Mag een AI-politiecamera je beboeten voor een plak roggebrood in de hand bij het rijden?

Geplaatst op in Regulering, 16 reacties

Een lezer vroeg me:

Onlangs werd bekend dat de politie ‘slimme camera’s’ gaat inzetten tegen automobilisten die met hun smartphone in de hand aan het appen of bellen zijn. Maar hoe kunnen ze met zo’n camera zien of ik een telefoon vasthoud of bijvoorbeeld een navigatie-unit of zelfs een plak roggebrood? Die is ook zwart en rechthoekig.

Dit nieuwe systeem van de politie maakt gebruik van zogeheten “kunstmatige intelligentie” oftewel machine learning, waarmee foto’s worden geclassificeerd als “telefoon in de hand” versus “geen telefoon in de hand”. Zulke systemen zijn technisch relatief simpel; ze vereisen vooral een hele berg gelabelde foto’s van beide categorieën, zodat de herkenning van een nieuwe foto zo goed mogelijk is.

Het zou inderdaad niet werken als de camera ten onrechte van een foto concludeert dat deze “telefoon in de hand” betreft en dan het kenteken doorstuurt naar het boetesysteem. Daarom is een extra slag ingebouwd: als het camerasysteem een telefoon in de hand ziet, gaat de foto naar een menselijke agent. Deze doet dan de ‘echte’ beoordeling, en pas als zhij ervan overtuigd is dat de bestuurder op de foto reed en een mobiel elektronisch apparaat vasthield, volgt de automatische boeteprocedure.

In dit systeem is de camera dus eigenlijk niet meer dan een voorselectie. Daar zie ik weinig mis mee. Agenten kunnen niet iedere auto in kijken, en juist computers zijn goed in routinematig veel situaties verwerken en potentieel gekke dingen daarin signaleren. Ik heb dit liever dan een agent met verrekijker die de gehele dag op telefoons zit te letten.

Hoe goed het systeem is in het herkennen van roggebrood of ontbijtkoek weet ik niet. Maar het zou prima zijn als het systeem navigatie-units aanmerkt als “telefoon in de hand”, want ook het vasthouden van zo’n unit (of van een tablet, mediaspeler, laptop en ga zo maar door) valt onder het verbod.

Arnoud

AI is enorm dom en daarom is ethiek in AI zo enorm belangrijk

Geplaatst op in Informatiemaatschappij, 12 reacties

Ethiek en AI, twee begrippen die steeds vaker samen genoemd worden. Want als we overal AI gaan inzetten, met name voor besluitvorming en automatische systemen, dan moeten we wel vooraf nadenken wat voor impact dat heeft en of het wel ethisch wenselijk is dat dat zo werkt. Goed dat daar steeds meer aandacht voor komt, maar het blijft wel opletten dat de juiste ethische discussie wordt gevoerd. AI is namelijk ontzettend dom, en je moet het dus vooral niet hebben over de ethische overwegingen die de AI maakt bij de besluitvorming. Het gaat om de ethiek van mensen overlaten aan AI systemen.

Wat precies AI is, weet volgens mij niemand. Ik houd het bij de cynische constatering dat AI die inzet van statistiek-gedreven voorspellingen is die griezelig lijkt op hoe mensen zouden handelen. De weersvoorspelling is dus geen AI, een machine learning systeem dat tumoren herkent is op het randje (want nieuw en computer dus griezelig) maar een humanoïde robot die contextuele grappen maakt die is AI.

De technologie achter AI is op zich vaak verrassend simpel. Meestal gaat het om machine learning, analysetechnieken op grote bakken data waarmee het systeem regels afleidt om voorspellingen te doen. Heb je een stapel met een miljoen spamberichten en een miljoen niet-spamberichten, dan komt daar een griezelig accurate herkenning voor spam uit. Ondanks dat niemand vooraf harde regels stelt (“als het uit China komt en Viagra noemt, dan is het spam”). Die regels worden “van onderaf”, uit de data dus, afgeleid. “90% van de spam komt uit China, en slechts 1% van de nietspam, dus als het uit China komt dan is het spam”.

AI kun je gebruiken om ‘echte’ beslissingen te maken. Grofweg sloop je dan de mens uit het proces en koppel je de uitkomst van de AI aan de input van het vervolgsysteem. Kom hier met die stapel financiële gegevens, laat de AI zeggen of een hypotheek risicovol is en gebruik de ja/nee om de afwijsbrief dan wel het contract te genereren. En dát is waar je die ethiek zo broodnodig hebt.

