HP wil goedkope inktpatronen alleen nog toestaan in duurdere printers

Geplaatst op in Informatiemaatschappij, 15 reacties

HP wil printers die ook inktcartridges van andere merken accepteren, duurder maken. Goedkopere printers gaan zulke cartridges voortaan blokkeren. Dat meldde Bright onlangs (dank, Vincent). Het bedrijf worstelt al geruime tijd met goedkopecartridgeconcurrentie, en heeft nu deze creatieve insteek gevonden om alsnog haar model van “goedkope printer terugverdienen met dure cartridges” goed te maken. Mag dat, is dan natuurlijk de vraag.

In het verleden hadden we diverse keren discussie over het weren van cartridges. Ik denk nog steeds dat dat in principe mag, mits het vooraf gemeld is als eigenschap van het product. De wet (art. 6:230m BW) eist dat de handelaar vooraf meldt:

de relevante interoperabiliteit van digitale inhoud met hardware en software waarvan de handelaar op de hoogte is of redelijkerwijs kan worden verondersteld op de hoogte te zijn

Nu gaat het hier om interoperabiliteit van hardware met hardware (tenzij je zegt dat het gaat om de software in de chip) maar dat lijkt me op dezelfde lijn te zitten qua belang. Dus is ook die informatie essentieel. Het moet dus op de doos staan of en in hoeverre de printer dit blokkeert. En bij online verkoop moet het in de productinformatie staan.

Aangenomen dat HP dit alleen doet bij nieuwe printers, zie ik er niet direct iets mis mee. Heel misschien wordt het problematisch als deze printerboer een machtspositie heeft. Dan gaan er vanuit het mededingingsrecht andere regels spelen en kan het zijn dat je anderen toe moet laten (tegen een redelijke vergoeding, dat wel). Ik heb nog steeds niet het idee dat dat zo is, HP is weliswaar een grote speler maar zeker niet de enige.

Zou HP dit via een softwareupdate pushen naar bestaande printers, dan wordt het een heel ander verhaal. Dát kan niet, want dan maak je achteraf een printer nonconform vanwege een beperking in functionaliteit die niet vooraf gemeld was.

Arnoud

Wanneer gaat hengelen naar een beloning over in afpersing?

Geplaatst op in Regulering, 6 reacties

Pretpark Walibi Holland gaat aangifte doen tegen een ontwikkelaar die een datalek meldde bij het bedrijf en om vier gratis toegangskaarten vroeg. Dat meldde Tweakers vorige week. De aangifte zou zijn vanwege chantage dan wel afpersing. De ontwikkelaar verwijst naar eerdere toezeggingen van het park dat kaartjes een gebruikelijke beloning zijn. Natuurlijk is het buitengewoon raar om voor dit niveau ‘afpersing’ naar de politie te stappen, en de PR is bepaald onhandig ingestoken. Al snel werd de keutel ingetrokken. Maar zit er juridisch een punt achter?

Het datalek in kwestie is overigens geen AVG-datalek, maar een financieel lek: je kunt per dag zien hoe veel tickets men verkoopt en wat de prijs per ticket was. Zonder enige rare actie, behalve dan F12 drukken in je browser. (Geen paniek, nog een keer F12 en deze blog is weer normaal.) In iets meer detail:

Ze hebben hun webshop (gezien de urls) afgenomen van het bedrijf Dept Agency. Deze shop zit vrij slordig in elkaar. De data die je in je browser krijgt, bevat precies hoeveel kaarten er totaal zijn voor een dag, en hoeveel er nog te koop zijn. Daarnaast staat de prijs erbij, dus een simpel rekensommetje laat zien wat er aan de spookhuizen en toegangskaarten verdiend wordt in de voorverkoop per dag. Openbaar. In je browser. Via element inspecteren. In een developer-vriendelijk, realtime JSON formaat.

