Google hoeft recht op vergetelheid niet wereldwijd toe te passen van EU

Geplaatst op in Ondernemingsvrijheid, Privacy, 11 reacties

Google heeft een rechtszaak gewonnen tegen de Franse privacywaakhond CNIL die wilde dat de gegevens van een persoon wereldwijd uit de zoekresultaten van Google verwijderd werden. Dat meldde Nu.nl gisteren. Iets preciezer: het Hof van Justitie oordeelde dat het Europees privacyrecht niet eist dat mensen wereldwijd vergeten hoeven te kunnen worden. Dit naar aanleiding van een bevel van de Franse toezichthouder dat Google wereldwijd zoekresultaten op persoonsnaam moet opschonen als naar Europees recht die resultaten verouderde of irrelevante informatie bevatten. Dat bevel gaat te ver – maar vooral omdat de Europese wetgever niet heeft gedurfd het vergeetrecht wereldwijd in te voeren.

Het zogeheten “recht te worden vergeten” staat natuurlijk in de AVG (artikel 17) maar is in 2014 al ingevoerd als brede uitleg van de oude privacyregels. Het komt erop neer dat je als persoon zeggenschap hebt over wat Google over je meldt als mensen op je naam zoeken, in die zin dat verouderde en irrelevante informatie buiten beeld moet blijven. Die is immers niet meer relevant vandaag de dag, maar kan je privacy raken doordat oude dingen je nagedragen blijven worden. En daarbij wint de privacy dan in beginsel boven het recht van Google om als bedrijf informatie te mogen ontsluiten.

Google volgde dit arrest maar zocht vanaf het begin de grenzen op. Eentje daarvan was dat de te vergeten resultaten alleen buiten beeld bleven in de zoekinterface met Europese domeinnamen (dus niet de .com). De Franse CNIL legde een bevel op dat dit te weinig was, en dat Google eigenlijk ongeacht locatie van de zoeker tot blokkade moet overgaan, omdat je anders triviaal dat vergeetrecht kunt schenden. (Google had overigens in de tussentijd IP-geolocatie ingevoerd, zodat het niet meer uitmaakte welke extensie je zoekinterface had. Je moet dus een niet-Europees IP-adres hebben om nog om de zoekbeperking heen te komen.)

De vraag kwam natuurlijk bij het Hof van Justitie. Dat oordeelt dat het vergeetrecht weliswaar uit het grondrecht tot bescherming van persoonsgegevens volgt, maar wel in balans moet staan met andere grondrechten, in dit geval de vrijheid van informatie van internetgebruikers wereldwijd. Die vrijheid kan aanzienlijk variëren; lang niet alle landen kennen iets als ons vergeetrecht. En dan gaat het wel heel ver om nu te zeggen, die grondrechten elders moeten maar wijken voor onze grondrechten.

Het kán wel, het Hof laat nadrukkelijk de optie open dat Europa wereldwijd bescherming van grondrechten afdwingt. Alleen, dat is wel iets dat de Uniewetgever dan expliciet moet regelen. Niets in de AVG suggereert dat ze dit hebben willen doen, terwijl er wel andere dingen in staan voor bedrijven buiten de EU. Dus kennelijk heeft de wetgever dat niet aangedurfd of niet gewild. En als dat zo is, dan moet de rechter natuurlijk niet alsnog die regel zelf op gaan leggen.

Het Hof laat wel een gaatje open: Europese landen mogen zelf aanvullende regels stellen over hoe om te gaan met informatievrijheid versus privacy, en het is daarin mogelijk om een regel in te voeren die gaat over wereldwijd vergeten van zoekresultaten. Dat is dan wel legaal, omdat een land er dan over nagedacht heeft en in een wetsartikel heeft vastgelegd wat de belangenafweging en motivatie dan moet zijn.

Arnoud

Mag PostNL het nummer van mijn identiteitsbewijs overnemen bij een afhaling?

Geplaatst op in Privacy, 18 reacties

Via Twitter:

Als ik een pakketje ophaal, moet ik me legitimeren. Logisch. Maar waarom moet het @PostNL-punt mijn documentnummer dan intypen en opslaan? Dat is behoorlijk gevoelige informatie die ik helemaal niet af wil geven.

Waarop PostNL reageert: “Dit doen we op verzoek van de afzender om bij claims en navragen te kunnen controleren aan wie de zending is uitgereikt. Het is wettelijk toegestaan om het documentnummer over te nemen. Deze gegevens worden 90 dagen bewaard.” Wat een tikje gek klinkt, want als ik pakketjes verzend wordt me nooit gevraagd of ik van de ontvanger het documentnummer wil. Sterker nog, bij mijn PostNL punt werd me net verteld dat ik vanwege de privacy dat nummer niet mag hebben. (“Ja meneer de AVG he, heeft u misschien van gehoord.”)

Dat gezegd hebbende, heeft PostNL wel een punt (haha). Want “wettelijk toegestaan” is een tikkeltje kortaf geformuleerd, maar het klopt denk ik wel. Bij pakketjes is het redelijkerwijs noodzakelijk dat je de ontvanger identificeert, om te voorkomen dat zendingen aan de verkeerde persoon meegegeven worden. Daarmee samen hangt het punt dat je achteraf wilt kunnen nagaan hoe die identificatie is verlopen (logging) en dat je bij problemen (zoals een vermist pakketje) genoeg informatie hebt om bijvoorbeeld aangifte te doen.