AI is dom. Althans, doet rechtlijnig wat er uit de data volgt. Dat klinkt heel logisch en fair, maar veronderstelt dat die data-analyse op een faire manier gebeurt. En dat is een risicovolle veronderstelling, want die data is vaak niet fair – en daarmee de AI ook niet. Wees je in het verleden vaak hypotheken af van mensen die Achmed heten, dan doet de AI dat net zo braaf. Dat het bij jou toeval was, doet er niet eens meer toe. Maar die AI is niet onethisch omdat die zo blind aan het discrimineren is. Die doet gewoon wat de data hem ingeeft. De AI is a-ethisch.

Ethiek bij AI komt dus altijd pas een stap later. De AI zegt nee, wat gaan we daarmee doen? Is het wenselijk om die uitvoer te vertrouwen, kunnen we randgevallen herkennen en wat gaan we doen als achteraf een besluit niet in orde blijkt te zijn?

Op mijn congres The Future is Legal gaat prof. Natali Helberger (UvA/IvIR) dieper in op deze en aanverwante kwesties rond AI.

Algoritmische agenten doordringen ons online bestaan. Op basis van onze digitale profielen – ontstaan door massale surveillance – rangschikken algoritmische agenten zoekresultaten, verbergen en tonen nieuwsitems op sociale netwerken en proberen te raden welke producten we zouden kunnen kopen. Opkomende algoritmische agenten zijn in staat content te bieden die speciaal voor ons is gemaakt en kunnen contact met ons opnemen via unieke, gepersonaliseerde interacties. Het bestuderen van deze algoritmische agenten biedt tal van methodologische, ethische en logistieke uitdagingen.

Meediscussiëren? Leuk! Maar je moet er wel snel bij zijn want de kaarten vliegen de deur uit.

Arnoud

Uber laat passagiers audio opnemen als ze zich niet op hun gemak voelen, mag dat?

Geplaatst op in Privacy, 3 reacties

Uber test een nieuwe functie die passagiers audio laat opnemen wanneer ze zich niet op hun gemak voelen tijdens een rit. Dat las ik bij Tweakers. De opname wordt verstuurd naar Uber, zodat die de opname als bewijs kan dienen mocht dat nietpluisgevoel in verband staan met een daadwerkelijk onrechtmatig handelen. Creatief idee, al is het nog niet duidelijk hoe breed het zal worden ingezet. Maar het riep meteen bij mensen de vraag op of dat wel mag, zo stiekem de conversatie met de chauffeur opnemen enkel omdat jou het niet bevalt.

Bij het opnemen van gesprekken heb je in de praktijk te maken met zowel de AVG als de strafwet. Eerst maar die laatste. In veel landen (waaronder alle Europese landen en de VS) is het strafbaar om gesprekken van anderen op te nemen of stiekem af te luisteren met apparatuur. Iets ingewikkelder wordt het wanneer je zelf gesprekspartner bent. Dan verschilt het nogal per land of dat mag of niet.

In Nederland is de wet duidelijk: het is alleen strafbaar een gesprek op te nemen als je daar geen deelnemer aan bent – en ook niet opdracht van een deelnemer hebt om dat te doen. Maar in bijvoorbeeld Duitsland is het ook strafbaar om je eigen gesprekken op te nemen, tenzij de wederpartij daarmee instemt. (Wikipedia heeft een lijst per land.) Het is me niet duidelijk hoe ‘papier’ die wetten zijn, het voelt nogal cru dat je een slachtoffer van aanranding in de taxi gaat vervolgen wegens illegaal opnemen en de chauffeur vrijuit laat. Ik heb zoals u leest wel hele grote moeite met dit soort wetten, vanwege de bewijsnood die het vaak geeft en de botsing die je (mede daarom) met de vrijheid van informatiegaring krijgt.

De AVG kan ook een rol spelen, maar die is beperkt. Je eigen gesprekken opnemen is een verwerking van persoonsgegevens – van je gesprekspartner immers. Maar wie dat enkel doet om voor zichzelf dat gesprek vast te leggen (als bewijs dat er iets toegezegd is, dat er een bedreiging langskwam of iets dergelijks) die handelt daarmee voor strikt eigen huishoudelijk gebruik. Daarop is de AVG dan in het geheel niet van toepassing. (Zou je die opname gaan publiceren, dan geldt de AVG wel maar kom je wellicht in de journalistieke exceptie terecht.)