De ontwikkelaar gaf deze technische blunder door aan Walibi, inclusief een stukje van de informatie als bewijs dat het lek er inderdaad zat. Hij gebruikte daarbij het mailonderwerp ‘Datalek ruilen voor kaartjes?’, kennelijk refererend aan eerder contact waarbij Walibi had aangeven dat kaartjes soms als beloning worden gegeven voor het melden van datalekken. Maar de directeur van Walibi (waarom die directrice genoemd wordt ontgaat me overigens, het is toch geen school) las hierin een strafbaar feit, namelijk afpersing:

Walibi laat zich niet chanteren. U zult dus geen tickets van ons ontvangen. Begin van dit jaar niet, nu niet en volgend jaar ook niet. U hoeft ons dus niet weer te mailen. Wij zullen wel aangifte tegen u doen.

Even los van de bepaald onhandige inschatting hier, is dit nu überhaupt afpersing te noemen? Het flauwe antwoord is nee, want afpersing is (art. 317 Strafrecht) kort gezegd dreigen met geweld om jezelf te bevoordelen. Ze bedoelen dan ook afdreiging (art. 318 Strafrecht):

Hij die, met het oogmerk om zich of een ander wederrechtelijk te bevoordelen, door bedreiging met smaad, smaadschrift of openbaring van een geheim iemand dwingt hetzij tot de afgifte van enig goed dat geheel of ten dele aan deze of aan een derde toebehoort, hetzij tot het aangaan van een schuld of het teniet doen van een inschuld, hetzij tot het ter beschikking stellen van gegevens, wordt als schuldig aan afdreiging, gestraft met gevangenisstraf van ten hoogste vier jaren of geldboete van de vijfde categorie.

Het stukje ‘dwingen’ is makkelijk hier, de ontwikkelaar zou die vier kaartjes (kaartjes zijn “enig goed”) willen hebben met zijn mail. Maar wat is dan de ‘dreiging’, het andere essentiële bestanddeel van dit delict? Dat zou dan waarschijnlijk een gang naar de pers zijn, betaal me of ik maak openbaar dat je een datalek hebt.

Dat is wat de ontwikkelaar zou hebben gezegd, aldus het pretpark:

Jullie lekken wederom data wat betreft omzet. Zullen we de bron van [sic] de datalek en het niet publiceren van data dit jaar ruilen voor 4 kaartjes voor volgende week zondag, inclusief Fastlane Gold Single + RIP Pass, Below en Clinic?

Dit stukje doet mij ook de wenkbrauwen fronzen. Het hele punt van belonen is voor het mélden van datalekken, je betaalt mensen niet voor hun stilzwijgen maar voor hun speurwerk. En ja, binnen de letter van de wet is het als afdreiging te construeren als je zegt “ik zal een geheim niet publiceren als je me geld geeft” wanneer dat publiceren op zichzelf wederrechtelijk is.

Bij de reacties lees ik dan de ontwikkelaar die stelt dat je de zin moet lezen in de context van eerdere communicatie. Dat snap ik gezien de voorgeschiedenis, en ik weet vrij zeker dat de directeur die niet kent en daarom de zin zo heftig oppakt. Het bewijst maar des te meer dat wanneer je met bedrijven communiceert, je in het bedrijfs moet communiceren.

Arnoud

Goh, Nederland heeft knappe inzichten over soevereiniteit in cyberspace

Geplaatst op in Regulering, 8 reacties

De brief van minister Blok aan de Tweede Kamer over soevereiniteit in cyberspace is een tour de force op juridisch gebied. Dat hoor je ook niet vaak van Kamerstukken, dus daar gaan we eens goed voor zitten. De brief werd van de zomer verstuurd en onlangs publiek gemaakt. Het doet me goed te zien dat het concept cyberspace als zodanig kennelijk juridisch erkend wordt, maar je maakt dingen wel een stuk ingewikkelder op die manier. De uitkomsten zijn overigens zeker wel verrassend en vernieuwend.