De meest logische manier is om na een identificatie het nummer van de identificatiekaart te registreren. Dat nummer kun je eigenlijk alleen weten als je die kaart net gezien hebt, en de medewerker zal het pas opschrijven als de persoon genoeg lijkt op de foto op de kaart. Daarmee heb je een stevige verslaglegging (logging) van het proces, en kun je eenvoudig het documentnummer aan politie of andere instanties verschaffen.

Omdat het documentnummer an sich nergens voor te gebruiken is (het is geen bsn), lijkt het risico me zeer laag als dat nummer lekt. Ik zie dan ook geen reden om alternatieven te overwegen. Je zou bijvoorbeeld kunnen zeggen, noteer slechts de laatste drie cijfers van dat nummer en/of de geboortedatum. Dan zijn mensen ook redelijk uniek vastgelegd, zodat de politie met die gegevens alsnog de persoon kan vinden. Maar dat is foutgevoeliger want twee achternaamgenoten kúnnen dezelfde geboortedatum hebben of zelfs dezelfde drie tegens van het documentnummer.

Belangrijker voor mij is dat een heel documentnummer verzinnen (om een persoon zonder identificatiekaart toch het pakket te geven) iets lastiger is dan drie cijfertjes intypen. Je moet dan het goede formaat weten, en elke keer net wat anders bedenken zodat het niet te snel opvalt. (Er zit geen elfproef of iets dergelijks in die nummers, dat maakt dit argument iets zwakker.) Daarom vooral zie ik geen echt alternatief dan dat nummer noteren.

Arnoud

Moet je je verzendkosten terugkrijgen bij een bovenwettelijke retourtermijn?

Geplaatst op in Ondernemingsvrijheid, 6 reacties

Interessante discussie bij Tweakers:

IKEA schermt met 365 retour garantie. Maar verzendkosten krijg je alleen retour als je het binnen 14 dagen retourneert. Het gaat me niet perse om die EUR 2,99. Ik was eigenlijk gewoon nieuwsgierig of je zo’n beperkende voorwaarde kunt hangen aan 365 dagen retour.

Het korte antwoord is natuurlijk dat dat kan, omdat de wet rond het retouren van online bestellingen (art. 6:230s BW) alleen maar regels bevat voor een retour die is aangemeld binnen 14 dagen na ontvangst. Als je als winkel dus zegt, bij ons mag het ook tot een vol jaar na ontvangst, dan mag je voor die periode boven de 14 dagen je eigen regels stellen.

Het lange antwoord komt op hetzelfde neer maar is iets subtieler. Het hangt er namelijk vanaf wat je precies zegt (de helft van u knikt nu, ja hier spreekt een jurist). Als je namelijk enkel zegt “bij ons is de retourtermijn verlengd tot 365 dagen” dan hang je volgens mij wél dat gehele jaar aan de wettelijke regels en dus ook aan de verplichting tot terugbetaling van de heenzendkosten. Je wekt dan immers de indruk dat je de wettelijke rechten van de consument verlengt.

Zou je daarentegen zeggen “Bovenop uw wettelijk recht om binnen 14 dagen de koop te annuleren mag u bij ons tot 365 dagen retourneren, maar let wel dan krijgt u enkel het aanschafbedrag terug” dan zit je volgens mij goed. Dan onderscheid je duidelijk het wettelijke van je bovenwettelijke eigen regeling. En zeker als je daar dan ook nog eens bij zegt, de heenzendkosten krijg je dus niet terug, dan zie ik er geen probleem in.

Arnoud

Had ik al eens gezegd dat ICT van de open standaarden aan elkaar hangt (en wat dat met patenten doet)?

Geplaatst op in Innovatie, 18 reacties

Innovatie en patenten, volgens de (juridische) boekjes horen die onlosmakelijk bij elkaar. Je vindt iets uit, en omdat je bang bent dat een ander ermee vandoor gaat houd je dat geheim. Dat is vervelend voor de maatschappij, dus kun je als alternatief een octrooi of patent krijgen waarmee je juridisch kunt optreden tegen zo’n innovatie-naäper. Wel moet je dan in detail vertellen hoe je uitvinding werkt, zodat we na afloop van je octrooi er allemaal profijt van kunnen trekken. Klinkt geweldig he? Maar in de praktijk werkt het vaak niet zo. Helemaal niet in de ICT.

Het octrooisysteem zoals wij dat kennen is geboren in de 18e eeuw, hoewel de eerste soort-van patentwet al in 1474 in Venetië van kracht was. Niet toevallig ging dat samen met de eerste Industriële Revolutie (we zitten nu in de vierde, overigens). Er werd veel uitgevonden en op de markt gebracht, en er werd ook veel gekopieerd. Patenten kwamen dan ook precies op het goede moment. Alleen, of ze werkten zoals de bedoeling was, blijft de vraag: al sinds de patenten van James Watt op de stoommachine is er discussie of patenten niet juist innovatie vertragen omdat je nieuwe systemen tegen kunt houden.

In de ICT en met name rond internet hebben we daar lang geen last van gehad, omdat patenten op software niet leken te kunnen. Wiskundige methoden en instructies voor computers waren uitgesloten van octrooi, en de grote innovators/patentaanvragers hadden ook zelden behoefte aan octrooien op dergelijke technieken want uiteindelijk werd alles toch hardware of een schakeling, waar gewoon octrooi op mogelijk was. Maar vanaf de jaren negentig veranderde dat; eerst in de VS en bijna tegen 2000 ook in Europa toen diverse uitspraken van de octrooiverlenende instanties leken te concluderen dat softwarepatenten wel mogelijk waren. Pas sinds de Alice-uitspraak lijkt er gelukkig een einde te zijn gekomen aan de grootste onzin. (Lees dit juridische artikel voor alle jurisprudentie in die tijd.)