Zou de chauffeur deze functie gebruiken, dan wordt dat anders. Weliswaar kan die ook prima behoefte hebben aan een gespreksopname, want ook chauffeurs worden bedreigd, aangerand, uitgescholden of opgelicht (“geef me korting of ik geef je maar één ster”), maar een chauffeur handelt bedrijfsmatig en zijn verwerkingen van persoonsgegevens vallen dan wél gewoon onder de AVG. Hij zou dus op de taxi een sticker moeten doen dat er opnames in de taxi gemaakt worden, en een reglement hebben wat daarmee gebeurt. Ook als het een zzp’er is.

Voor Uber zelf is me nog niet duidelijk hoe het uitpakt. Als ze de opname alleen bewaren ten behoeve van de passagier, dan stellen ze zich op als verwerker en dan lijkt me er verder weinig mis mee. (Ik moet een examenvraag maken over de verplichtingen van een verwerker voor een niet onder de AVG vallende partij voor mijn opleiding senior privacyjurist.) Maar ik krijg het gevoel van dat tekstje dat Uber zélf gaat beslissen wanneer de opname wordt vrijgegeven en waarvoor, en dat zou maken dat ze zelf de verantwoordelijke worden (mogelijk samen met de passagier). In dat geval valt de opname wél onder de AVG en dan moet de app duidelijk aan de chauffeur maken dat er wordt opgenomen.

Arnoud

Dat was toch echt geen verrassing, dat vooraf ingevuld cookievinkjes niet rechtsgeldig zijn?

Geplaatst op in Privacy, 16 reacties

Gebruikers moeten selectievakjes bij cookiemeldingen expliciet aanvinken om cookies te accepteren. Dat las ik bij Tweakers. het Europese Hof van Justitie oordeelde dat de praktijk van de vooraf aangevinkte vakjes geen rechtsgeldige toestemming oplevert. Uiteraard levert dat een hele heisa op en de marketingbranche is vast geschokt door dit keiharde oordeel, maar laten we eerlijk zijn dit wist iedereen toch al tien jaar?

Dat je voor cookies (behalve de strikt noodzakelijke) toestemming nodig hebt, staat al jaren in de cookiewet. Maar omdat toestemming vragen nogal een gedoetje is, wordt daar massaal de hand mee gelicht. Het idee was overigens dat door zulke strenge regels aan toestemming te stellen, partijen minder cookies zouden inzetten. Moehaha, inderdaad. En dan krijg je dus – naast de cookiemuur – allerhande constructies die dat recht moeten praten; ik heb alle termen wel gehoord, van soft optin tot silent consent en browsewraptoestemming. Nee, dat werkt dus niet.

In deze zaak was een Duitse site voor de rechter gedaagd. Zij vroegen toestemming met de ‘ja’ alvast aangevinkt, en ook nog eens gecombineerd met een ander onderwerp. Het Hof kreeg echter niet de vraag of dat laatste mocht, wat nogal een gemiste kans is want ook daar was een keihard “nee, wat denk je zelf” best op zijn plaats geweest. Maar helaas. De vraag “mag het vinkje alvast aan staan” wordt wel duidelijk beantwoord: nee. Ik herhaal: nee. En voor de IT-ers die vinden dat twee ontkenningen elkaar opheffen: nogmaals nee.

Het doet er daarbij niet toe of de cookies iets met persoonsgegevens te maken hebben. Hoewel de regels over toestemming uit de AVG komen, is de cookiewet breder. Ieder opslaan of uitlezen van informatie op iemands computer vereist AVG-compliant toestemming. Ook bij bijvoorbeeld een update van je software of het opvragen van een bestandje zonder persoonlijke informatie. Blijf van mijn laptop tenzij ik zeg dat je erin mag. En dat mag dus niet met vooraf aangevinkte vinkjes.

Overigens stond dit al vrij letterlijk in de AVG: “Silence, pre-ticked boxes or inactivity should not therefore constitute consent.” Het is me dus niet helemaal duidelijk waarom de Duitse rechter het überhaupt nodig vond om de vraag toch aan het Hof voor te leggen, maar op zich wel fijn want dit is duidelijker dan een lagere Duitse rechter. Maar het blijft gek, dat we al sinds de cookiewet en sinds de AVG gewoon door blijven gaan met deze praktijk.

