Hoe bewijs je of een creditcard echt of vals gebruikt wordt?

Geplaatst op in Informatiemaatschappij, 8 reacties

Stel er wordt een creditcard op je naam aangevraagd en gebruikt, hoe bewijs je dan dat jij dat niet was? Met die vraag zag een man in Noord-Holland zich onlangs geconfronteerd, toen hij werd gedagvaard door American Express wegens het niet voldoen van de schuld die op die kaart was opgebouwd. De kaart was via internet afgenomen op zijn naam, en ook was er een betalingspatroon dat consistent leek met het gedrag van de man. AmEx vond dat het daarom duidelijk was dat hij die kaart had afgenomen. De rechter kijkt er nog eens kritisch naar en komt tot een andere conclusie.

Het eerste bewijsmiddel van American Express was de online aanvraag, waarbij immers de gegevens van de man zijn ingevoerd. Niet alleen maar wat in het telefoonboek staat, ook identiteitsnummer en de meisjesnaam van zijn moeder. Maar die gegevens waren ook bij anderen bekend, met name bij ene [naam] die verderop in het verhaal nog even terug gaat komen. De rechtbank vindt dat niet overtuigend, ook niet als blijkt dat er daarna op het opgegeven nummer is gebeld met iemand die zei dat hij de gedaagde man was.

Vervolgens werd natuurlijk de kaart toegestuurd naar het opgegeven adres, dat aan de gedaagde toebehoorde. Alleen: hij woonde daar al een tijd niet meer, en die [naam] had toegang omdat die hielp was met de verkoop ervan. Dus ook dat bewijst weinig.

Het betalingspatroon levert een interessant stukje bewijs op. Er zijn tickets naar Italië gekocht, een villa in Italië gehuurd en de nodige extra transacties daar verricht. En dat in combinatie met de Facebook-informatie van de gedaagde dat hij “ff paar dagen chillen” was (ik vind dat niet passen bij de eigenaar van een woonboerderij, maar goed) in precies dezelfde plaats en in zo’n villa, zou dan toch wel overtuigend moeten zijn? Niet helemaal: er stonden ook van vóór de vliegreis daterende transacties in Italië op die kaart.

Uiteindelijk komen we bij de kern van het verhaal: die [naam] blijkt een handige (inmiddels ex-)schoonzoon van de man te zijn, die hem aan het lijntje zou hebben gehouden over verkoop van de woonboerderij en een mooi feestje ging bouwen met schoonvader, waarbij de kosten zouden worden gedeeld. Zo’n oplichterstruc zie je vaker, en het is volgens de rechter niet meteen ongeloofwaardig dat iemand daar in zou trappen.

Als laatste bleek dan nog dat de incasso’s op schoonvader’s rekening waren mislukt, maar ook dat was iets waar hij geen rekening mee hoefde te houden. En waaruit al helemaal geen aanvaarding van de kaart uit volgt, of zelfs maar wetenschap dat er een kaart is waar je dan wat mee moet. Met name omdat de ING bank niet meldt dat zo’n incasso is mislukt, zodat je er moeilijk actie op kunt ondernemen.

Een erg feitenspecifieke zaak maar wel een mooi voorbeeld van hoe rechters kijken. Maar ik zie het zomaar gebeuren dat andere mensen zich laten overtuigen door het juridisch geweld dat je bij zo’n incasso over je heen krijgt.

Arnoud

Politiekorpsen VS mogen Ring-video’s eeuwig bewaren en onbeperkt delen, en bij ons?

Geplaatst op in Privacy, Regulering, 7 reacties

Politiekorpsen in de VS die van buurtbewoners video’s ontvangen van slimme deurbel Ring mogen dat beeldmateriaal eeuwig bewaren en onbeperkt delen met bijvoorbeeld andere korpsen of overheidsinstanties. Dat las ik bij Tweakers. Het vervolgt eerdere berichten dat Ring in de afgelopen jaren samenwerkingsovereenkomsten heeft gesloten met vierhonderd korpsen in de VS, die zo toegang krijgen tot beelden van de dienstverlener. Ring verzamelt en bewaart beeldopnames van de deurbel-met-camera op haar servers, en kan er dus over beschikken wanneer politie of Justitie daarom vraagt. Naar Amerikaans recht lijkt dat dus in orde, maar vele lezers vroegen zich af, hoe zit dat dan in Nederland gezien de AVG? En jaja, komt ie weer met z’n diensteneconomie.

