Moet je je verzendkosten terugkrijgen bij een bovenwettelijke retourtermijn?

Geplaatst op in Ondernemingsvrijheid, 6 reacties

Interessante discussie bij Tweakers:

IKEA schermt met 365 retour garantie. Maar verzendkosten krijg je alleen retour als je het binnen 14 dagen retourneert. Het gaat me niet perse om die EUR 2,99. Ik was eigenlijk gewoon nieuwsgierig of je zo’n beperkende voorwaarde kunt hangen aan 365 dagen retour.

Het korte antwoord is natuurlijk dat dat kan, omdat de wet rond het retouren van online bestellingen (art. 6:230s BW) alleen maar regels bevat voor een retour die is aangemeld binnen 14 dagen na ontvangst. Als je als winkel dus zegt, bij ons mag het ook tot een vol jaar na ontvangst, dan mag je voor die periode boven de 14 dagen je eigen regels stellen.

Het lange antwoord komt op hetzelfde neer maar is iets subtieler. Het hangt er namelijk vanaf wat je precies zegt (de helft van u knikt nu, ja hier spreekt een jurist). Als je namelijk enkel zegt “bij ons is de retourtermijn verlengd tot 365 dagen” dan hang je volgens mij wél dat gehele jaar aan de wettelijke regels en dus ook aan de verplichting tot terugbetaling van de heenzendkosten. Je wekt dan immers de indruk dat je de wettelijke rechten van de consument verlengt.

Zou je daarentegen zeggen “Bovenop uw wettelijk recht om binnen 14 dagen de koop te annuleren mag u bij ons tot 365 dagen retourneren, maar let wel dan krijgt u enkel het aanschafbedrag terug” dan zit je volgens mij goed. Dan onderscheid je duidelijk het wettelijke van je bovenwettelijke eigen regeling. En zeker als je daar dan ook nog eens bij zegt, de heenzendkosten krijg je dus niet terug, dan zie ik er geen probleem in.

Arnoud

Had ik al eens gezegd dat ICT van de open standaarden aan elkaar hangt (en wat dat met patenten doet)?

Geplaatst op in Innovatie, 18 reacties

Innovatie en patenten, volgens de (juridische) boekjes horen die onlosmakelijk bij elkaar. Je vindt iets uit, en omdat je bang bent dat een ander ermee vandoor gaat houd je dat geheim. Dat is vervelend voor de maatschappij, dus kun je als alternatief een octrooi of patent krijgen waarmee je juridisch kunt optreden tegen zo’n innovatie-naäper. Wel moet je dan in detail vertellen hoe je uitvinding werkt, zodat we na afloop van je octrooi er allemaal profijt van kunnen trekken. Klinkt geweldig he? Maar in de praktijk werkt het vaak niet zo. Helemaal niet in de ICT.

Het octrooisysteem zoals wij dat kennen is geboren in de 18e eeuw, hoewel de eerste soort-van patentwet al in 1474 in Venetië van kracht was. Niet toevallig ging dat samen met de eerste Industriële Revolutie (we zitten nu in de vierde, overigens). Er werd veel uitgevonden en op de markt gebracht, en er werd ook veel gekopieerd. Patenten kwamen dan ook precies op het goede moment. Alleen, of ze werkten zoals de bedoeling was, blijft de vraag: al sinds de patenten van James Watt op de stoommachine is er discussie of patenten niet juist innovatie vertragen omdat je nieuwe systemen tegen kunt houden.

In de ICT en met name rond internet hebben we daar lang geen last van gehad, omdat patenten op software niet leken te kunnen. Wiskundige methoden en instructies voor computers waren uitgesloten van octrooi, en de grote innovators/patentaanvragers hadden ook zelden behoefte aan octrooien op dergelijke technieken want uiteindelijk werd alles toch hardware of een schakeling, waar gewoon octrooi op mogelijk was. Maar vanaf de jaren negentig veranderde dat; eerst in de VS en bijna tegen 2000 ook in Europa toen diverse uitspraken van de octrooiverlenende instanties leken te concluderen dat softwarepatenten wel mogelijk waren. Pas sinds de Alice-uitspraak lijkt er gelukkig een einde te zijn gekomen aan de grootste onzin. (Lees dit juridische artikel voor alle jurisprudentie in die tijd.)

Softwarepatenten waren met name vervelend vanwege de standaardisatie. De ICT hangt van de standaarden aan elkaar. Geen product of dienst staat op zich, alles moet met elkaar kunnen praten. Standaarden kun je geheim houden, maar dan kan niemand met je samenwerken en de meeste ict-dienstverleners hebben elkaar toch nodig. Vandaar dat op internet veel gewerkt werd met open standaarden, waarvan de specificatie bekend was zodat iedereen die in kon bouwen. Er is dan alleen één probleem: wat als iemand een patent heeft op iets in die specificatie? Dan kun je deze niet bouwen zonder het patent te schenden.

Wanneer zo’n standards essential patent een specifieke technologie treft, dan is de schade nog te overzien. Dan stap je over van GIF naar PNG of je vermijdt het IDEA algoritme. Maar als het patent fundamenteler is, dan loopt die standaard vast. Volgens mij is dat een bug in het patentsysteem. Bij de eerste industriële revolutie kwam die niet aan het licht, omdat de meeste vindingen in die tijd standalone waren. Daar kun je dan een alternatief naast zetten, maar de dieselmotor hoeft niet compatibel te zijn met de stoommachine of zelfs de benzinemotor.