Softwarepatenten waren met name vervelend vanwege de standaardisatie. De ICT hangt van de standaarden aan elkaar. Geen product of dienst staat op zich, alles moet met elkaar kunnen praten. Standaarden kun je geheim houden, maar dan kan niemand met je samenwerken en de meeste ict-dienstverleners hebben elkaar toch nodig. Vandaar dat op internet veel gewerkt werd met open standaarden, waarvan de specificatie bekend was zodat iedereen die in kon bouwen. Er is dan alleen één probleem: wat als iemand een patent heeft op iets in die specificatie? Dan kun je deze niet bouwen zonder het patent te schenden.

Wanneer zo’n standards essential patent een specifieke technologie treft, dan is de schade nog te overzien. Dan stap je over van GIF naar PNG of je vermijdt het IDEA algoritme. Maar als het patent fundamenteler is, dan loopt die standaard vast. Volgens mij is dat een bug in het patentsysteem. Bij de eerste industriële revolutie kwam die niet aan het licht, omdat de meeste vindingen in die tijd standalone waren. Daar kun je dan een alternatief naast zetten, maar de dieselmotor hoeft niet compatibel te zijn met de stoommachine of zelfs de benzinemotor.

Het concept van interoperabiliteit of compatibiliteit is daardoor nooit in het patentsysteem verwerkt, en daar merken we nu pas de gevolgen van. Natuurlijk waren die er al langer, maar het ging geruime tijd goed omdat de grootste patenthouders onderling licenties afsloten of patent pools inrichtten waar men eenvoudig kon afrekenen en toegang kon krijgen tot patenten. Als je die standaarden vervolgens in een commercieel verkocht product stopt, kun je die kosten vervolgens gewoon verhalen. Weinig aan de hand dus. Maar op internet werkt dat niet: daar wordt alles gratis geïmplementeerd. Afrekenen per product of per maand dienstverlening is dan niet mogelijk.

De product/patentwerelden en de ict/internetwereld botsen sinds eind jaren negentig steeds vaker met elkaar. De recentste plek waar dit lijkt te gaan gebeuren, is die van de elektrische auto. Op mijn congres The Future is Legal vertelt Lonneke Driessen van de Open Charge Alliance over open standaarden in de elektrische-autowereld:

Inmiddels zijn elektrische auto’s niet meer weg te denken uit het straatbeeld. Over een paar jaar zijn ze zelfs goedkoper dan benzine- of dieselauto’s in aanschaf, onderhoud en verbruik. Daarnaast rijden ze schoner, stiller en soepeler. Een nieuwe wereld ligt dus in het verschiet, waar nieuwe spelers kansen zien. Het eerste juridische wapengekletter is inmiddels een feit. Graag nemen we u mee in het verhaal hoe de eerste rechtszaak over intellectueel eigendom rondom elektrisch vervoer is verlopen, wie er gelijk heeft gekregen en waarom.

Er is nog plek dus schrijf je snel in.

En voor de discussie nu de stelling: patenten hadden bij de zuivere werktuigbouwkunde (en oké, chemie) moeten blijven.

Arnoud

Wanneer is een deurcamera gerechtvaardigd onder de AVG?

Geplaatst op in Privacy, 10 reacties

Een lezer vroeg me:

Ik heb een deurspion in de voordeur indertijd vervangen door een electronische versie die een foto of video kan maken van de persoon die aanbelt. Op de voordeur buiten is er geen melding van gemaakt en een willekeurige aanbeller kan buiten niet zien dat er een electronische deurspion aanwezig is. Moet ik i.v.m. de AVG deze deurspion weer verwijderen?

Het fotograferen of filmen van mensen kan inderdaad onder de AVG vallen, maar dat wil niet zeggen dat het automatisch niet meer mag.

Allereerst gaat het hier om een privésituatie, de deur van een woonhuis van een particulier. Daarop is de AVG lang niet altijd van toepassing; er is een uitzondering voor zogeheten huishoudelijk of privé gebruik van persoonsgegevens.

Die uitzondering houdt op wanneer je buiten de eigen particuliere sfeer treedt, aldus het Hof van Justitie. En dat doe je onder meer wanneer je de openbare weg structureel filmt. Bij een deurbel-met-camera kan dat aan de orde zijn, afhankelijk van waar hij op gericht is en hoe lang hij filmt. Een bel die alleen het eigen portiek kan ‘zien’ en alleen aangaat na aanbellen, is heel wat anders dan een dikke camera die een 360 graden overzicht van de gehele straat permanent registreert.

Als de AVG van toepassing is, dan is de volgende vraag of de inzet van het middel een grondslag heeft. Dat zou hier gaan om beveiliging van het pand en/of de mensen of goederen daarin. Dat is in principe een legitiem belang (artikel 6 lid 1 sub f AVG), maar daarbij moet je vervolgens wel toetsen of je dat middel echt nodig hebt en hoe je aan de privacyzorgen van je bezoekers (en toevallige passanten) tegemoet komt.

De vraag komt dus neer op, heb je nou echt zo’n deurcamera nodig, kan het niet met gewoon een klassiek spionnetje? Wie veel van huis is of slecht ter been, zal eerder een camera kunnen rechtvaardigen lijkt me. Maar voor mij is belangrijker dat de bel alleen filmt na aanbellen, en alleen livestreamt zonder op te slaan. Dan is het echt het equivalent van een groothoeklensje in de deur.