Eerst maar dat bewaren door de politie. Als die beelden hebben verkregen, worden die in principe alleen gebruikt voor het betreffende onderzoek. Maar ze kunnen (Wet politiegegevens, artikel 8 en verder) ook voor andere onderzoeken worden ingezet. Zomaar een berg verzamelen en bewaren kan dus niet. Maar lijkt me ook niet heel praktisch want wat moet je met een berg video’s waar hooguit een datum en locatie bij zit?

Handiger is lijkt mij ze gewoon per geval vorderen (zoals ook gebeurt bij ons) want dan heb je precies wat je nodig hebt wanneer je het nodig hebt. En ja, vorderen moet, de politie kan beelden niet zomaar vragen omdat er persoonsgegevens op staan. Dat vereist een bevel van de officier van justitie en dat kan alleen worden gegeven in het belang van een strafrechtelijk onderzoek.

Daar staat tegenover dat een burger door hemhaarzelf gemaakte beelden vrijwillig mag afgeven. Als ik meen een misdrijf gefilmd te hebben, dan mag ik daarmee aangifte gaan doen en dan is er geen bevel meer nodig, ik kan dan gewoon die usb-stick met de beelden overhandigen. Dat geldt ook voor bedrijven, dus ook voor Ring. Als die vrijwillig beelden aan de politie willen geven, dan mag dat dus.

Complicatie hier is wel dat het niet hun eigen beelden zijn – de camera’s zijn eigendom van hun klanten, zij bewaren de beelden alleen maar op hun servers. Maar nee, zo werkt dat hier niet. Want daar is ie weer met de diensteneconomie: nee, zo werkt dat hier niet. Data is juridisch niets. Ring levert een dienst, en de artefacten van die dienst (zoals de camerabeelden) bestaan juridisch niet als zelfstandige entiteit. Ring kan daarmee dus doen wat ze wil, tenzij ze contractueel heeft afgesproken van niet. Maar zoals je van Amerikaanse diensten verwacht, zeggen die voorwaarden juist dat men alles mag.

In Nederland zou dat dus in principe ook zo gaan, zij het dat je hier als huiseigenaar er wél wat over te zeggen hebt. Jij hangt die camera op, jij filmt de openbare ruimte (ook al is het slechts bij aanbellen) dus dan zou je best eens de verwerkingsverantwoordelijke voor die beelden kunnen zijn met Ring als verwerker. En een verwerker mag natuurlijk niet zelfstandig de persoonsgegevens aan derden verschaffen. Ook niet als in de algemene voorwaarden staat van wel.

Arnoud

Mogen verse ouders de kraamverzorger in de gaten houden met de babycam?

Geplaatst op in Privacy, 35 reacties

Een lezer vroeg me:

Wij zijn een kraamzorgbureau met drie vaste verzorgenden. Recent kwam een van onze medewerkers bij een nieuwe cliënt thuis, die vertelde dat er diverse camera’s hingen om de baby te kunnen zien én, ik citeer, “om te zien wat de kraamverzorgende op een dag doet.” Dat voelde zeer onprettig dus zij heeft geëist dat de camera uit zou gaan. Er dreigt nu een conflict te ontstaan, hoe moeten we daarmee omgaan? En wat is wijsheid voor de toekomst?

Dit dilemma kom ik steeds vaker tegen, en ik moet zeggen dat ik het lastig vind een praktisch werkbaar compromis te bedenken.

Juridisch bekeken komt het neer op een afweging onder de AVG, maar die is nog knap ingewikkeld. Enerzijds mag je als privépersoon in je huis een camera inzetten ter beveiliging en surveillance, met de AVG heb je dan niets te maken want dat valt onder de uitzondering voor huishoudelijke verwerking. (Tenzij je Rynes héél breed leest en zegt, ook hier is een situatie dat de verwerking “buiten de privésfeer geraakt van degene die door middel van dit systeem gegevens verwerkt”.)

Anderzijds hoeft een werknemer niet te pikken dat zhij verplicht voor de camera gaat staan van een derde als dat niet voor het werk noodzakelijk is. Een goed werkgever moet hier waarborgen tegen genomen hebben – de recente Transavia-discussie over het fotograferen van stewardessen. Je kunt als werkgever dus niet makkelijk roepen, je gaat maar bij de klant voor de camera staan want je moet gewoon aan het werk. Ook niet als die klant als privépersoon die camera aan mag hebben staan.