Het concept van interoperabiliteit of compatibiliteit is daardoor nooit in het patentsysteem verwerkt, en daar merken we nu pas de gevolgen van. Natuurlijk waren die er al langer, maar het ging geruime tijd goed omdat de grootste patenthouders onderling licenties afsloten of patent pools inrichtten waar men eenvoudig kon afrekenen en toegang kon krijgen tot patenten. Als je die standaarden vervolgens in een commercieel verkocht product stopt, kun je die kosten vervolgens gewoon verhalen. Weinig aan de hand dus. Maar op internet werkt dat niet: daar wordt alles gratis geïmplementeerd. Afrekenen per product of per maand dienstverlening is dan niet mogelijk.

De product/patentwerelden en de ict/internetwereld botsen sinds eind jaren negentig steeds vaker met elkaar. De recentste plek waar dit lijkt te gaan gebeuren, is die van de elektrische auto. Op mijn congres The Future is Legal vertelt Lonneke Driessen van de Open Charge Alliance over open standaarden in de elektrische-autowereld:

Inmiddels zijn elektrische auto’s niet meer weg te denken uit het straatbeeld. Over een paar jaar zijn ze zelfs goedkoper dan benzine- of dieselauto’s in aanschaf, onderhoud en verbruik. Daarnaast rijden ze schoner, stiller en soepeler. Een nieuwe wereld ligt dus in het verschiet, waar nieuwe spelers kansen zien. Het eerste juridische wapengekletter is inmiddels een feit. Graag nemen we u mee in het verhaal hoe de eerste rechtszaak over intellectueel eigendom rondom elektrisch vervoer is verlopen, wie er gelijk heeft gekregen en waarom.

Er is nog plek dus schrijf je snel in.

En voor de discussie nu de stelling: patenten hadden bij de zuivere werktuigbouwkunde (en oké, chemie) moeten blijven.

Arnoud

Wanneer is een deurcamera gerechtvaardigd onder de AVG?

Geplaatst op in Privacy, 10 reacties

Een lezer vroeg me:

Ik heb een deurspion in de voordeur indertijd vervangen door een electronische versie die een foto of video kan maken van de persoon die aanbelt. Op de voordeur buiten is er geen melding van gemaakt en een willekeurige aanbeller kan buiten niet zien dat er een electronische deurspion aanwezig is. Moet ik i.v.m. de AVG deze deurspion weer verwijderen?

Het fotograferen of filmen van mensen kan inderdaad onder de AVG vallen, maar dat wil niet zeggen dat het automatisch niet meer mag.

Allereerst gaat het hier om een privésituatie, de deur van een woonhuis van een particulier. Daarop is de AVG lang niet altijd van toepassing; er is een uitzondering voor zogeheten huishoudelijk of privé gebruik van persoonsgegevens.

Die uitzondering houdt op wanneer je buiten de eigen particuliere sfeer treedt, aldus het Hof van Justitie. En dat doe je onder meer wanneer je de openbare weg structureel filmt. Bij een deurbel-met-camera kan dat aan de orde zijn, afhankelijk van waar hij op gericht is en hoe lang hij filmt. Een bel die alleen het eigen portiek kan ‘zien’ en alleen aangaat na aanbellen, is heel wat anders dan een dikke camera die een 360 graden overzicht van de gehele straat permanent registreert.

Als de AVG van toepassing is, dan is de volgende vraag of de inzet van het middel een grondslag heeft. Dat zou hier gaan om beveiliging van het pand en/of de mensen of goederen daarin. Dat is in principe een legitiem belang (artikel 6 lid 1 sub f AVG), maar daarbij moet je vervolgens wel toetsen of je dat middel echt nodig hebt en hoe je aan de privacyzorgen van je bezoekers (en toevallige passanten) tegemoet komt.

De vraag komt dus neer op, heb je nou echt zo’n deurcamera nodig, kan het niet met gewoon een klassiek spionnetje? Wie veel van huis is of slecht ter been, zal eerder een camera kunnen rechtvaardigen lijkt me. Maar voor mij is belangrijker dat de bel alleen filmt na aanbellen, en alleen livestreamt zonder op te slaan. Dan is het echt het equivalent van een groothoeklensje in de deur.

Arnoud

Oh, en verwerkersovereenkomsten sluit je dus alleen met verwerkers, niet met al je partners

Geplaatst op in Privacy, 19 reacties

Een lezer vroeg e:

Ik ben een klein ict-bedrijfje dat onderhoud en apparatuur levert aan het mkb. Steeds vaker krijg ik verwerkersovereenkomsten onder mijn neus, en na even wat gesnuffeld te hebben aan de AVG vraag ik me af, bén ik eigenlijk wel verwerker voor al die klanten? Ik hoor het ook van branchegenoten dat ze standaard bij iedereen een verwerkersovereenkomst moeten tekenen. Waarom doet iedereen dat?

Dat doet iedereen omdat iedereen het doet en omdat het een zichtbare AVG-compliance actie is. “Dan hebben we het maar geregeld, en als iemand een keer geen verwerker is dan is de overeenkomst toch meteen van tafel”, aldus een bedrijfsjurist die ik tegenover me had bij zo’n ict-bedrijf.

Allereerst is er veel verwarring over het begrip ‘verwerker’. Omdat ‘verwerken’ een standaardbegrip is uit de AVG, denk ik dat een hele zwik ondernemers meent dat je een verwerkersovereenkomst moet tekenen als je iemand opdracht geeft om te gaan verwerken. Dat is natuurlijk onjuist: alleen als je opdrachtnemer kwalificeert als verwerker, is zo’n ding nodig. In veel meer gevallen dan mensen denken, is je opdrachtnemer verwerkingsverantwoordelijke (en, ik zeg het maar even, dan dus géén verwerker).