Arnoud

Oh, en verwerkersovereenkomsten sluit je dus alleen met verwerkers, niet met al je partners

Geplaatst op in Privacy, 19 reacties

Een lezer vroeg e:

Ik ben een klein ict-bedrijfje dat onderhoud en apparatuur levert aan het mkb. Steeds vaker krijg ik verwerkersovereenkomsten onder mijn neus, en na even wat gesnuffeld te hebben aan de AVG vraag ik me af, bén ik eigenlijk wel verwerker voor al die klanten? Ik hoor het ook van branchegenoten dat ze standaard bij iedereen een verwerkersovereenkomst moeten tekenen. Waarom doet iedereen dat?

Dat doet iedereen omdat iedereen het doet en omdat het een zichtbare AVG-compliance actie is. “Dan hebben we het maar geregeld, en als iemand een keer geen verwerker is dan is de overeenkomst toch meteen van tafel”, aldus een bedrijfsjurist die ik tegenover me had bij zo’n ict-bedrijf.

Allereerst is er veel verwarring over het begrip ‘verwerker’. Omdat ‘verwerken’ een standaardbegrip is uit de AVG, denk ik dat een hele zwik ondernemers meent dat je een verwerkersovereenkomst moet tekenen als je iemand opdracht geeft om te gaan verwerken. Dat is natuurlijk onjuist: alleen als je opdrachtnemer kwalificeert als verwerker, is zo’n ding nodig. In veel meer gevallen dan mensen denken, is je opdrachtnemer verwerkingsverantwoordelijke (en, ik zeg het maar even, dan dus géén verwerker).

Ten tweede weten veel mensen niet wanneer iemand verwerker is, of wil men geen risico lopen en wordt de wederpartij maar even tot verwerker gebombardeerd. En ik geef toe, dit is ook een lastige. De kortdoordebochtomschrijvingen (de populairste “je verwerkt persoonsgegevens in het kader van een opdracht”) hebben altijd afbakeningsproblemen, en de wettelijke omschrijvingen en uitleg daarvan van de toezichthouders en hun Comité zijn zo vaag dat je er niet mee kunt werken.

Verwerkerschap is een afweging van factoren. Mijn algemene vuistregel is dat je eigenlijk werk uitvoert dat de ander (de verantwoordelijke) net zo goed zelf zou kunnen doen. Ik heb een boekhouder, maar ik kan ook een accountantskantoor inhuren voor de administratie. Ik heb een mailserver, ik kan ook een Office 365 dienstverlener inschakelen. Dan is de partij die je het werk laat overnemen, je verwerker.

Het lastige is dat een partij die werk voor je overneemt, dat ook kan doen zonder verwerker te zijn. Bij een administratiekantoor is dat wat lastig denkbaar, maar zo’n Office-dienstverlener kan zelf besluiten de dienstverlening aan te passen of andere beslissingen te nemen over de dataverwerking. Dat is in strijd met verwerker zijn. En veel ict-dienstverleners komen in zo’n grijs gebied terecht; ze verwerken andermans data maar nemen zelf beslissingen over hoe ze dat doen.

Het is goed mogelijk dat je na analyse tot de conclusie komt dat de dienstverlener toch verwerker is. Maar dan heb je er dus over nagedacht en wel samen met je dienstverlener. Heel wat anders dan met de inkoopvoorwaarden een verwerkersovereenkomst meesturen en eisen dat die even wordt getekend voor de compliance. En dat is volgens mij wat er vaak gebeurt.

Arnoud

Hoe ver kun je gaan met antiwettelijke systemen ontwikkelen?

Geplaatst op in Regulering, 17 reacties

Coercion-resistant design, ik vertaal het maar als antiwettelijke systemen maar het is het niet helemaal. De Engelse term kwam ik vorige week tegen bij BoingBoing, hij blijkt uit 2016 te dateren en refereert naar technische tegenmaatregelen die onwelgevallige juridische eisen omzeilen of zinloos maken. Het bekendste voorbeeld is de warrant canary, een tekstje in je jaarverslag dat je géén geheim bevel hebt gehad dit jaar. Als je die volgend jaar niet opneemt, overtreed je geen geheimhoudingsbevel want je zegt niets, maar de goede verstaander weet hoe het zit. Hoe sterk is dat nou?

De continue interactie tussen recht en techniek is een van de meest fascinerende aspecten van het internetrecht. Natuurlijk heb je in elk rechtsgebied dat mensen iets doen om de wet te omzeilen (pardon, te “ontwijken”) maar in de ict gebeurt dit zo veel, zo grootschalig en zo expliciet dat ik het echt wat anders vind. Zo ook de omgang met coercie of dwang vanuit de overheid. De neiging om daar dan iets tegen in te bouwen is volgens mij specifiek voor dit rechtsgebied/vakgebied.

Kan het? Ja, er zijn zeker ’trucs’ mogelijk om wettig gegeven bevelen onmogelijk te maken of hun werking te neutraliseren. Ik zeg truc tussen aanhalingsteken omdat het vaak neerkomt op het vermijden van de jurisdictie. (Stel je krijgt een bevel in Seattle, Washington dat je data moet afgeven. Dat je dan zegt, het datacenter staat in Duitsland dus ik kan er niet bij, vind ik niet echt een truc.)