Of nou ja, gek. Nee. Zo raar is het niet, want er wordt niet gehandhaafd op deze praktijk. En dan kun je nog zulke strenge regels stellen, maar als je voor boetes niet bang hoeft te zijn, waarom zou je dan?

Misschien dat ik maar eens zo’n private handhavingsclub ga oprichten, elke website waar ik zo afgedwongen toestemming moet geven, mag me vervolgens honderd euro schadevergoeding betalen. Eens zien of dat werkt?

Arnoud

Toestemming vragen voor inzage in je studieschuld is waarom toestemming niet werkt

Geplaatst op in Privacy, 21 reacties

“Hypotheekverstrekkers gaan toestemming voor toegang tot studieschuld bij DUO opvragen”, las ik in het AD vorige week. Momenteel hebben hypotheekverstrekkers hier standaard geen informatie over, zodat het kan gebeuren dat mensen een hogere hypotheek krijgen dan verstandig zou zijn als wél rekening zou zijn gehouden met de DUO schuldpositie. Maar softwarebedrijf Ockto gaat komende maand de Dienst Uitvoering Onderwijs (DUO) toevoegen als databron voor hypotheekverstrekkers. Wel alleen toegankelijk na toestemming van de lener. En dat is wat mij betreft weer een mooi voorbeeld van waarom toestemming vragen onder de AVG niet werkt.

Natuurlijk, ik weet dat onder de AVG toestemming vrijelijk gegeven moet worden en deze toestemming afgedwongen is en dus niet rechtsgeldig, dus geen probleem. Welles. Want reken maar dat er een verhaal is waarom dit niet ‘echt’ dwang is, zoals dat altijd gaat wanneer je gaten in een wet laat die probeert mensenrechten te borgen. Kijk maar, daar gaan we:

Ook is het mogelijk dat de hypotheekverstrekkers het voor hun klanten gaan verplichten om toegang te verschaffen tot hun DUO-gegevens. Als je dat als klant niet wil, zul je naar een bank moeten gaan die dat niet verplicht stelt. Maar als ze het allemaal eisen, ontkom je er niet aan.

Aldus de ICT-leverancier die het toestemmingsknopje gaat bouwen. Want iedereen heeft standaard tientallen aantrekkelijke offertes voor hypotheek, en de vrije markt biedt vast ruimte voor verstrekkers die privacyvriendelijke hypotheken bieden waarbij de klant te veel leent. Nee precies.

Bijgevolg wordt er gewoon een toestemmingsvraag gesteld die ‘vrij’ geweigerd mag worden, maar ja hypotheken weigeren mag ook en je kunt tenslotte ook huren. Dus dat duurt wel een paar jaar tot het Europees Hof van Justitie zegt dat dit niet vrijwillig was. En zo gaat het dan elke keer met afgedwongen toestemming. We ‘vragen’ het gewoon, weigeren heeft gevolgen maar het lijkt net vrijwillig genoeg dat handhaven niet triviaal is. En het lijkt een redelijke vraag want schulden meld je toch gewoon? Dat is in je eigen belang toch?

Nope. Mensen willen graag een huis kopen, en rationeel is het op korte termijn beter een schuld te verzwijgen. Dan krijg je betere hypotheek. De schuldenlast zien we daarna wel, en in de toekomst verdien je meer dus het lost zich op, toch? Maar vooral: als je mensen de optie van toestemming geeft, dan zeg je: jij mag kiezen, het maakt niet uit of je A of B doet. En dat is oneerlijk als je vervolgens ze wél consequenties geeft als ze B (verzwijgen) kiezen. Als je niet wil dat mensen kiezen, moet je ze geen keuze geven.

(En ja, ik weet dat de AVG ook zegt dat met consequenties “ten sterkste rekening gehouden” wordt bij de vraag of toestemming vrij is. Maar dat is slappehapcompromis van EU wetgever. Kun je niets mee en gebeurt ook niets mee. )

Natuurlijk is het zorgelijk dat een hypotheeknemer een grote schuld kan verzwijgen. Maar volgens mij moet dat dan wettelijk geregeld, zodat er over nagedacht is of en wanneer deze schuld bekend moet En er waarborgen in de wet zijn wie er bij mag en wanneer. Bijvoorbeeld als het maandbedrag 1/4e van je inkomen is, want als daar dan ook nog een DUO schuld bovenop zit dan wordt het te veel. Of wanneer het totaalbedrag meer dan 3 ton is, of zoiets.