Het grootste probleem met cybervraagstukken is dat het de nationale soevereiniteit doorbreekt. Als een botnet met Europese slachtoffercomputers wordt gecommandeerd door een Braziliaan via een vpn een command&controlserver in Korea om een Nederlandse bank plat te leggen, welke actie neem je dan als Nederlandse politie? In hoeverre zou bijvoorbeeld de soevereiniteit van Korea worden aangetast als je die server terughackt en uitzet? Of die van Brazilië omdat ze die dader daar wilden aanpakken? (Dit is belangrijk omdat uit internationaal recht volgt dat je andermans soevereiniteit niet schendt; je komt dan richting de oorlogsdaden.)

Wanneer doorkruist een cyberactie nu de soevereiniteit? Het antwoord zou volgens Nederland liggen in het effect in het land waar dit gebeurt. Hoe ernstiger dat effect, hoe meer je aan iemands soevereiniteit knabbelt. Effecten die gelijk zijn aan ingrijpen met fysiek geweld zijn het extreemste voorbeeld: dat is eigenlijk gewoon keihard verboden. Het lamleggen van die Nederlandse bank is dus een schending van internationaal recht als dat door een staat zou gebeuren, bijvoorbeeld.

Minstens zo interessant is het zorgvuldigheidsbeginsel: dat je rekening houdt met andere landen wanneer je als soevereine staat handelt. Je opereert weliswaar soeverein maar niet volledig in isolatie, immers. Dat beginsel werkt een-op-een ook in de cyberwereld:

In de cybercontext betekent het zorgvuldigheidsbeginsel dat staten moeten optreden tegen: (1) cyberactiviteiten die worden uitgevoerd door personen op hun grondgebied of waarbij gebruik wordt gemaakt van zaken of netwerken op hun grondgebied of waar zij anderszins controle over hebben; (2) die inbreuk maken op een recht van een andere staat; en (3) waarvan zij op de hoogte zijn of zouden moeten zijn.

Brazilië of Korea zou dus moeten ingrijpen als die Nederlandse bank wordt platgelegd. En niet “dat zou leuk zijn” maar “dat moeten ze van het internationaal recht”. Wel moet het dan gaan om een ernstige inbreuk op de rechten van in dit geval Nederland. Eén enkele phishmail uit Nigera schept dus nog niet meteen zo’n verplichting.

Wat nu als zo’n land daar niet meteen gehoor aan geeft? Want dan komen we bij waar het echt om draait, zou de Nederlandse politie dan die C&C server plat mogen leggen op afstand, of die Braziliaan mogen spearphishen om de login te pakken te krijgen? Die zorgvuldigheidseis is een soort van opstapje daarheen. Als een land – zeg Brazilië – te kort zou schieten daarin, en Nederland ondervindt vervolgens ernstige schade, dan mag Nederland doorpakken en zelf maatregelen nemen. Terughacken dus.

Niet dat terughacken nu automatisch de meest logische actie is. Je moet altijd eerst kijken of er legale alternatieven zijn, zoals Brazilië blokkeren op de AMS-IX, diplomaten uitzetten of een andere handeling die ook wel pijn doet maar duidelijk binnen je eigen rechten valt. Pas als dat niet lukt, dan kun je opschalen naar internationale actie – die dan wel tijdelijk en voor compensatie vatbaar moet zijn.

(Als goed jurist moet ik nu openen door te zeggen dat Nederland een lange traditie heeft met dit soort inzichten: Hugo de Groot formuleerde in 1609 zeer gezaghebbende principes over het recht op de internationale zeeën. Kort gezegd, iedereen heeft daar dezelfde (namelijk geen) exclusieve rechten, omdat geen land dit in eigendom kan hebben. Bij deze.)

Arnoud
PS: vergeet je ticket voor the Future is Legal op 15 november niet, ze gaan hard!

Laat je niet kisten, oftewel de Rijdende Rechter (nee, die nieuwe) over SEO en domeinnamen

Geplaatst op in Intellectuele rechten, 50 reacties

Als de moeder van Fred en Diana Klopper overlijdt, besluit hun zwager te bellen met de uitvaartondernemer. En toen ging hiet mis, aldus de Rijdende Rechter-uitzending van afgelopen dinsdag. Want dankzij slimme SEO van een budgetuitvaartondernemer vond de zwager diens telefoonnummer, terwijl hij dacht de Dela te bellen omdat het zouden regelen vanuit de uitvaartverzekering. Vanaf daar ging het snel bergafwaarts: de familie ontdekte dat de verkeerde partij bezig was met de uitvaart (“in een aula waar je nog niet dood gevonden zou worden”, zou Victor Brandt zeggen) en wilde de opdracht intrekken maar daarmee belandde men op een juridisch dood spoor. De Rijdende Rechter (die nieuwe dus) erbij gehaald: kan men van de overeenkomst af?