Je kunt dat in software bouwen of het organisatorisch inrichten. Een voorbeeld van BoingBoing is dat je voor bepaalde aanpassingen aan je software twee digitale handtekeningen eist van mensen in twee jurisdicties, zodat er niet één overheid is die kan verplichten tot een zekere aanpassing (zoals een achterdeur). De persoon in de andere jurisdictie zal daar niet aan meewerken en kan niet worden gedwongen.

De onderliggende aanname is vaak wel dat overheden bepaalde dingen niet kunnen of mogen. Bij die warrant canary bijvoorbeeld is de aanname dat je niet gedwongen kunt worden een leugenachtige uitspraak te doen (“Wij hebben dit jaar wederom geen geheime bevelen gehad”, terwijl je die wél hebt gehad). Als die aanname niet klopt – en ik blijf erbij dat je bij canaries gedwongen kunt worden te liegen gezien de bedoeling van de geheimhouding – dan gaat zo’n juridische hack onderuit.

De voornaamste toegevoegde waarde van dit soort ontwerpen is denk ik vooral dat je expliciet nadenkt over eventueel misbruik van je dienst. Als alle communicatie via jouw servers gaat, is het goed te beseffen dat je gedwongen zou kunnen worden bepaalde berichtuitwisseling op te nemen, af te geven of te manipuleren. Daar op voorhand in je design rekening mee houden wanneer je dat niet wilt laten gebeuren is dan alleen maar goed. En ook dat is uniek aan internetrecht: het in programmeren van ethiek, van moreel besef.

Arnoud

Mag je mensen klimaatcriminelen noemen als je dat vindt?

Geplaatst op in Uitingsvrijheid, 44 reacties

“Een ruime maand geleden schreef ik een column waarin ik mezelf voornam klimaatontkenners vanaf nu ‘klimaatcriminelen‘ te noemen.” Dat las ik bij Sargasso, en zowel die column als dit vervolg maakte een hele berg reacties los. Het leidde zelfs tot een formele definitie en een prijsuitreiking voor de klimaatcrimineel van het jaar. Veel van de discussie focuste op de soort-van juridische vraag of je dat wel mag zeggen, dat mensen criminelen zijn terwijl ze niets strafbaars doen. Is dat wel oké, mensen met een andersluidende mening wegzetten als wetsovertreders en ze zo buiten het debat zetten? Of is het gewoon ook een mening, ik vind jou een crimineel?

Juridisch beoordelen of een uitspraak strafbaar is, doe je nooit door te kijken naar de uitspraak alleen. Het gaat altijd om de gehele context waarin de uiting is gedaan, wat er zoal aan vooraf ging en waar de spreker op uit was. De omstandigheden van het geval, zo luidt dan de juridische standaardfrase. Wat zoveel betekent als, er is geen algemene regel, maak maar een inschatting.

Een belangrijke factor daarbij is wel in hoeverre de uitspraak deel is van een groter debat. Zomaar iemand crimineel noemen, of in een verhitte discussie na vele uitwisseling van argumenten terugvallen op “je bent gewoon crimineel” zijn twee heel verschillende dingen. Zeker als er al vaker stevige uitspraken voorbij zijn gekomen, en dat zie je hier zeker: insinuaties dat klimaatalarmisten onder valse voorwendselen handelen, dat klimaatwetenschappers frauderen en ga zo maar door. En ook de andere kant op: dat klimaatontkenners opzettelijk liegen en verdraaien, dat het trollen zijn en niet geïnteresseerd zijn in discussie. En het maakt dan op zeker moment niet meer uit wie er precies gelijk heeft.

Wat een hele goede factor in het voordeel van Sargasso is, is dat ze gekozen hebben voor een expliciete definitie van wat een klimaatcrimineel is:

(1) door middel van een autoriteitsclaim – omdat een beroep op autoriteit/gezag/kennis meer gewicht geeft aan het standpunt en dus meer invloed heeft op de discussie/meningsvorming,
(2) mis- of desinformatie – het gaat om informatie die niet gefundeerd is op voor die tijd logische of empirisch houdbare hypothesen en theorieën, die bijvoorbeeld niet onderworpen zijn aan peer review, opzettelijk of onopzettelijk,
(3) op het gebied van klimaatwetenschap en/of antropogene – door de mens veroorzaakte – klimaatverandering,
(4) actief onder het publiek verspreiden – de standpunten moeten actief onder een breder publiek en in het openbaar verspreid worden.
Als je aan deze vier voorwaarden voldoet, dan is het aannemelijk dat je schade veroorzaakt doordat je bijdraagt aan uitstel of afstel van klimaatactie.

Met zo’n duidelijke en gemotiveerde afbakening én een onderliggend algemeen belang is het toegestaan om zo’n kwalificatie aan mensen toe te dichten. Dat concludeer ik uit het Kwakzalverij-arrest uit 2009 van de Hoge Raad. Het klimaat is een maatschappelijk belangwekkend onderwerp, en als je daarin dingen mis ziet gaan door mensen die aan bovenstaande vier factoren voldoen dan mag je die mensen een heel stevig verwijt maken. De term ‘crimineel’ kan ik dan wel billijken.

Natuurlijk is het gek om zo’n juridische term te gebruiken voor iets dat niet juridisch verboden – laat staan strafbaar – is. Maar de term ‘crimineel’ heeft niet alleen een juridische betekenis (wie echte purist is, zal concluderen dat de wet de term crimineel in het geheel niet noemt), ook een maatschappelijke. Mensen vatten die term niet alleen op alsof iemand de strafwet overtreedt. En er hoeft dus ook geen sprake te zijn van een strafbaar feit voordat je iemand ‘crimineel’ mag noemen.