Ten tweede weten veel mensen niet wanneer iemand verwerker is, of wil men geen risico lopen en wordt de wederpartij maar even tot verwerker gebombardeerd. En ik geef toe, dit is ook een lastige. De kortdoordebochtomschrijvingen (de populairste “je verwerkt persoonsgegevens in het kader van een opdracht”) hebben altijd afbakeningsproblemen, en de wettelijke omschrijvingen en uitleg daarvan van de toezichthouders en hun Comité zijn zo vaag dat je er niet mee kunt werken.

Verwerkerschap is een afweging van factoren. Mijn algemene vuistregel is dat je eigenlijk werk uitvoert dat de ander (de verantwoordelijke) net zo goed zelf zou kunnen doen. Ik heb een boekhouder, maar ik kan ook een accountantskantoor inhuren voor de administratie. Ik heb een mailserver, ik kan ook een Office 365 dienstverlener inschakelen. Dan is de partij die je het werk laat overnemen, je verwerker.

Het lastige is dat een partij die werk voor je overneemt, dat ook kan doen zonder verwerker te zijn. Bij een administratiekantoor is dat wat lastig denkbaar, maar zo’n Office-dienstverlener kan zelf besluiten de dienstverlening aan te passen of andere beslissingen te nemen over de dataverwerking. Dat is in strijd met verwerker zijn. En veel ict-dienstverleners komen in zo’n grijs gebied terecht; ze verwerken andermans data maar nemen zelf beslissingen over hoe ze dat doen.

Het is goed mogelijk dat je na analyse tot de conclusie komt dat de dienstverlener toch verwerker is. Maar dan heb je er dus over nagedacht en wel samen met je dienstverlener. Heel wat anders dan met de inkoopvoorwaarden een verwerkersovereenkomst meesturen en eisen dat die even wordt getekend voor de compliance. En dat is volgens mij wat er vaak gebeurt.

Arnoud

Hoe ver kun je gaan met antiwettelijke systemen ontwikkelen?

Geplaatst op in Regulering, 17 reacties

Coercion-resistant design, ik vertaal het maar als antiwettelijke systemen maar het is het niet helemaal. De Engelse term kwam ik vorige week tegen bij BoingBoing, hij blijkt uit 2016 te dateren en refereert naar technische tegenmaatregelen die onwelgevallige juridische eisen omzeilen of zinloos maken. Het bekendste voorbeeld is de warrant canary, een tekstje in je jaarverslag dat je géén geheim bevel hebt gehad dit jaar. Als je die volgend jaar niet opneemt, overtreed je geen geheimhoudingsbevel want je zegt niets, maar de goede verstaander weet hoe het zit. Hoe sterk is dat nou?

De continue interactie tussen recht en techniek is een van de meest fascinerende aspecten van het internetrecht. Natuurlijk heb je in elk rechtsgebied dat mensen iets doen om de wet te omzeilen (pardon, te “ontwijken”) maar in de ict gebeurt dit zo veel, zo grootschalig en zo expliciet dat ik het echt wat anders vind. Zo ook de omgang met coercie of dwang vanuit de overheid. De neiging om daar dan iets tegen in te bouwen is volgens mij specifiek voor dit rechtsgebied/vakgebied.

Kan het? Ja, er zijn zeker ’trucs’ mogelijk om wettig gegeven bevelen onmogelijk te maken of hun werking te neutraliseren. Ik zeg truc tussen aanhalingsteken omdat het vaak neerkomt op het vermijden van de jurisdictie. (Stel je krijgt een bevel in Seattle, Washington dat je data moet afgeven. Dat je dan zegt, het datacenter staat in Duitsland dus ik kan er niet bij, vind ik niet echt een truc.)

Je kunt dat in software bouwen of het organisatorisch inrichten. Een voorbeeld van BoingBoing is dat je voor bepaalde aanpassingen aan je software twee digitale handtekeningen eist van mensen in twee jurisdicties, zodat er niet één overheid is die kan verplichten tot een zekere aanpassing (zoals een achterdeur). De persoon in de andere jurisdictie zal daar niet aan meewerken en kan niet worden gedwongen.

De onderliggende aanname is vaak wel dat overheden bepaalde dingen niet kunnen of mogen. Bij die warrant canary bijvoorbeeld is de aanname dat je niet gedwongen kunt worden een leugenachtige uitspraak te doen (“Wij hebben dit jaar wederom geen geheime bevelen gehad”, terwijl je die wél hebt gehad). Als die aanname niet klopt – en ik blijf erbij dat je bij canaries gedwongen kunt worden te liegen gezien de bedoeling van de geheimhouding – dan gaat zo’n juridische hack onderuit.

De voornaamste toegevoegde waarde van dit soort ontwerpen is denk ik vooral dat je expliciet nadenkt over eventueel misbruik van je dienst. Als alle communicatie via jouw servers gaat, is het goed te beseffen dat je gedwongen zou kunnen worden bepaalde berichtuitwisseling op te nemen, af te geven of te manipuleren. Daar op voorhand in je design rekening mee houden wanneer je dat niet wilt laten gebeuren is dan alleen maar goed. En ook dat is uniek aan internetrecht: het in programmeren van ethiek, van moreel besef.

Arnoud

Mag je mensen klimaatcriminelen noemen als je dat vindt?