In de kern zat het conflict in deze zaak in het feit dat de zwager had gezocht op Dela (een uitvaartmaatschappij) en toen als eerste zoekresultaat een advertentie van Uitvaart24 zag. Daarop doorklikkend gaf een neutrale site, geen vermelding van Dela maar ook niet “wij zijn géén Dela”, ook geen eigen andere merknaam. Het telefoonnummer bellen gaf eveneens een zeer vlakke naam: de Uitvaartcentrale. Door dit zwijgen als het graf meende de zwager dat hij bij de Dela terecht gekomen was.

Toen het tegendeel aan het licht kwam, was men natuurlijk boos en trok men de opdracht in. Maar daar ging het mis, want de ondernemer vond dat hij alleen zaken deed met die zwager en die was even niet bereikbaar. Daardoor liepen de emoties hoog op, en werd onder meer geweigerd het lichaam vrij te geven – “mijn moeder wordt gestolen”, ik kan me daar wel wat bij voorstellen. Maar hoe zit dat nu juridisch?

Juridisch bekeken is dit een gevalletje misleidende handelspraktijk, wat mij betreft. Een omissie van essentiële informatie leidt tot een vernietigbare overeenkomst, en het niet expliciet noemen van je commercieel oogmerk is een voorbeeld daarvan. Wie een advertentie toont bij de merknaam van een verzekeraar en dan zeer op de vlakte blijft over de eigen identiteit, is volgens mij bezig met het weglaten van dergelijke essentiële informatie.

Ik kan bijvoorbeeld op deze site van ze echt niet concluderen dat men de bedrijfsnaam, KVK en BTW nummers duidelijk vermeldt. Van wie is deze site? Voor mij is “Goedkoopste Crematie [van] Utrecht” simpelweg geen handelsnaam – en ja ik weet dat die beschrijvend mogen zijn. Maar dit is geen náám. “Uitvaart24” wel, en ik denk dat wanneer die naam linksboven prominent had gestaan er geen sprake van redelijke verwarring was geweest. Ik twijfel of je in zo’n geval ook nog expliciet “Leuk dat u zocht naar Dela maar bij ons” er bij moet zetten, maar dat gaat me wat ver.

Je kunt het natuurlijk ook merkenrechtelijk benaderen, zoals in de uitzending gebeurde. Dan zeg je, de advertentie op het trefwoord Dela haakt aan bij de bekendheid van dat merk. Dat is in principe merkinbreuk, tenzij men duidelijk de gewekte indruk wegneemt dat je iets met Dela te maken hebt. Als de Jumbo adverteert “Wij zijn de goedkoopste” bij een zoekopdracht op “albert heijn” dan is dat bijvoorbeeld geen merkinbreuk (als het klopt, natuurlijk). Maar het is bepaald geen plakje cake dat je er langs die route komt: deze 1400 websites van de uitvaartondernemer vermelden nergens merken, nemen geen positie in ten opzichte van merkhouders maar zeggen gewoon “wij regelen uw uitvaart”. Ik denk dat dit merkenrechtelijk in orde is – wat ook de reden is dat de Rijdende Rechter de eis afwijst.