Ik zou het bepaald onprettig vinden om zo’n label op me geplakt te krijgen als ik te goeder trouw meende dat ik het algemeen belang diende door klimaatalarmisme te bestrijden. Zeker als ik daar bewijs voor had en mezelf als autoriteit zag. Maar ik zou in dat geval juridisch echt pech hebben als ik een smaadzaak of iets dergelijks wilde starten. Heel kort door de bocht, dat is nu eenmaal hoe dit klimaatdebat gaat vandaag de dag.

(NB inhoudelijke discussie over klimaatverandering onder deze blog is offtopic)

Arnoud

Van BBS tot FAMA en AI: vijftien jaar internetrecht in vogelvlucht

Geplaatst op in Informatiemaatschappij, 1 reacties

Waarover ging het eerste vonnis op het gebied van internetrecht? Volgens de onvolprezen jurisprudentiebundel van mr. Tina van der Linden was dat een Bulletin Board System (BBS) dat werd aangesproken op illegaal ter download aangeboden software. BBS’en bestaan niet meer, illegale software nog wel. Maar de kwestie van hoe illegale downloads onder het recht vallen, is welhaast zo alledaags geworden dat een junior medewerker van stichting BREIN zich afvraagt waar de AI blijft die deze kan afhandelen. Nee, de controversiële onderwerpen van vandaag in het internetrecht richten zich op heel andere afkortingen: naast AI de bezigheden van Facebook, Apple, Microsoft en Alphabet en de AVG versus de tracking pixel en andere technologie.

Een verschuivend rechtsgebied
De termijn van vijftien jaar is natuurlijk arbitrair. Internet, althans ICT, en de rechtsvragen die door deze technologie werden opgeroepen zijn al veel ouder dan dat. Maar natuurlijk werd dat niet vanaf het eerste moment als apart rechtsgebied onderkend. Curieuze kwesties en lastige feitencomplexen zijn van alle tijden in het recht. Maar op zeker moment ontstond toch een soort van consensus dat er iets was dat we internetrecht, ICT-recht of technologierecht zouden kunnen noemen.

Zoals ik recent nog blogde, de definitie van wat internetrecht dan is, lijkt vaak neer te komen op het feit dat het zwaartepunt van de rechtsvraag zich bevindt in een internet- of ict-aspect van de zaak. Oftewel: hoe ingewikkeld is het om de ict-georienteerde feiten juridisch te duiden of het best passende wetsartikel te vinden. En cynisch gezegd: pas als het zo ingewikkeld is dat de gemiddelde jurist deze duiding nog niet kan uitvoeren.

Zo cynisch hoeft het echter niet te zijn. Verfrissender is het gezichtspunt dat de kwalificatie van deze aspecten nieuw is en daarmee diepgaande aandacht vraagt. Bij dat BBS kon serieus nog de vraag worden opgeworpen of men wel van openbaarmaken kan spreken als iemand per telefoon rare piepjes genereert. Enkele jaren later speelde het debat of op een website op “Akkoord” klikken leidde tot een rechtsgeldige overeenkomst. Of wat denkt u van de jurisdictie-vraag wanneer een Griek in Duitsland via een app bij het in Nederland gevestigde Booking.com een hotelkamer boekt. Dit zijn geen klassieke kwesties in andere rechtsgebieden, en dus krijgt de internetjurist ze op het bord.

Of men het nu cynisch bekijkt of niet, een inherent kenmerk van internetrecht is dat wanneer de technische aspecten voldoende breed begrepen zijn, een casus minder snel als internetrecht wordt gekwalificeerd. Een aankoop bij een webwinkel is anno 2019 een standaardcasus in het consumentenrecht, bijvoorbeeld. Eind jaren negentig kon men menig juridisch congres vullen met internetrechtelijke vragen over dit onderwerp. Het is volgens mij uniek dat een rechtsgebied door de tijd heen ‘opschuift’ en rechtsvragen afschuift naar andere gebieden.

Zesentwintig woorden schiepen het internet
Het voorbeeld van het BBS onderstreept dat auteursrecht het eerste rechtsgebied was waar internetrechtelijke kwesties langskwamen, al was het ook toen al zeker zo dat contractuele kwesties rond ict-projecten actueel waren. Niet zo gek ook: het internet is ontworpen om informatie uit te wisselen, en auteursrecht is ontworpen om de verspreiding van informatie te reguleren. Daarnaast waren (en zijn) auteursrechthebbenden vaak goed geëquipeerd om hun rechten te handhaven. De eerste faxen met sommaties en schadeclaims volgden dan ook al vrij snel.

Een complicatie die daarbij zich vaak voordeed, was dat de partij die aan te wijzen was als verantwoordelijk voor de verspreiding, niet feitelijk de partij was die dit in gang zette. Webhostingbedrijven, internetproviders, forumbeheerders – en die meneer die het BBS beheerde, de sysop in de inmiddels vergeten terminologie – kregen met deze claims te maken. Dat was natuurlijk niet helemaal de bedoeling; niet zij maar de klant verrichten de onrechtmatige daad, en hoe kun je als bedrijf klanten informatie laten verspreiden als jij de schadeclaims krijgt? Moet een tussenpersoon zoals een internetprovider niet juridisch beschermd worden?

In Nederland kreeg deze kwestie zich medio jaren negentig grote aandacht toen publiciste Karin Spaink op haar website bij internetprovider XS4ALL publiceerde over de Scientology-beweging, daarbij citerend uit gelekte stukken van de organisatie zelf. Deze greep naar de auteursrechtelijke wapens om hier een eind aan te maken. Het Gerechtshof Den Haag bepaalde in 2003 echter dat de publiciste het gelijk aan haar zijde had – en dat de provider niet zelf aan te spreken was op auteursrechtinbreuk door haar klanten.