Geplaatst op in Uitingsvrijheid, 44 reacties

“Een ruime maand geleden schreef ik een column waarin ik mezelf voornam klimaatontkenners vanaf nu ‘klimaatcriminelen‘ te noemen.” Dat las ik bij Sargasso, en zowel die column als dit vervolg maakte een hele berg reacties los. Het leidde zelfs tot een formele definitie en een prijsuitreiking voor de klimaatcrimineel van het jaar. Veel van de discussie focuste op de soort-van juridische vraag of je dat wel mag zeggen, dat mensen criminelen zijn terwijl ze niets strafbaars doen. Is dat wel oké, mensen met een andersluidende mening wegzetten als wetsovertreders en ze zo buiten het debat zetten? Of is het gewoon ook een mening, ik vind jou een crimineel?

Juridisch beoordelen of een uitspraak strafbaar is, doe je nooit door te kijken naar de uitspraak alleen. Het gaat altijd om de gehele context waarin de uiting is gedaan, wat er zoal aan vooraf ging en waar de spreker op uit was. De omstandigheden van het geval, zo luidt dan de juridische standaardfrase. Wat zoveel betekent als, er is geen algemene regel, maak maar een inschatting.

Een belangrijke factor daarbij is wel in hoeverre de uitspraak deel is van een groter debat. Zomaar iemand crimineel noemen, of in een verhitte discussie na vele uitwisseling van argumenten terugvallen op “je bent gewoon crimineel” zijn twee heel verschillende dingen. Zeker als er al vaker stevige uitspraken voorbij zijn gekomen, en dat zie je hier zeker: insinuaties dat klimaatalarmisten onder valse voorwendselen handelen, dat klimaatwetenschappers frauderen en ga zo maar door. En ook de andere kant op: dat klimaatontkenners opzettelijk liegen en verdraaien, dat het trollen zijn en niet geïnteresseerd zijn in discussie. En het maakt dan op zeker moment niet meer uit wie er precies gelijk heeft.

Wat een hele goede factor in het voordeel van Sargasso is, is dat ze gekozen hebben voor een expliciete definitie van wat een klimaatcrimineel is:

(1) door middel van een autoriteitsclaim – omdat een beroep op autoriteit/gezag/kennis meer gewicht geeft aan het standpunt en dus meer invloed heeft op de discussie/meningsvorming,
(2) mis- of desinformatie – het gaat om informatie die niet gefundeerd is op voor die tijd logische of empirisch houdbare hypothesen en theorieën, die bijvoorbeeld niet onderworpen zijn aan peer review, opzettelijk of onopzettelijk,
(3) op het gebied van klimaatwetenschap en/of antropogene – door de mens veroorzaakte – klimaatverandering,
(4) actief onder het publiek verspreiden – de standpunten moeten actief onder een breder publiek en in het openbaar verspreid worden.
Als je aan deze vier voorwaarden voldoet, dan is het aannemelijk dat je schade veroorzaakt doordat je bijdraagt aan uitstel of afstel van klimaatactie.

Met zo’n duidelijke en gemotiveerde afbakening én een onderliggend algemeen belang is het toegestaan om zo’n kwalificatie aan mensen toe te dichten. Dat concludeer ik uit het Kwakzalverij-arrest uit 2009 van de Hoge Raad. Het klimaat is een maatschappelijk belangwekkend onderwerp, en als je daarin dingen mis ziet gaan door mensen die aan bovenstaande vier factoren voldoen dan mag je die mensen een heel stevig verwijt maken. De term ‘crimineel’ kan ik dan wel billijken.

Natuurlijk is het gek om zo’n juridische term te gebruiken voor iets dat niet juridisch verboden – laat staan strafbaar – is. Maar de term ‘crimineel’ heeft niet alleen een juridische betekenis (wie echte purist is, zal concluderen dat de wet de term crimineel in het geheel niet noemt), ook een maatschappelijke. Mensen vatten die term niet alleen op alsof iemand de strafwet overtreedt. En er hoeft dus ook geen sprake te zijn van een strafbaar feit voordat je iemand ‘crimineel’ mag noemen.

Ik zou het bepaald onprettig vinden om zo’n label op me geplakt te krijgen als ik te goeder trouw meende dat ik het algemeen belang diende door klimaatalarmisme te bestrijden. Zeker als ik daar bewijs voor had en mezelf als autoriteit zag. Maar ik zou in dat geval juridisch echt pech hebben als ik een smaadzaak of iets dergelijks wilde starten. Heel kort door de bocht, dat is nu eenmaal hoe dit klimaatdebat gaat vandaag de dag.

(NB inhoudelijke discussie over klimaatverandering onder deze blog is offtopic)

Arnoud

Van BBS tot FAMA en AI: vijftien jaar internetrecht in vogelvlucht

Geplaatst op in Informatiemaatschappij, 1 reacties

Waarover ging het eerste vonnis op het gebied van internetrecht? Volgens de onvolprezen jurisprudentiebundel van mr. Tina van der Linden was dat een Bulletin Board System (BBS) dat werd aangesproken op illegaal ter download aangeboden software. BBS’en bestaan niet meer, illegale software nog wel. Maar de kwestie van hoe illegale downloads onder het recht vallen, is welhaast zo alledaags geworden dat een junior medewerker van stichting BREIN zich afvraagt waar de AI blijft die deze kan afhandelen. Nee, de controversiële onderwerpen van vandaag in het internetrecht richten zich op heel andere afkortingen: naast AI de bezigheden van Facebook, Apple, Microsoft en Alphabet en de AVG versus de tracking pixel en andere technologie.