Had men het via het consumentenrecht gespeeld, dan ben ik ervan overtuigd dat het wél was gelukt. Die regels zijn gewoon veel meer in het voordeel van de consument, en er is eerder sprake van misleiding in de zin van het BW dan van merkinbreuk. Dus dat is een gemiste kans. (En ach wat mis ik Victor Brand in dit soort casus…)

Arnoud

VS rechter: ‘Pas websites aan op gehandicapten’

Geplaatst op in Ondernemingsvrijheid, 18 reacties

Het Hooggerechtshof van de Verenigde Staten verplicht eigenaren van websites om deze toegankelijk te maken voor mensen met een handicap. Dat meldde Emerce onlangs. Een man had Domino’s pizza aangeklaagd omdat hun website niet accessible was, en tot de Supreme Court werd bevestigd dat een dergelijke claim mogelijk is onder de Americans with Disabilities act. Daarmee is niet perse gezegd dat de website van Domino’s de wet overtreedt, maar het bevestigt wel dat websites onder die wet vallen. Een tikje een schok voor Amerikanen die dachten dat het alleen over rolstoelingangen bij de winkel gingen. Maar hoe zit dat bij ons?

In 2016 is het Verdrag inzake de rechten van personen met een handicap goedgekeurd. Dit verdrag beschrijft rechten van mensen met een handicap (langdurige fysieke, mentale, intellectuele of zintuiglijke beperkingen) en bevat tevens de verplichting dat verdragsstaten alle passende maatregelen nemen om te waarborgen dat redelijke aanpassingen worden verricht. In Nederland is daartoe een Uitvoeringswet ingevoerd, die in artikel 2 vermeldt:

Degene tot wie het verbod van onderscheid zich richt, draagt daarnaast tenminste geleidelijk zorg voor de algemene toegankelijkheid voor personen met een handicap of chronische ziekte, tenzij dat voor hem een onevenredige belasting vormt.

En ja, dit is zo breed bedoelt als u het hier leest. “Algemene toegankelijkheid”, dus die rolstoelingang maar ook de brailleaanduiding in de lift – én de navigatie van de website. Maar het wordt enigszins genuanceerd door dat “geleidelijk zorg dragen” en “geen onevenredige belasting”.

In 2017 is dit nader uitgewerkt in een AMvB:

1. [Dienstverleners zijn] verplicht tot het treffen van voorzieningen van eenvoudige aard en gaandeweg zorg te dragen voor de algemene toegankelijkheid voor personen met een handicap of chronische ziekte, tenzij dat voor hem een onevenredige belasting vormt.
2. Onder een voorziening van eenvoudige aard wordt verstaan: een voorziening die op weinig ingrijpende wijze en zonder of met weinig kosten tot stand kan worden gebracht.

Helaas is er nog steeds weinig duidelijkheid wat daar nu allemaal onder valt. Uit de parlementaire stukken haal ik maar één echt voorbeeld, namelijk “er op websites voor zorgen dat teksten groter kunnen worden gemaakt en er voldoende contrast is tussen voor- en achtergrondkleur”. Dat vereist dus niet eens dat je een schermlezer kunt inzetten om door een bestelformulier heen te komen.

Arnoud

Hoe navigeer je tussen werkbare procedures en de omstandigheden van het geval?

Geplaatst op in Informatiemaatschappij, 3 reacties

Mijn oog viel op deze tweet van de Engelse toezichthouder, waar ik een tikje van opkeek:

Hi, orgs should not look to adopt a blanket approach in asking for ID when responding to a SAR [inzageverzoek onder de AVG]. They should consider each request on a case by case basis and identify which form of ID is most proportionate if required.

De tweet was een reactie op een vraag van de onvolprezen privacyvoorvechter Pat Walshe, die constateerde dat je bij het vragen van een kopie van je persoonsgegevens bij Engelse politieke partijen altijd een kopie ID moet meesturen. Uit de reactie valt op te maken dat dat niet mag, en dat een organisatie dus per verzoek moet kijken of de persoon duidelijk geïdentificeerd is als de betrokkene en zo nee wat in dat geval het handigste is.

Mijn wenkbrauwen fronsen bij zo’n benadering, omdat ik net daarvoor dit onderzoek las over waarom organisaties regels schenden. Iets dat voor juristen vaak moeilijk te vatten is. Het staat toch in de wet dat dat niet mag, opgelost slotje. Maar voor organisaties werkt dat niet zo:

Because organizations rely on routines for following rules, complex rules would require complex routines, which would be harder to execute reliably. As expected, both types of rule complexity increased noncompliance. The two also reinforced one another such that having many components and connections made it far more likely that the rule would be broken.