Derderzijds kun je als werkgever niet zomaar alle klanten weigeren omdat ze een camera hebben, zeker niet in de kraamzorg, oppas en dergelijke dienstverlening waar de veiligheidszorgen erg groot zijn en de wens om een camera in te zetten dus zeer persoonlijk en stevig is. Je moet daar dus meer mee dan “die camera weg want m’n personeel d’r privacy gaat voor”.

Ik blijf erover peinzen en ik kom er niet uit. Ja, in je voorwaarden opnemen dat camera’s “in overleg” mogen worden ingezet en dat maatregelen tegen misbruik en excessen moeten worden genomen. Maar wat dan, ga je dan de klant z’n camera-setup controleren? Eis je dat encrypted harddisks met two-man-access-rule worden ingezet en dat terugkijken in aanwezigheid van de manager moet gebeuren?

Arnoud

Move fast & break things, is dat innovatie of moedwillig wetsovertreden?

Geplaatst op in Informatiemaatschappij, 12 reacties

Move fast & break things, is al jaren het motto in Silicon Valley. De term komt van Facebook en was ooit bedoeld om hun interne processen en cultuur te schetsen, maar past heel goed bij hoe internetdiensten zich hebben gemanifesteerd. Snel de markt op, snel groeien en daarna kijken we wel wat er eventueel stuk gegaan is en hoe we dat recht kunnen breien.

Dat stukgaan, dat kon ook rustig een wettelijke verplichting betreffen. Oeps, we hebben veel meer data verzameld dan eigenlijk mocht. Oeps, we zijn eigenlijk een taxidienst zonder vergunning. Oh wacht, hebben we nu werkelijk miljoenen extremisten een gratis platform gegeven om haatboodschappen te verspreiden en kinderen gruwelijke animaties voor te schotelen? Ja dat ging voor ons ook een beetje snel. Die trage wetgeving ook altijd.

Ja, dat is flauw. Innoveren is namelijk bijna altijd ook een stukje wet overtreden. Wetten zijn bedoeld om de status quo vast te leggen, zo is het en dat vinden we eigenlijk wel best. Wetten beschermen de bestaande orde, wat hier gebeurt is goed en zo hebben de marktpartijen zekerheid over hoe ze moeten werken. Dat is goed voor de maatschappij, want het creëert rust en zekerheid en daar kunnen mensen op bouwen. Maar het creëert ook beperkingen, wie een andere manier van werken heeft die komt in de problemen met zo’n wet die zegt dat dat niet mag.

Neem Uber. Even los van hun onfrisse praktijken richting concurrenten en de prijstrucs naar chauffeurs. Het idee van een app waarmee je snel een taxi bestelt en een algoritme dat uitrekent wie het beste daarheen moet gaan, en een ratingsysteem met sterren, dat is best innovatief. Ik noemde ze ooit een snorder met een app maar dat was wel een tikje kort door de bocht (zelfs voor mij). Want het was een knappe prestatie die de markt heeft getransformeerd, ook in het voordeel van de consument. Ja, er zijn nu ook nieuwe nadelen zoals die steeds lagere prijzen en chauffeurs die onder de prijs werken. En dat moet dan opnieuw worden gereguleerd, op een of andere manier.

Een nieuwe wet is dan de oplossing – vanuit de status-quo gedachte in ieder geval. Verbieden die hap, roepen ze dan vanuit de gevestigde orde. Alleen, en dat is best uniek: tegen de tijd dat we die nieuwe wet hebben, is de technologie al zo ver dat er weinig anders meer te doen is dan het legaliseren. Want nu ineens zeggen, AirBNB mag alleen bij hotels, Uber wordt verboden zonder taxivergunning, filesharing is illegaal en drones alleen met pilotenbrevet, je maakt je alleen maar belachelijk. De maatschappij is er al aan gewend, je kunt niet meer terug.

Maar wat dan? Ik denk dat je er niet aan ontkomt om de status quo opnieuw te laten ontstaan. Het stof even neer te laten dalen, en dan zien waar we ongeveer staan. is goed dat nieuwe dingen een tijd een kans krijgen om zichzelf te bewijzen ondanks bestaande wetgeving. Maar al te lang moet dat niet duren, want meestal is die wetgeving ook op een bepaald nuttig doel of streven gebaseerd, en verwacht de maatschappij dat ook de nieuwe daaraan moet voldoen. Niet te snel, want meestal sla je dan dingen dood. Maar zoals het nu gaat duurt het vaak wel érg lang.

Arnoud

Is het inbouwen van backdoors in je encryptiesoftware verplicht?