Een verschuivend rechtsgebied
De termijn van vijftien jaar is natuurlijk arbitrair. Internet, althans ICT, en de rechtsvragen die door deze technologie werden opgeroepen zijn al veel ouder dan dat. Maar natuurlijk werd dat niet vanaf het eerste moment als apart rechtsgebied onderkend. Curieuze kwesties en lastige feitencomplexen zijn van alle tijden in het recht. Maar op zeker moment ontstond toch een soort van consensus dat er iets was dat we internetrecht, ICT-recht of technologierecht zouden kunnen noemen.

Zoals ik recent nog blogde, de definitie van wat internetrecht dan is, lijkt vaak neer te komen op het feit dat het zwaartepunt van de rechtsvraag zich bevindt in een internet- of ict-aspect van de zaak. Oftewel: hoe ingewikkeld is het om de ict-georienteerde feiten juridisch te duiden of het best passende wetsartikel te vinden. En cynisch gezegd: pas als het zo ingewikkeld is dat de gemiddelde jurist deze duiding nog niet kan uitvoeren.

Zo cynisch hoeft het echter niet te zijn. Verfrissender is het gezichtspunt dat de kwalificatie van deze aspecten nieuw is en daarmee diepgaande aandacht vraagt. Bij dat BBS kon serieus nog de vraag worden opgeworpen of men wel van openbaarmaken kan spreken als iemand per telefoon rare piepjes genereert. Enkele jaren later speelde het debat of op een website op “Akkoord” klikken leidde tot een rechtsgeldige overeenkomst. Of wat denkt u van de jurisdictie-vraag wanneer een Griek in Duitsland via een app bij het in Nederland gevestigde Booking.com een hotelkamer boekt. Dit zijn geen klassieke kwesties in andere rechtsgebieden, en dus krijgt de internetjurist ze op het bord.

Of men het nu cynisch bekijkt of niet, een inherent kenmerk van internetrecht is dat wanneer de technische aspecten voldoende breed begrepen zijn, een casus minder snel als internetrecht wordt gekwalificeerd. Een aankoop bij een webwinkel is anno 2019 een standaardcasus in het consumentenrecht, bijvoorbeeld. Eind jaren negentig kon men menig juridisch congres vullen met internetrechtelijke vragen over dit onderwerp. Het is volgens mij uniek dat een rechtsgebied door de tijd heen ‘opschuift’ en rechtsvragen afschuift naar andere gebieden.

Zesentwintig woorden schiepen het internet
Het voorbeeld van het BBS onderstreept dat auteursrecht het eerste rechtsgebied was waar internetrechtelijke kwesties langskwamen, al was het ook toen al zeker zo dat contractuele kwesties rond ict-projecten actueel waren. Niet zo gek ook: het internet is ontworpen om informatie uit te wisselen, en auteursrecht is ontworpen om de verspreiding van informatie te reguleren. Daarnaast waren (en zijn) auteursrechthebbenden vaak goed geëquipeerd om hun rechten te handhaven. De eerste faxen met sommaties en schadeclaims volgden dan ook al vrij snel.

Een complicatie die daarbij zich vaak voordeed, was dat de partij die aan te wijzen was als verantwoordelijk voor de verspreiding, niet feitelijk de partij was die dit in gang zette. Webhostingbedrijven, internetproviders, forumbeheerders – en die meneer die het BBS beheerde, de sysop in de inmiddels vergeten terminologie – kregen met deze claims te maken. Dat was natuurlijk niet helemaal de bedoeling; niet zij maar de klant verrichten de onrechtmatige daad, en hoe kun je als bedrijf klanten informatie laten verspreiden als jij de schadeclaims krijgt? Moet een tussenpersoon zoals een internetprovider niet juridisch beschermd worden?

In Nederland kreeg deze kwestie zich medio jaren negentig grote aandacht toen publiciste Karin Spaink op haar website bij internetprovider XS4ALL publiceerde over de Scientology-beweging, daarbij citerend uit gelekte stukken van de organisatie zelf. Deze greep naar de auteursrechtelijke wapens om hier een eind aan te maken. Het Gerechtshof Den Haag bepaalde in 2003 echter dat de publiciste het gelijk aan haar zijde had – en dat de provider niet zelf aan te spreken was op auteursrechtinbreuk door haar klanten.

Ditzelfde thema kwam in andere landen terug, met name in de Verenigde Staten waar Section 230 van de Communications Decency Act in 1996 providers een keiharde wettelijke vrijwaring van aansprakelijkheid gaf voor handelen van hun klanten. Met de nuance van de Digital Millennium Copyright Act – dien uw auteursrechtelijke klacht bij de provider in en deze zal onmiddellijk ingrijpen – leidde dit tot een explosie aan online diensten waarbij gebruikers zaken konden plaatsen of versturen, zonder dat de provider continu zorgen hoefde te hebben over aansprakelijkheid. In bloemrijke taal is Section 230 daarom wel “The Twenty-Six Words That Created the Internet” genoemd.

Europa was met haar e-commercerichtlijn (2000) iets genuanceerder: een provider moest niet alleen op auteursrechtelijke klachten ingrijpen, maar op iedere beweerdelijke onrechtmatige daad wanneer deze ‘onmiskenbaar’ was. In de praktijk ging dit vrijwel altijd over auteursrechten, zodat de Europese en Amerikaanse praktijk op dit punt gelijk op ging. Naast auteursrechten waren overigens ook de merken en handelsnamen een belangrijk thema, met name rond de domeinnamen en online advertenties.