Met name die eerste zin springt in het oog natuurlijk: organisaties werken altijd met routines, met procedures. Dat is de enige manier om het werkbaar te houden voor de mensen die het moeten doen. Elk geval toetsen op de individuele merites is ongelofelijk kostbaar en geeft veel ruimte voor onduidelijkheid. Het voelt dan ook wat onwerkbaar wat de ICO hier zegt.

Natuurlijk is het niet perse zo dat je altijd een kopie ID kunt vragen en anders stomeenvoudig zeggen, uw verzoek wordt afgewezen. Je moet een controle hebben die past bij de situatie. Als mensen bijvoorbeeld zich online aanmelden voor je dienst (zoals bij de bekende “Mijn Dinges” portalen) dan is een aanvullende identificatie niet nodig. En staan ze aan de balie, dan kun je gewoon hun ID bekijken zonder dat een kopie nodig is. Dat zijn prima procedures.

Maar écht maatwerk, dat zou de uitzondering moeten zijn. Ik vrees dat het juist eerder misgaat als ieder geval als maatwerk wordt behandeld. Dat duurt langer, leidt tot willekeur en fouten.

Arnoud

Eh, de fysieke inhoud van een gevonden portemonnee hoef je dus niet te vernietigen van de AVG

Geplaatst op in Privacy, 25 reacties

Ik raakte mijn portemonnee kwijt in de supermarkt en toen ik terugkwam, bleek het ding te zijn vernietigd want de AVG he meneertje. Nee, niet mijzelf overkomen maar ik las het op Reddit (dank tipgever). Oké, in Engeland waar ze wel meer rare dingen doen maar het voelt zomaar als een beleidsregel die ook bij ons gaat rondzingen als we niet uitkijken. Immers, als je ongevraagd toegezonden persoonsgegevens, moet vernietigen, dan toch zeker ook met ongewenst aangetroffen fysieke dragers met die gegevens?

Een vuistregel bij juridische uitkomsten is, als de uitkomst absurd is dan is je redenering fout. De winkelketen (het Engelse Co-op) maakt dus een fout, maar waar gaat het mis? Je kunt het op twee manieren bekijken.

Allereerst puur de AVG: het in bezit nemen van een gevonden portemonnee met pasjes is nog geen verwerking van persoonsgegevens die onder de AVG valt. Het betreft hier immers geen elektronische verwerking, dus geldt de AVG alleen wanneer de gegevens bestemd zijn om (bij jou) in een bestand opgenomen te worden. En daar is geen sprake van, de kluis van de manager is geen bestand. De AVG stelt dus überhaupt geen eisen aan deze verwerking, laat staan de eis tot vernietiging.

Ook kun je zeggen dat dit gewoon mag van de AVG, want dit is in het belang van de eigenaar (artikel 6 lid 1 sub f AVG) en als je het ding gewoon in de kluis laat liggen dan zijn de risico’s voor de eigenaar minimaal, mag ik aannemen. Het ligt in de kluis. Natuurlijk, als je portemonnees bewaart op een plankje achter de kassa dan wordt dat anders maar dat is gewoon dom en moet je dus niet doen. (Soms is juristerij makkelijk.) Er is dus niet a priori een eis dat die pasjes meteen vernietigd moeten worden.

Ten tweede speelt er naast de AVG – als die dus al geldt – ook nog gewoon andere wetgeving, zoals dat het strafbaar is om andermans eigendom te vernietigen. Nu is er in het recht de regel dat jonger recht (zoals de AVG) wint van ouder recht (zoals het wetboek van strafrecht), en ook de regel dat hoger recht (Europees) boven lager recht (Nederlands) gaat. Maar die regels spelen pas bij een conflict, en dat conflict is er pas als de AVG ondubbelzinnig zou zeggen dat die pasjes vernietigd moeten worden. En dat doet de AVG dus niet.