Of je zegt, kennis van volledige schuldstatus is nodig om fatsoenlijk hypotheekaanbod te doen. Dan is het noodzaak overeenkomst en dan moeten mensen het geven.

“Overigens is de minister niet de enige die wil voorkomen dat oud-studenten hun studieschuld verzwijgen.” Prima dus, maak een wetsvoorstel dat banken hierbij moeten mogen. Maar ga niet doen of mensen dit vrijwillig willen geven.

Arnoud

Is het maken van software voor een ddos-aanval, pardon een stresstest, legaal?

Geplaatst op in Ondernemingsvrijheid, 2 reacties

Een lezer vroeg me:

Op het forum van Security.nl las ik de vraag of het legaal is of niet om software te maken waarmee je ddos aanvallen kunt plegen. Kun je daar duidelijkheid over geven?

Het hangt van het beoogde doel van de software af of het illegaal is om deze te maken. De wet stelt namelijk strafbaar het maken, verkopen, verspreiden et cetera van een middel om een ddos aanval te plegen (artikel 139d lid 2 Strafrecht). Het moet dan gaan wel om een “technisch hulpmiddel dat hoofdzakelijk geschikt gemaakt of ontworpen is tot het plegen van een zodanig misdrijf”.

In de comments lees ik onder meer dat mensen wijzen op de bekende tool ping(1), waarmee je kunt kijken of een bepaald ip-adres bereikbaar is via internet. Deze beschikt over een flood-optie waarbij heel veel data wordt verstuurd. Daarmee kun je een (d)dos aanval plegen als je de ping richt op je slachtoffer en langdurig met die optie actief pings stuurt. Maar ik kan met de beste wil van de wereld dat geen “hoofdzakelijk geschikt gemaakt of ontworpen” noemen.

De zakelijke term voor legitieme tools die veel data sturen is een stresstester. Die kun je inzetten om bij je eigen netwerk (of dat van klanten) te kijken of de netwerkcapaciteit groot genoeg is, of zelfs hoe ze omgaan met een ddos aanval. Weten wat je aan kunt, is immers een goede test van je security. Maar zo’n tool moet dan wel worden gemarket als voor legitieme doeleinden en natuurlijk ook alleen op factuur en met contract waarin duidelijk staat wie waar gaat stresstesten en dat de klant daar toestemming voor geeft.

Een tool die is voorzien van uitleg hoe je heimelijk deze bij anderen installeert en vervolgens via internet commando’s stuurt om vanaf hun computers een dos-aanval uit te voeren, zou ik wel degelijk ‘ontworpen’ voor dat misdrijf noemen. Het zal dus heel erg neerkomen op hoe de tool wordt gepresenteerd, welke toelichting erbij staat en wat uiteindelijk de algemene indruk is. Ja, dat is vaag maar voor juristen is dat niet erg.

Let op dat het verder niet uitmaakt of je de software verspreidt of voor jezelf houdt. Ook alleen maar zelf maken is in theorie al strafbaar (hoewel de vraag is hoe iemand er dan achterkomt dat je het hebt).

Arnoud

Het is natuurlijk van de zotte dat we op internet handhaving volledig geprivatiseerd hebben

Geplaatst op in Informatiemaatschappij, Privacy, 4 reacties

Facebook heeft zijn eigen Supreme Court, las ik laatst. Dit interne orgaan heeft de hoogste macht om directiebeslissingen (met name die van Zuckerberg zelf) tegen te houden. Ik dacht eerst dat dit een hogerberoepsorgaan was voor bezwaren vanuit de gemeenschap; een van de grootste problemen met dit soort platforms is namelijk de onmogelijkheid om echt een claim tegen je account of postings aan te vechten. Maar het lijkt er niet op dat dat er gaat worden. Ik ben er nog niet over uit of dat nou een goed idee zou zijn of niet.

Al sinds het begin van internet is het zo dat de eigenaar van een site daar de baas is. Niet heel raar, het is jouw site en jouw server, dus jouw eigendom. In Nederland werd dat in 2004 al bevestigd in het Ab.fab arrest van de Hoge Raad: de eigenaar van een server mag zeggen wat er op die site gebeurt. Willen ze geen spammers die mails aanbieden, dan hoeven ze dat gewoon niet te tolereren. Niks belangenafweging, gewoon eigendom.