Ditzelfde thema kwam in andere landen terug, met name in de Verenigde Staten waar Section 230 van de Communications Decency Act in 1996 providers een keiharde wettelijke vrijwaring van aansprakelijkheid gaf voor handelen van hun klanten. Met de nuance van de Digital Millennium Copyright Act – dien uw auteursrechtelijke klacht bij de provider in en deze zal onmiddellijk ingrijpen – leidde dit tot een explosie aan online diensten waarbij gebruikers zaken konden plaatsen of versturen, zonder dat de provider continu zorgen hoefde te hebben over aansprakelijkheid. In bloemrijke taal is Section 230 daarom wel “The Twenty-Six Words That Created the Internet” genoemd.

Europa was met haar e-commercerichtlijn (2000) iets genuanceerder: een provider moest niet alleen op auteursrechtelijke klachten ingrijpen, maar op iedere beweerdelijke onrechtmatige daad wanneer deze ‘onmiskenbaar’ was. In de praktijk ging dit vrijwel altijd over auteursrechten, zodat de Europese en Amerikaanse praktijk op dit punt gelijk op ging. Naast auteursrechten waren overigens ook de merken en handelsnamen een belangrijk thema, met name rond de domeinnamen en online advertenties.

Van auteursrecht naar privacy
Amerikaanse jurisprudentie en richtsnoeren zijn in het internetrecht sowieso zeer zwaarwegend geweest in de beeldvorming rond dit rechtsgebied. Eind jaren negentig verscheen bijvoorbeeld de Databeschermingsrichtlijn, die strenge regels over omgang met persoonsgegevens stelde. Deze wet werd vrijwel compleet genegeerd in ICT-land. Ja, iedereen had netjes een privacy policy op de site waarin stond hoe men omging met persoonlijke gegevens van de bezoeker, maar dat was ingegeven door een aanbeveling van de Amerikaanse Federal Trade Commission dat transparantie en informatie over gegevensverwerking iets is dat een eerlijk ondernemer gewoon doet. Wat de sector oppakte als “zeg in wollige taal wat je doet, en dan mag alles”.

De Databeschermingsrichtlijn stond een heel ander regime voor. Wees expliciet en specifiek, vraag toestemming, let op je beveiliging en doe geen dingen die mensen raar, onverwacht of opdringerig vinden. Daar kwam dus weinig van terecht, mede omdat Europese handhaving sterk gefragmenteerd was en zich nauwelijks richtte op de online omgeving. Plus het feit dat er in de meeste landen geen boetebevoegdheid bij toezichthouders was.

De Algemene Verordening Gegevensbescherming, met strenger geformuleerde regels, veel bozere taal en vooral giga-boetes, zie ik dan ook als niets minder dan een aardverschuiving. Bedrijven moesten nu ineens serieus iets met privacy, en dat was lastig omdat daar nooit echt over was nagedacht. Nieuwsbriefsoftware volgde mensen standaard in hun leesgedrag, online advertenties registreren iedere klik in een interesseprofiel, security software monitort gedrag en ga zo maar door. Kennis over mensen bleek in de tussentijd een zeer waardevol bedrijfsbezit. Maar vanuit de AVG zien we nu langzaam maar zeker een tegenbeweging ontstaan tegen deze datahonger van met name Amerikaanse bedrijven.

De rol van data
Data is juridisch niets, roep ik al geruime tijd. Eigendom op digitale data is niet mogelijk, omdat deze de essentiële eigenschap van uniciteit ontbeert. Dat bepaalde onze Hoge Raad in het Computergegevens-arrest, dat een nuance op het bekende Elektriciteits-arrest vormde. Met name de opkomst van de cloud en software-as-a-service heeft de randen en risico’s van deze rechtspositie blootgelegd. (Het Runescape-arrest dat eigendom op virtuele objecten toepasselijk verklaarde is daar dan weer een specifieke nuance binnen.)

Deze wankele positie verbaast nogal. Data is centraal in de kenniseconomie. Data is the new oil, zo luidde het motto op menig venture capital pitch. Je zou dus zeggen dat als er iets juridisch beschermd moet zijn, dat het dan data is. Maar dat is dus niet zo. Data is een artefact van het juridische feit dat ict-diensten eigenlijk hetzelfde worden behandeld als andere dienstverlening (de overeenkomst van opdracht). En met artefacten houdt het recht geen rekening.

ICT is dienstverlening. U vraagt, wij draaien. Of het nu gaat om het opslaan van bestanden, het berekenen van aanbevelingen of het doorzoeken van websites. Data is daarbij essentieel maar tegelijk dus onbeschermd. Juridisch gezien is Google een slimme hotelconciërge die het beste tentje voor je weet en onthoudt waar je de vorige keer was. Die conciërge kun je ook niet vragen om een kopie van ‘jouw’ data.

Ook juridisch ongeregeld: toegang tot de diensten die die data verwerken. Het continuïteitsprobleem, in de literatuur. Diensten stoppen af en toe, en waar sta je dan als afnemer? Dit is wederom volstrekt ongeregeld. Stoppen mag, en wie dan afhankelijk was van die dienst die heeft juridisch gezien gewoon pech gehad. Dat is een probleem: die afhankelijkheid is groot en het probleem bij stoppen dus acuut. Gefragmenteerde rechtspraak tot nu toe laat niet echt een heldere lijn zien waar dit heen moet gaan.