Van auteursrecht naar privacy
Amerikaanse jurisprudentie en richtsnoeren zijn in het internetrecht sowieso zeer zwaarwegend geweest in de beeldvorming rond dit rechtsgebied. Eind jaren negentig verscheen bijvoorbeeld de Databeschermingsrichtlijn, die strenge regels over omgang met persoonsgegevens stelde. Deze wet werd vrijwel compleet genegeerd in ICT-land. Ja, iedereen had netjes een privacy policy op de site waarin stond hoe men omging met persoonlijke gegevens van de bezoeker, maar dat was ingegeven door een aanbeveling van de Amerikaanse Federal Trade Commission dat transparantie en informatie over gegevensverwerking iets is dat een eerlijk ondernemer gewoon doet. Wat de sector oppakte als “zeg in wollige taal wat je doet, en dan mag alles”.

De Databeschermingsrichtlijn stond een heel ander regime voor. Wees expliciet en specifiek, vraag toestemming, let op je beveiliging en doe geen dingen die mensen raar, onverwacht of opdringerig vinden. Daar kwam dus weinig van terecht, mede omdat Europese handhaving sterk gefragmenteerd was en zich nauwelijks richtte op de online omgeving. Plus het feit dat er in de meeste landen geen boetebevoegdheid bij toezichthouders was.

De Algemene Verordening Gegevensbescherming, met strenger geformuleerde regels, veel bozere taal en vooral giga-boetes, zie ik dan ook als niets minder dan een aardverschuiving. Bedrijven moesten nu ineens serieus iets met privacy, en dat was lastig omdat daar nooit echt over was nagedacht. Nieuwsbriefsoftware volgde mensen standaard in hun leesgedrag, online advertenties registreren iedere klik in een interesseprofiel, security software monitort gedrag en ga zo maar door. Kennis over mensen bleek in de tussentijd een zeer waardevol bedrijfsbezit. Maar vanuit de AVG zien we nu langzaam maar zeker een tegenbeweging ontstaan tegen deze datahonger van met name Amerikaanse bedrijven.

De rol van data
Data is juridisch niets, roep ik al geruime tijd. Eigendom op digitale data is niet mogelijk, omdat deze de essentiële eigenschap van uniciteit ontbeert. Dat bepaalde onze Hoge Raad in het Computergegevens-arrest, dat een nuance op het bekende Elektriciteits-arrest vormde. Met name de opkomst van de cloud en software-as-a-service heeft de randen en risico’s van deze rechtspositie blootgelegd. (Het Runescape-arrest dat eigendom op virtuele objecten toepasselijk verklaarde is daar dan weer een specifieke nuance binnen.)

Deze wankele positie verbaast nogal. Data is centraal in de kenniseconomie. Data is the new oil, zo luidde het motto op menig venture capital pitch. Je zou dus zeggen dat als er iets juridisch beschermd moet zijn, dat het dan data is. Maar dat is dus niet zo. Data is een artefact van het juridische feit dat ict-diensten eigenlijk hetzelfde worden behandeld als andere dienstverlening (de overeenkomst van opdracht). En met artefacten houdt het recht geen rekening.

ICT is dienstverlening. U vraagt, wij draaien. Of het nu gaat om het opslaan van bestanden, het berekenen van aanbevelingen of het doorzoeken van websites. Data is daarbij essentieel maar tegelijk dus onbeschermd. Juridisch gezien is Google een slimme hotelconciërge die het beste tentje voor je weet en onthoudt waar je de vorige keer was. Die conciërge kun je ook niet vragen om een kopie van ‘jouw’ data.

Ook juridisch ongeregeld: toegang tot de diensten die die data verwerken. Het continuïteitsprobleem, in de literatuur. Diensten stoppen af en toe, en waar sta je dan als afnemer? Dit is wederom volstrekt ongeregeld. Stoppen mag, en wie dan afhankelijk was van die dienst die heeft juridisch gezien gewoon pech gehad. Dat is een probleem: die afhankelijkheid is groot en het probleem bij stoppen dus acuut. Gefragmenteerde rechtspraak tot nu toe laat niet echt een heldere lijn zien waar dit heen moet gaan.

De komende vijftien jaar
Toegang tot online diensten en gebruik van data gaan hét thema worden de komende vijftien jaar. Het kan niet waar zijn dat het recht geen antwoord heeft op een dergelijk fundamenteel probleem als zou men geen toegang kunnen eisen tot diensten waar men sterk afhankelijk van is, als platforms machtiger zijn dan overheden maar zich niet zo opstellen en als data onbruikbaar wordt omdat een opslagprovider dat zo beschikt.

De eerste slagen zullen worden gevochten rond de inzet van data bij wat vroeger big data heette en nu artificial intelligence: analyses op grote bakken met data om voorspellingen te doen en op basis daarvan beslissingen. De AVG zal daarbij een leidende rol spelen. Maar dit zal slechts een voorhoedegevecht blijken voor de grotere open rechtsvraag: welke positie heeft zo’n supermachtig platform als Facebook of Alphabet nu eigenlijk? Niet alleen aansprakelijkheid, zoals in de jaren negentig, maar ook andere vragen – de positie van de burger, de bevoegdheid tot privaat regels stellen, en ga zo maar door.

Meer leren én meediscussiëren over dit onderwerp? Kom dan naar mijn congres The Future is Legal op 15 november.