Veel site-eigenaren stellen huisregels; Compuserve was volgens mij de eerste die met Terms of Service kwam om het netjes te houden in de discussies op haar prikbordforum. Helemaal prima, welk café heeft er geen huisregels? Maar die TOSsen op internet gaan ondertussen wel een heel stuk verder dan de huisregels van het café op de hoek, waar je eruit gezet wordt als je je misdraagt maar na een persoonlijke babbel met de eigenaar er toch weer in mag. Of niet.

Dit doet wel heel raar aan. Als je een geschil hebt met Youtube of Facebook dan moet je reageren op een vrij anoniem formulier, waarna je moet hopen dat je teruggesteld wordt in de vorige toestand, in plaats van het cryptische bericht “Uw bericht heeft de gemeenschapsrichtlijnen overtreden. Hiertegen is geen beroep mogelijk.” Zou een rechtbank op die manier haar vonnissen formuleren, dan zouden we die rechters meteen afzetten. En terecht. Maar zo’n platform laten we ermee wegkomen, terwijl hun invloed veel groter is dan van de gemiddelde kantonrechter. Waarom is dat zo?

Tegelijkertijd zou het ook niet heel handig zijn als ieder geschil over een scheldwoord of een blootfoto tot een procedure bij de rechter moet leiden. Dat is duur en tijdrovend, een intern proces met op maat gesneden beoordeling en maatregelen (je mag doorgaan maar geen advertentie-inkomsten meer, om eens wat te noemen) is dan zeer wenselijk. Maar omdat het zo veel tijd en moeite kost – en vooral omdat het niet bijdraagt aan de core business, vermoed ik – worden die interne processen al heel snel geminimaliseerd. Geautomatiseerde afwijzingen, ongemotiveerde beoordelingen en een intern bezwaarteam dat ook maar zelden echt naar de zaak kijkt.

Op dat niveau is het nog wel te begrijpen. Maar ook op groter niveau hebben deze platforms en andere grote dienstverleners wel héél veel macht, waarin ze niet alleen mensen aanspreken op de regels maar ook de regels maken én ze handhaven met sancties. Die situatie is uniek voor internet; heel logisch gezien hoe het werkt maar heel raar gezien hoe de maatschappij in elkaar zit. Op welk punt zeggen we, dit bedrijf is zo groot, die moet gewoon onafhankelijke rechtspraak met dezelfde status en kwaliteit als de ‘gewone’ rechter?

Meediscussiëren over dit onderwerp? Op 15 november geeft Michiel Steltman een debatlezing over dit onderwerp op mijn congres The Future is Legal:

In de fysieke wereld heeft de overheid het monopolie op geweld en de regie over middelen om onrechtmatigheid te stoppen. Maar in de digitale wereld vraagt de overheid aan bedrijven om onrechtmatigheid en ongewenste uitingen te stoppen. Zo worden internetbedrijven – politie, OM, rechter en deurwaarder tegelijk. En worden ze machtiger dan goed voor ons is. In deze sessie schetst Michiel de situatie en verkent mogelijkheden om het tij te keren: hoe herstellen we de rechtsstaat voor het internet?

Tot dan!

Arnoud

Is met dat cameradatalek die camera zelf nu ondeugdelijk geworden?

Geplaatst op in Security, 9 reacties

Een datalek bij de ‘slimme’ camera’s van merken Apexis en Sumpple treft 14.000 exemplaren in Nederland, meldde onder meer Tweakers en RTL. De database van de fabrikant waarop inloggegevens opgeslagen worden, is slecht beveiligd en de gebruikerswachtwoorden staan er in plaintext, waardoor praktisch iedereen kan meekijken bij willekeurige camera’s. Bepaald pijnlijk, laakbaar en juridisch zonder meer een datalek (en ja dat valt onder de AVG ondanks de Chinese vestigingsplaats), maar het riep ook de vraag op of je met die camera dan terug kan, het ding is immers niet conform de gewekte veiligheidsverwachtingen. Daar heb ik toch enige twijfels over.

RTL legt uit wat er misgegaan is:

Apexis, het moederbedrijf van Sumpple, bewaart de e-mailadressen en wachtwoorden van gebruikers in een [via internet toegankelijke] database. Het wachtwoord voor deze database is zo belabberd dat hij voorkomt in de lijst met slechtste wachtwoorden ooit. Het is daardoor voor kwaadwillenden kinderlijk eenvoudig om toegang te krijgen tot deze zeer gevoelige gegevens.

