezien kunnen worden. Ik denk dat diezelfde situatie kan ontstaan als je je ook nadrukkelijk profileert als bulletproof hoster: je moet weten dat dat een bepaald type klanten aantrekt, met name vaak het type dat illegale zaken op het oog heeft. Dat voelt voor mij niet meer als de opstelling als neutraal tussenpersoon.

Arnoud