Arnoud

Wie toestemming onder de AVG vraagt, snapt de AVG niet (of heeft een nieuwsbrief)

Geplaatst op in Privacy, 33 reacties

Een lezer vroeg me:

Van mijn garagebedrijf kreeg ik een toestemmingsformulier voor het verwerken van mijn gegevens: opname in klantenbestand, verstrekking van mijn persoonsgegevens aan derden in het kader van betalingen en verstrekking van mijn persoonsgegevens aan partners in het kader van een goede dienstverlening, zover dit nodig is. Waarom eist de AVG in hemelsnaam dat mensen in dit soort situaties toestemming vragen? Het spreekt toch voor zich dat ik dit wil als ik bij deze garage mijn auto wil laten repareren?

Als ik even zo vrij mag zijn op donderdagochtend: dit is pertinente onzin, en wie toestemmingsformulieren zit te maken onder de AVG mag daar gelijk mee ophouden. Kan me niet schelen wat je doet, je doet het fout. Behalve als je met nieuwsbrieven bezig bent.

Om een of andere reden hebben mensen het idee gekregen dat je onder de AVG overal toestemming voor moet vragen. Ik denk dat dat komt omdat toestemming als de eerste van de zes grondslagen in de wet staat (artikel 6.1 AVG) en men daarna ophoudt met lezen. Een kapitale fout wat mij betreft, met schandalige gevolgen zoals dat kinderen niet naar de tandarts gaan (wat ook volgens de AP onzin is.) Toestemming is de minst zinvolle en minst werkbare grondslag, en als organisatie moet je niet willen werken onder die grondslag.

Het hele idee achter de AVG is dat je eigenlijk alleen persoonsgegevens gaat gebruiken als het niet anders kan. Bij die garage: je hebt gegevens nodig voor de overeenkomst, je wilt je factuur betaald krijgen en soms moeten gegevens ingewonnen bij de dealer of gaat een stukje van het werk door een ander (zoals de verzekeraar). Dat mag gewoon van de AVG, we noemen dat “noodzaak overeenkomst”, grondslag b.

Ook kun je je vaak beroepen op de grondslag van het eigen legitiem belang (sub f), waarbij je dus een afweging van belangen maakt. Toestemming vragen is daarbij niet aan de orde. Verwarrend is daarbij wel dat je vaak een opt-out invoert als deel van die belangenafweging, want met opt-out houd je meer rekening met mensen hun privacybelang, maar die opt-out is heel wat anders dan toestemming. En je moet niet vergeten die afweging daadwerkelijk te maken en op papier te zetten, dat is waar Manfield over struikelde toen ze vingerafdrukherkenning wilde inzetten bij hun personeel.

Mij bekruipt het gevoel dat mensen niet weten hoe zo’n afweging te maken, of het eng vinden een standpunt in te nemen en dan maar toestemming gaan vragen. “Dan zit je in ieder geval goed, toch?” Nope. Al is het maar omdat je óók bij toestemming een noodzakelijkheids- en proportionaliteitstoets moet maken, en geen hond die dat doet bij z’n toestemmingsformulier.

Maar belangrijker: toestemming kan op ieder moment worden ingetrokken, zonder opgaaf van redenen en zonder enige consequentie. Als je dus een bedrijfsproces hebt dat afhankelijk is van toestemming, dan moet je er dus vanuit gaan dat je bedrijfsproces stilstaat omdat niemand toestemming geeft. Ik kan me niet voorstellen dat dat een nuttig bedrijfsproces is.

Behalve nieuwsbrieven dus. Die verstuur je met toestemming (opt-in) en het is geen ramp als iemand die toestemming intrekt. Dan haal je ‘m gewoon uit het bestand. Specifiek daar zie ik toestemming wel werken.

Maar afgezien van nieuwsbrieven dus is er géén zakelijk belang denkbaar waarbij je gaat drijven op toestemming. Wie denkt van wel, ik hoor het graag maar dan wel alsjeblieft inclusief uitleg wat er gebeurt als die toestemming 1 seconde na het geven ingetrokken wordt. Of beter gezegd, waarom het niet erg is dat er niets gebeurt nadat die toestemming ingetrokken blijkt.

Arnoud

Hoe bewijs je of een creditcard echt of vals gebruikt wordt?

Geplaatst op in Informatiemaatschappij, 8 reacties

Stel er wordt een creditcard op je naam aangevraagd en gebruikt, hoe bewijs je dan dat jij dat niet was? Met die vraag zag een man in Noord-Holland zich onlangs geconfronteerd, toen hij werd gedagvaard door American Express wegens het niet voldoen van de schuld die op die kaart was opgebouwd. De kaart was via internet afgenomen op zijn naam, en ook was er een betalingspatroon dat consistent leek met het gedrag van de man. AmEx vond dat het daarom duidelijk was dat hij die kaart had afgenomen. De rechter kijkt er nog eens kritisch naar en komt tot een andere conclusie.

Het eerste bewijsmiddel van American Express was de online aanvraag, waarbij immers de gegevens van de man zijn ingevoerd. Niet alleen maar wat in het telefoonboek staat, ook identiteitsnummer en de meisjesnaam van zijn moeder. Maar die gegevens waren ook bij anderen bekend, met name bij ene [naam] die verderop in het verhaal nog even terug gaat komen. De rechtbank vindt dat niet overtuigend, ook niet als blijkt dat er daarna op het opgegeven nummer is gebeld met iemand die zei dat hij de gedaagde man was.

Vervolgens werd natuurlijk de kaart toegestuurd naar het opgegeven adres, dat aan de gedaagde toebehoorde. Alleen: hij woonde daar al een tijd niet meer, en die [naam] had toegang omdat die hielp was met de verkoop ervan. Dus ook dat bewijst weinig.