Dan kun je nog zo’n sterk wachtwoord kiezen, als een fabrikant dat zonder enige noemenswaardige beveiliging in een database noteert dan heb je natuurlijk alsnog nul beveiliging. En door de koppeling met emailadres is het dan leuk zoeken voor een aanvaller.

Die dienst is dus zo lek als een mandje, en ik zou er zeker voor zijn als de Europese importeur van deze gluurcamera’s een forse boete van de AP of bevoegde buitenlandse collega krijgt. Het is immers een datalek met impact, en omdat er structureel gegevens van Europeanen in die database gaat valt dat onder de Europese AVG ook al staat de server in China.

Mijn twijfel over of de camera ook nonconform is (in de zin dat je nu terug mag en herstel of vervanging eisen, art. 7:17 BW) is dat de camera zelf volgens mij niet slecht ontworpen of geprogrammeerd is. De fout zit in de dienst waarmee de camera via internet met de app communiceert, of beter gezegd met een daarbij behorende database. Betekent dat dat het apparaat zelf ook fout is? In het algemeen denk ik van niet, mijn televisie is ook niet ineens nonconform nu Ziggo het analoge TV signaal heeft gestaakt. Maar misschien hier toch wel, omdat apparaat en dienst onlosmakelijk met elkaar verbonden zijn. Maar ik blijf ermee worstelen, het voelt niet logisch om fouten in dienstverlening als nonconformiteit van een daarbij benodigd product aan te merken.

De Nederlandse overheid werkt samen met de Europese Commissie aan een keurmerk voor slimme apparaten, lees ik dan nog bij RTL. Dat komt er pas in 2021 en mij is nog steeds niet duidelijk wanneer iets a) een slim apparaat is en b) hoe dat keurmerk datalekken gaat voorkomen. Zit er een voorafgaande screening en analyse door TNO aan vast?

Arnoud

Google hoeft recht op vergetelheid niet wereldwijd toe te passen van EU

Geplaatst op in Ondernemingsvrijheid, Privacy, 11 reacties

Google heeft een rechtszaak gewonnen tegen de Franse privacywaakhond CNIL die wilde dat de gegevens van een persoon wereldwijd uit de zoekresultaten van Google verwijderd werden. Dat meldde Nu.nl gisteren. Iets preciezer: het Hof van Justitie oordeelde dat het Europees privacyrecht niet eist dat mensen wereldwijd vergeten hoeven te kunnen worden. Dit naar aanleiding van een bevel van de Franse toezichthouder dat Google wereldwijd zoekresultaten op persoonsnaam moet opschonen als naar Europees recht die resultaten verouderde of irrelevante informatie bevatten. Dat bevel gaat te ver – maar vooral omdat de Europese wetgever niet heeft gedurfd het vergeetrecht wereldwijd in te voeren.

Het zogeheten “recht te worden vergeten” staat natuurlijk in de AVG (artikel 17) maar is in 2014 al ingevoerd als brede uitleg van de oude privacyregels. Het komt erop neer dat je als persoon zeggenschap hebt over wat Google over je meldt als mensen op je naam zoeken, in die zin dat verouderde en irrelevante informatie buiten beeld moet blijven. Die is immers niet meer relevant vandaag de dag, maar kan je privacy raken doordat oude dingen je nagedragen blijven worden. En daarbij wint de privacy dan in beginsel boven het recht van Google om als bedrijf informatie te mogen ontsluiten.

Google volgde dit arrest maar zocht vanaf het begin de grenzen op. Eentje daarvan was dat de te vergeten resultaten alleen buiten beeld bleven in de zoekinterface met Europese domeinnamen (dus niet de .com). De Franse CNIL legde een bevel op dat dit te weinig was, en dat Google eigenlijk ongeacht locatie van de zoeker tot blokkade moet overgaan, omdat je anders triviaal dat vergeetrecht kunt schenden. (Google had overigens in de tussentijd IP-geolocatie ingevoerd, zodat het niet meer uitmaakte welke extensie je zoekinterface had. Je moet dus een niet-Europees IP-adres hebben om nog om de zoekbeperking heen te komen.)

De vraag kwam natuurlijk bij het Hof van Justitie. Dat oordeelt dat het vergeetrecht weliswaar uit het grondrecht tot bescherming van persoonsgegevens volgt, maar wel in balans moet staan met andere grondrechten, in dit geval de vrijheid van informatie van internetgebruikers wereldwijd. Die vrijheid kan aanzienlijk variëren; lang niet alle landen kennen iets als ons vergeetrecht. En dan gaat het wel heel ver om nu te zeggen, die grondrechten elders moeten maar wijken voor onze grondrechten.