Geplaatst op in Regulering, Security, 11 reacties

Een lezer vroeg me:

In Australië is sinds vorig jaar een wet van kracht die techleveranciers verplicht om backdoors in te bouwen in hun software als die end-to-end encryptie toepast. Hoe zit dat in Nederland, geldt die plicht bij ons ook zo?

Eind vorig jaar is in Australië inderdaad een wet aangenomen, de Assistance and Access Bill 2018. Deze geeft opsporingsdiensten de macht om bij technologieleveranciers te eisen dat deze decryptiesleutels afgeven, maar ook om een backdoor in te bouwen zodat men stiekem mee kan lezen.

Met name hoe snel en sneaky die wet is doorgevoerd, gaf veel reuring. Maar ook het principe natuurlijk dat je backdoors in moet bouwen, dat is een uniek precedent in de securitywereld. Want nee, in Nederland (of Europa, of de VS) bestaat niet zo’n zelfde wet.

Alle Westerse landen hebben regelgeving dat een dienstverlener die toegang heeft tot berichten van een klant, die af moet geven onder zekere voorwaarden. In Nederland is de grens relatief hoog: als het “belang van het onderzoek dit vordert” bij een ernstig misdrijf (art. 126m Strafrecht) moet een communicatie-aanbieder de decryptie ongedaan maken van berichten die via hem lopen.

Er is echter in Nederland – noch in Europa, noch in de VS – een plicht om encryptie zo te bouwen dát je kunt decrypten. Ja, als je een telecomdienstverlener bent dan moet je netwerk aftapbaar zijn (art. 13.1 Telecommunicatiewet) maar internetdiensten zijn per definitie geen telecomdiensten.

Leveranciers van telecomproducten of internetcommunicatieproducten (waaronder software) hebben op dit moment geen plicht om backdoors in te bouwen. Ik weet in Europa niet van enig plan om dergelijke functionaliteit verplicht te gaan stellen, maar je weet natuurlijk nooit.

Arnoud

Wat mag je nog met tracking pixels tegenwoordig?

Geplaatst op in Privacy, 25 reacties

orgverzekeraars maken gebruik van omstreden tracking-software die is verstopt in e-mails aan klanten, zo meldde Radio 1 onlangs. Deze reportage was een vervolg op eerdere berichten dat onderwijsdienst DUO trackers gebruikte om te zien of studenten hun mail wel lazen, zonder dit te melden. Dat zou in strijd zijn met de AVG. DUO is ermee gestopt, de door Reporter Radio onderzochte zorgverzekeraars gaan hun privacyverklaring aanpassen maar lijken niet te stoppen. Wat dus de vraag oproept, mag dat nu wel of niet van de AVG?

Een tracking pixel is een al wat oudere truc om te achterhalen of iemand je mailbericht heeft gelezen, althans opengeklikt. Er zit dan een plaatje van 1 bij 1 pixel in de mail, en je mailprogramma haalt dat plaatje op net zoals andere afbeeldingen. Dat valt jou als lezer niet op want het is maar 1×1 pixel en bovendien wit of transparant. Maar bij het ophalen wordt je IP-adres geregistreerd, en de bestandsnaam is uniek voor jou als ontvanger zodat de afzender kan zien dat deze pixel vanuit jouw mailbericht is opgevraagd. Dat is dan het bewijs dat jij die mail hebt geopend.

In deze context is dat IP-adres een persoonsgegeven, of iets preciezer: die unieke bestandsnaam in combinatie met IP-adres en datum plus tijd van opvraging is het persoonsgegeven “persoon [email protected] heeft de mail opengeklikt”. En dan is de AVG van toepassing.

Onder de AVG moet je allereerst een grondslag hebben. Dat zal gewoonlijk het eigen gerechtvaardigd belang moeten zijn, want toestemming vraagt geen hond en echt noodzakelijk voor een overeenkomst is het niet. Welke nieuwsbrief is zo belangrijk dat je moet moet moet weten dat deze aangekomen is? Maar een eigen belang – marketing en statistieken – dat zie ik wel. Daar staat dan natuurlijk het privacybelang van de ontvanger tegenover, maar wanneer je de vastlegging uitsluitend gebruikt voor algemene statistieken (deze truc geeft 5% meer opens, in België leest slechts 20% onze nieuwsbrief) dan denk ik dat het marketingbelang wint.