Arnoud

Hela, hebben we nou ineens een recht op reparatie van slimme (haha, ja) apparaten?

Geplaatst op in Innovatie, 5 reacties

Huishoudelijke apparaten worden vanaf 2021 makkelijker te repareren, las ik bij de BBC. Fabrikanten moeten zorgen dat die dingen langer meegaan én dat reserveonderdelen 10 jaar beschikbaar blijven, waarbij ook anderen dan eigen dealers de reparatie moeten kunnen uitvoeren. Dit right to repair is al een jaar of tien een discussieding, want steeds vaker gaan apparaten op slot: alleen de fabrikant kan er softwareupdates in duwen, en hardwareupdates zijn technisch ingewikkeld of ook onmogelijk gemaakt tenzij je dealer bent en de juiste schroevendraaier of aansluiting hebt. Combineer dat met planned obsolescence oftewel geplande slijtdatum en je ziet hoe dat de markt verpest.

De berichtgeving gaat terug op tien Verordeningen over nieuwe ecologische eisen aan huishoudelijke apparaten. Deze moeten te herstellen en te recyclen zijn, en een stuk energiezuiniger ook. Oh, en softwareupdates mogen het gedrag niet veranderen op een manier die in strijd is met de certificering of op een manier die betere performance bij onderzoeken geeft. Oh en speciaal voor Apple: aanpassing van energieconsumptie mag alleen met expliciete toestemming van de gebruiker.

Herstel moet kunnen voor 7 tot 10 jaar na verkoop afhankelijk van het soort apparaat. Daarbij moeten de onderdelen binnen 14 dagen na verzoek geleverd worden en met algemeen gebruikelijke apparatuur geïnstalleerd kunnen worden zonder het apparaat permanent te beschadigen. Dat laat nog maar weinig ruimte voor fabrikantengeintjes. Zeker omdat ook de voor eigen onderdelen benodigde informatie (zoals diagrammen en specificaties van sensoren en dergelijke) moet worden gepubliceerd op de eigen officiële website.

Weinig, want specifiek bij software zie ik wel meer mogelijkheden. Mag je bijvoorbeeld inbouwen dat een zelfgemaakt vervangend stuk hardware alleen door jou gecertificeerde code mag bevatten; geen certificaat met digitale handtekening van de fabrikant, dan werkt ie niet. Dit voelt tegen de geest van de regel maar ik zie zo 1-2-3 geen expliciet verbod daarop.

Verder is het natuurlijk jammer dat de informatie alleen aan professionele herstellers hoeft te worden aangeboden. De informatie mag dus afgeschermd worden tot personen die zich aanmelden en door een (vrij beperkte, maar toch) screening heenkomen. Reken maar dat deel daarvan dan is dat ze de informatie niet publiek maken, zodat Jan met de 3D printer er niets mee kan.

In de goede journalistieke traditie van “een vraag in de kop wordt met nee beantwoord” is het antwoord dus helaas nee, slimme apparaten zijn niet wettelijk afdwingbaar te herstellen – dat gaat immers om softwareupdates en daar zegt de Verordening nu net niets over. Een gemiste kans dus. Jammer.

Arnoud
PS: er zijn nog beperkt kaarten beschikbaar voor mijn congres The Future is Legal!

Hoe ethisch verantwoord mag een opensourcelicentie zijn?

Geplaatst op in Ondernemingsvrijheid, Uitingsvrijheid, 23 reacties

Een nieuwe toevoeging aan het opensourcefirmament: de Hippocratische licentie, grofweg de MIT licentie met de toevoeging dat de software niet mag worden ingezet voor doelen die de Universele Verklaring van de Rechten van de Mens schenden. Iets preciezer: die mensen in gevaar brengt of hun well-being aantast op een wijze in strijd met de UVRM. Een nobel idee natuurlijk, maar het gaf herrie in de tent, want opensourcelicenties horen neutraal te zijn over het ‘field of endeavor’ waarvoor de software wordt ingezet. Deze eis staat ook zo vanaf het begin in de Open Source Definition. Maar is dat nog wel actueel om die eis te stellen?