Het betalingspatroon levert een interessant stukje bewijs op. Er zijn tickets naar Italië gekocht, een villa in Italië gehuurd en de nodige extra transacties daar verricht. En dat in combinatie met de Facebook-informatie van de gedaagde dat hij “ff paar dagen chillen” was (ik vind dat niet passen bij de eigenaar van een woonboerderij, maar goed) in precies dezelfde plaats en in zo’n villa, zou dan toch wel overtuigend moeten zijn? Niet helemaal: er stonden ook van vóór de vliegreis daterende transacties in Italië op die kaart.

Uiteindelijk komen we bij de kern van het verhaal: die [naam] blijkt een handige (inmiddels ex-)schoonzoon van de man te zijn, die hem aan het lijntje zou hebben gehouden over verkoop van de woonboerderij en een mooi feestje ging bouwen met schoonvader, waarbij de kosten zouden worden gedeeld. Zo’n oplichterstruc zie je vaker, en het is volgens de rechter niet meteen ongeloofwaardig dat iemand daar in zou trappen.

Als laatste bleek dan nog dat de incasso’s op schoonvader’s rekening waren mislukt, maar ook dat was iets waar hij geen rekening mee hoefde te houden. En waaruit al helemaal geen aanvaarding van de kaart uit volgt, of zelfs maar wetenschap dat er een kaart is waar je dan wat mee moet. Met name omdat de ING bank niet meldt dat zo’n incasso is mislukt, zodat je er moeilijk actie op kunt ondernemen.

Een erg feitenspecifieke zaak maar wel een mooi voorbeeld van hoe rechters kijken. Maar ik zie het zomaar gebeuren dat andere mensen zich laten overtuigen door het juridisch geweld dat je bij zo’n incasso over je heen krijgt.

Arnoud

Politiekorpsen VS mogen Ring-video’s eeuwig bewaren en onbeperkt delen, en bij ons?

Geplaatst op in Privacy, Regulering, 7 reacties

Politiekorpsen in de VS die van buurtbewoners video’s ontvangen van slimme deurbel Ring mogen dat beeldmateriaal eeuwig bewaren en onbeperkt delen met bijvoorbeeld andere korpsen of overheidsinstanties. Dat las ik bij Tweakers. Het vervolgt eerdere berichten dat Ring in de afgelopen jaren samenwerkingsovereenkomsten heeft gesloten met vierhonderd korpsen in de VS, die zo toegang krijgen tot beelden van de dienstverlener. Ring verzamelt en bewaart beeldopnames van de deurbel-met-camera op haar servers, en kan er dus over beschikken wanneer politie of Justitie daarom vraagt. Naar Amerikaans recht lijkt dat dus in orde, maar vele lezers vroegen zich af, hoe zit dat dan in Nederland gezien de AVG? En jaja, komt ie weer met z’n diensteneconomie.

Eerst maar dat bewaren door de politie. Als die beelden hebben verkregen, worden die in principe alleen gebruikt voor het betreffende onderzoek. Maar ze kunnen (Wet politiegegevens, artikel 8 en verder) ook voor andere onderzoeken worden ingezet. Zomaar een berg verzamelen en bewaren kan dus niet. Maar lijkt me ook niet heel praktisch want wat moet je met een berg video’s waar hooguit een datum en locatie bij zit?

Handiger is lijkt mij ze gewoon per geval vorderen (zoals ook gebeurt bij ons) want dan heb je precies wat je nodig hebt wanneer je het nodig hebt. En ja, vorderen moet, de politie kan beelden niet zomaar vragen omdat er persoonsgegevens op staan. Dat vereist een bevel van de officier van justitie en dat kan alleen worden gegeven in het belang van een strafrechtelijk onderzoek.

Daar staat tegenover dat een burger door hemhaarzelf gemaakte beelden vrijwillig mag afgeven. Als ik meen een misdrijf gefilmd te hebben, dan mag ik daarmee aangifte gaan doen en dan is er geen bevel meer nodig, ik kan dan gewoon die usb-stick met de beelden overhandigen. Dat geldt ook voor bedrijven, dus ook voor Ring. Als die vrijwillig beelden aan de politie willen geven, dan mag dat dus.

Complicatie hier is wel dat het niet hun eigen beelden zijn – de camera’s zijn eigendom van hun klanten, zij bewaren de beelden alleen maar op hun servers. Maar nee, zo werkt dat hier niet. Want daar is ie weer met de diensteneconomie: nee, zo werkt dat hier niet. Data is juridisch niets. Ring levert een dienst, en de artefacten van die dienst (zoals de camerabeelden) bestaan juridisch niet als zelfstandige entiteit. Ring kan daarmee dus doen wat ze wil, tenzij ze contractueel heeft afgesproken van niet. Maar zoals je van Amerikaanse diensten verwacht, zeggen die voorwaarden juist dat men alles mag.

In Nederland zou dat dus in principe ook zo gaan, zij het dat je hier als huiseigenaar er wél wat over te zeggen hebt. Jij hangt die camera op, jij filmt de openbare ruimte (ook al is het slechts bij aanbellen) dus dan zou je best eens de verwerkingsverantwoordelijke voor die beelden kunnen zijn met Ring als verwerker. En een verwerker mag natuurlijk niet zelfstandig de persoonsgegevens aan derden verschaffen. Ook niet als in de algemene voorwaarden staat van wel.

Arnoud