De komende vijftien jaar
Toegang tot online diensten en gebruik van data gaan hét thema worden de komende vijftien jaar. Het kan niet waar zijn dat het recht geen antwoord heeft op een dergelijk fundamenteel probleem als zou men geen toegang kunnen eisen tot diensten waar men sterk afhankelijk van is, als platforms machtiger zijn dan overheden maar zich niet zo opstellen en als data onbruikbaar wordt omdat een opslagprovider dat zo beschikt.

De eerste slagen zullen worden gevochten rond de inzet van data bij wat vroeger big data heette en nu artificial intelligence: analyses op grote bakken met data om voorspellingen te doen en op basis daarvan beslissingen. De AVG zal daarbij een leidende rol spelen. Maar dit zal slechts een voorhoedegevecht blijken voor de grotere open rechtsvraag: welke positie heeft zo’n supermachtig platform als Facebook of Alphabet nu eigenlijk? Niet alleen aansprakelijkheid, zoals in de jaren negentig, maar ook andere vragen – de positie van de burger, de bevoegdheid tot privaat regels stellen, en ga zo maar door.

Meer leren én meediscussiëren over dit onderwerp? Kom dan naar mijn congres The Future is Legal op 15 november.

Arnoud

Wie toestemming onder de AVG vraagt, snapt de AVG niet (of heeft een nieuwsbrief)

Geplaatst op in Privacy, 33 reacties

Een lezer vroeg me:

Van mijn garagebedrijf kreeg ik een toestemmingsformulier voor het verwerken van mijn gegevens: opname in klantenbestand, verstrekking van mijn persoonsgegevens aan derden in het kader van betalingen en verstrekking van mijn persoonsgegevens aan partners in het kader van een goede dienstverlening, zover dit nodig is. Waarom eist de AVG in hemelsnaam dat mensen in dit soort situaties toestemming vragen? Het spreekt toch voor zich dat ik dit wil als ik bij deze garage mijn auto wil laten repareren?

Als ik even zo vrij mag zijn op donderdagochtend: dit is pertinente onzin, en wie toestemmingsformulieren zit te maken onder de AVG mag daar gelijk mee ophouden. Kan me niet schelen wat je doet, je doet het fout. Behalve als je met nieuwsbrieven bezig bent.

Om een of andere reden hebben mensen het idee gekregen dat je onder de AVG overal toestemming voor moet vragen. Ik denk dat dat komt omdat toestemming als de eerste van de zes grondslagen in de wet staat (artikel 6.1 AVG) en men daarna ophoudt met lezen. Een kapitale fout wat mij betreft, met schandalige gevolgen zoals dat kinderen niet naar de tandarts gaan (wat ook volgens de AP onzin is.) Toestemming is de minst zinvolle en minst werkbare grondslag, en als organisatie moet je niet willen werken onder die grondslag.

Het hele idee achter de AVG is dat je eigenlijk alleen persoonsgegevens gaat gebruiken als het niet anders kan. Bij die garage: je hebt gegevens nodig voor de overeenkomst, je wilt je factuur betaald krijgen en soms moeten gegevens ingewonnen bij de dealer of gaat een stukje van het werk door een ander (zoals de verzekeraar). Dat mag gewoon van de AVG, we noemen dat “noodzaak overeenkomst”, grondslag b.

Ook kun je je vaak beroepen op de grondslag van het eigen legitiem belang (sub f), waarbij je dus een afweging van belangen maakt. Toestemming vragen is daarbij niet aan de orde. Verwarrend is daarbij wel dat je vaak een opt-out invoert als deel van die belangenafweging, want met opt-out houd je meer rekening met mensen hun privacybelang, maar die opt-out is heel wat anders dan toestemming. En je moet niet vergeten die afweging daadwerkelijk te maken en op papier te zetten, dat is waar Manfield over struikelde toen ze vingerafdrukherkenning wilde inzetten bij hun personeel.

Mij bekruipt het gevoel dat mensen niet weten hoe zo’n afweging te maken, of het eng vinden een standpunt in te nemen en dan maar toestemming gaan vragen. “Dan zit je in ieder geval goed, toch?” Nope. Al is het maar omdat je óók bij toestemming een noodzakelijkheids- en proportionaliteitstoets moet maken, en geen hond die dat doet bij z’n toestemmingsformulier.

Maar belangrijker: toestemming kan op ieder moment worden ingetrokken, zonder opgaaf van redenen en zonder enige consequentie. Als je dus een bedrijfsproces hebt dat afhankelijk is van toestemming, dan moet je er dus vanuit gaan dat je bedrijfsproces stilstaat omdat niemand toestemming geeft. Ik kan me niet voorstellen dat dat een nuttig bedrijfsproces is.

Behalve nieuwsbrieven dus. Die verstuur je met toestemming (opt-in) en het is geen ramp als iemand die toestemming intrekt. Dan haal je ‘m gewoon uit het bestand. Specifiek daar zie ik toestemming wel werken.

Maar afgezien van nieuwsbrieven dus is er géén zakelijk belang denkbaar waarbij je gaat drijven op toestemming. Wie denkt van wel, ik hoor het graag maar dan wel alsjeblieft inclusief uitleg wat er gebeurt als die toestemming 1 seconde na het geven ingetrokken wordt. Of beter gezegd, waarom het niet erg is dat er niets gebeurt nadat die toestemming ingetrokken blijkt.

Arnoud