De auteur van de licentie motiveert haar keuze kort gezegd als volgt:

Developers don’t want their labor being used to do harm, and the current structure of open source software strips any power from creators to prevent this from happening. We are being exploited. Human freedom is being traded for so-called “software freedom”.

Toen de Open Source Definition werd geschreven, was de kijk op de wereld heel anders. De discussie ging daar vaak over of bedrijven (commercial entities) al dan niet de software mochten gebruiken. Veel licenties van gratis beschikbare software verboden commercieel gebruik, of stelden extra eisen aan bedrijfsmatig gebruik. Voor het succes van open source zou dat onwenselijk zijn geweest, vandaar dat de Open Source Definition (en al eerder de Debian Free Software Guidelines) expliciet eiste dat de licentie neutraal was op toepassingsgebied:

The license must not restrict anyone from making use of the program in a specific field of endeavor. For example, it may not restrict the program from being used in a business, or from being used for genetic research.

Het ‘genetic research’ voorbeeld is later toegevoegd, en laat zien hoe de discussie verschoven is. Want controverse over zakelijk gebruik van gratis beschikbaar gestelde software is er nauwelijks meer; de controverse over onethisch gebruik van software des te meer. En dan is ‘genetic research’ nog een zwak voorbeeld: wat te denken van inzet van je software voor concentratiekampen, killer robots of systemen voor manipulatie of onderdrukking van bevolkingsgroepen.

Het doet denken aan de discussie over de Do No Evil-licentie en de antibarrearbeidsomstandighedenlicentie. Hoe baken je af wat “evil” is. Deze auteur sluit aan bij een definitie die voor juristen algemeen aanvaard en redelijk duidelijk is: de definitie van mensenrechten die al sinds 1948 wijd geaccepteerd is (althans in het Westen). Dat is de klassieke juridische truc voor afbakeningen waar je niet uitkomt; kies een fraaie formulering of open norm en laat de interpretatie over aan de arme collega (of rechter) die over vijf jaar moet duiden waar je aan toe bent.

Bij die antibarrearbeidsomstandighedenlicentie zie ik ergens nog wel een juridisch sprankje hoop. Die verbiedt grofweg alleen dingen die toch al tegen de wet zijn. Het lijkt me lastig verdedigbaar dat de Open Source Definitie zo breed opgevat moet worden dat ook het field of endeavor van de illegale zaken toegelaten moet zijn. Ik weet niet hoe ik dit neutraal opschrijf, het voelt gewoon te onredelijk en onlogisch dat een licentiegever moet toelaten dat zijn licentienemers de software voor wetsovertredingen inzetten. Die dingen mogen gewoon niet. En dan is het volgens mij geen reële beperking als ik zeg “ik sta niet toe dat je mijn software daarvoor gebruikt”.

Datzelfde argument zou wat mij betreft hier opgaan. Het kan niet waar zijn dat mensen moeten toestaan dat mensenrechten worden geschonden met hun software. Daar kan ik alleen cultuurrelativistisch tegenover zetten dat het mensenrecht van de een het privilege van de ander is. Als kinderarbeid bij mij legaal is, waarom moet jouw licentie dat dan verbieden? Als de overheid iets een detentiefaciliteit noemt, terwijl anderen het een concentratiekamp noemen, mag die software daar dan voor worden ingezet of niet?

Daar kom je niet uit zonder gerechtelijke toetsing, en daar zit precies de pijn: hoe ga je hier een rechtszaak over voeren? Als je licentienemer werkelijk de wet overtreedt, dan kan hij daarop aangesproken worden. Voegt het dan wat toe dat je als licentiegever ze aanklaagt voor softwaregebruik bij kinderarbeid? En als het lokaal niet tegen de wet is om zoiets te doen, dan kom je per definitie ook nergens met een claim wegens licentieschending. Die is er dan immers niet, het is legaal. Dus ik denk dat deze bepaling vooral een signaal is om ethiek hoger op de agenda te zetten, en geen afdwingbare juridische clausule.

Arnoud