Het kán wel, het Hof laat nadrukkelijk de optie open dat Europa wereldwijd bescherming van grondrechten afdwingt. Alleen, dat is wel iets dat de Uniewetgever dan expliciet moet regelen. Niets in de AVG suggereert dat ze dit hebben willen doen, terwijl er wel andere dingen in staan voor bedrijven buiten de EU. Dus kennelijk heeft de wetgever dat niet aangedurfd of niet gewild. En als dat zo is, dan moet de rechter natuurlijk niet alsnog die regel zelf op gaan leggen.

Het Hof laat wel een gaatje open: Europese landen mogen zelf aanvullende regels stellen over hoe om te gaan met informatievrijheid versus privacy, en het is daarin mogelijk om een regel in te voeren die gaat over wereldwijd vergeten van zoekresultaten. Dat is dan wel legaal, omdat een land er dan over nagedacht heeft en in een wetsartikel heeft vastgelegd wat de belangenafweging en motivatie dan moet zijn.

Arnoud

Mag PostNL het nummer van mijn identiteitsbewijs overnemen bij een afhaling?

Geplaatst op in Privacy, 18 reacties

Via Twitter:

Als ik een pakketje ophaal, moet ik me legitimeren. Logisch. Maar waarom moet het @PostNL-punt mijn documentnummer dan intypen en opslaan? Dat is behoorlijk gevoelige informatie die ik helemaal niet af wil geven.

Waarop PostNL reageert: “Dit doen we op verzoek van de afzender om bij claims en navragen te kunnen controleren aan wie de zending is uitgereikt. Het is wettelijk toegestaan om het documentnummer over te nemen. Deze gegevens worden 90 dagen bewaard.” Wat een tikje gek klinkt, want als ik pakketjes verzend wordt me nooit gevraagd of ik van de ontvanger het documentnummer wil. Sterker nog, bij mijn PostNL punt werd me net verteld dat ik vanwege de privacy dat nummer niet mag hebben. (“Ja meneer de AVG he, heeft u misschien van gehoord.”)

Dat gezegd hebbende, heeft PostNL wel een punt (haha). Want “wettelijk toegestaan” is een tikkeltje kortaf geformuleerd, maar het klopt denk ik wel. Bij pakketjes is het redelijkerwijs noodzakelijk dat je de ontvanger identificeert, om te voorkomen dat zendingen aan de verkeerde persoon meegegeven worden. Daarmee samen hangt het punt dat je achteraf wilt kunnen nagaan hoe die identificatie is verlopen (logging) en dat je bij problemen (zoals een vermist pakketje) genoeg informatie hebt om bijvoorbeeld aangifte te doen.

De meest logische manier is om na een identificatie het nummer van de identificatiekaart te registreren. Dat nummer kun je eigenlijk alleen weten als je die kaart net gezien hebt, en de medewerker zal het pas opschrijven als de persoon genoeg lijkt op de foto op de kaart. Daarmee heb je een stevige verslaglegging (logging) van het proces, en kun je eenvoudig het documentnummer aan politie of andere instanties verschaffen.

Omdat het documentnummer an sich nergens voor te gebruiken is (het is geen bsn), lijkt het risico me zeer laag als dat nummer lekt. Ik zie dan ook geen reden om alternatieven te overwegen. Je zou bijvoorbeeld kunnen zeggen, noteer slechts de laatste drie cijfers van dat nummer en/of de geboortedatum. Dan zijn mensen ook redelijk uniek vastgelegd, zodat de politie met die gegevens alsnog de persoon kan vinden. Maar dat is foutgevoeliger want twee achternaamgenoten kúnnen dezelfde geboortedatum hebben of zelfs dezelfde drie tegens van het documentnummer.

Belangrijker voor mij is dat een heel documentnummer verzinnen (om een persoon zonder identificatiekaart toch het pakket te geven) iets lastiger is dan drie cijfertjes intypen. Je moet dan het goede formaat weten, en elke keer net wat anders bedenken zodat het niet te snel opvalt. (Er zit geen elfproef of iets dergelijks in die nummers, dat maakt dit argument iets zwakker.) Daarom vooral zie ik geen echt alternatief dan dat nummer noteren.

Arnoud