Wel moet je duidelijk informeren over de tracking. Dat zal op zijn minst in de privacyverklaring moeten gebeuren. Maar eigenlijk denk ik dat het duidelijker moet dan dat – een zin bij het “inschrijven voor de nieuwsbrief” formulier, en misschien zelfs wel een zin in de mail zelf. Hoewel dat laatst eigenlijk wat laat is, de tracking pixel is dan al ingeladen. Ook moet er een opt-out (bezwaar) mogelijkheid zijn. Dat mensen zelf blockers kunnen installeren, is wat mager. Je zult mensen dat dan uit moeten leggen. Maar ik denk dat je dan een heel eind komt.

Oh ja, dan is er ook nog de Telecommunicatiewet die in tegenstelling tot wat de Volkskrant zegt wél geldt voor tracking pixels. Er wordt immers een pixel op je computer gezet. Dat “de registratie gebeurt op de server van de afzender” is niet relevant, de Telecomwet gaat niet over waar persoonsgegevens worden verwerkt maar of er data op randapparatuur wordt opgeslagen. Maar het gaat desondanks goed, omdat dergelijke simpele analytics vallen onder de Nederlandse uitzondering op de cookiewet. Dit schendt niet of nauwelijks de privacy en is bedoeld om de effectiviteit van een geleverde dienst te meten. Dan is er geen toestemming nodig.

Dus onder de streep kom ik uit bij een kopje in de privacyverklaring “nieuwsbrief en volgsysteem” waaronder je uitlegt dat je tracking toepast, welke gegevens je vastlegt daarvoor en hoe mensen dit tegen kunnen houden. Toestemming vragen is niet nodig.

Voor DUO ligt dat anders. Dat is een overheidsinstantie, dat die mails verstuurt in de uitoefening van haar publieke taak. In dat geval is zij niet bevoegd de grondslag van het eigen gerechtvaardigd belang in te roepen – zij moet een wettelijke grondslag hebben om dit te mogen doen. En die is er niet.

Arnoud

Belgische school laat leerlingen hun lunch afrekenen met scan van handpalm

Geplaatst op in Privacy, 10 reacties

Op de Sint-Bavohumaniora in Gent kunnen leerlingen binnenkort broodjes en drankjes afrekenen via een scan van hun handpalm. Dat meldde Tweakers onlangs. De biometrische technologie zou praktischer zijn dan de huidige badges en maaltijdbonnetjes, die regelmatig vergeten worden of kwijtraken. Maar het riep vragen op bij vele lezers, omdat het gebruik van biometrische persoonsgegevens toch heel streng gereguleerd was onder de AVG. Recent mocht Manfield gen vingerafdrukken inzetten tegen kassafraude, dus hoezo mag een school dit zomaar doen voor iets triviaals als een lunch afrekenen? Dus ja, hoezo mag dat dan?

Allereerst: die Manfielduitspraak was vooral gebaseerd op het feit dat er niet nagedacht leek te zijn over impact en alternatieven. Hadden ze dat wel gedaan, dan was het volgens mij zonder twijfel legaal geweest om dit systeem in te voeren. Maar er is geen twijfel dat een handpalmafdruk een biometrisch persoonsgegeven is, gezien de definitie van die categorie uit de AVG. Daarmee kom je meteen in de extra strenge bescherming voor bijzondere persoonsgegevens terecht.

Hoofdregel is dat je bijzondere persoonsgegevens niet mag verwerken, tenzij in de AVG of je lokale wetgeving staat van wel. Een van de genoemde uitzonderingsgronden is de uitdrukkelijke toestemming. In Nederland hebben we daarnaast nog de noodzaak voor identificatie of authenticatie, waar dus een werkgever zich op zou kunnen beroepen als hij zijn privacy impact assessment rond heeft.

Een werkgever moet wel, want die kan geen toestemming vragen vanwege de afhankelijkheidsrelatie (en het feit dat het hier om iets verplichts ging). Maar afrekenen met een handpalm voelt voor mij vrijwilliger dan een vinger om in te loggen bij de kassa, er zijn immers gewoon alternatieven beschikbaar. Dus ik zou zelf geen probleem zien met dit als school (of werkgever, in de kantine dus) invoeren als vrijwillige extra afrekenoptie. Natuurlijk wel even extra goed de security checken van het biometrisch betalingsauthenticatiesysteem.

Ik keek nog even snel in de Belgische Uitvoeringswet bij de AVG (de Kaderwet) en het zal ongetwijfeld aan mij liggen maar ik zie daar dus geen analogie aan onze noodzaak voor identificatie en authenticatie. Sterker nog, ik zie in artikel 34 een veel stérker verbod: geen verwerking van biometrie tenzij dit wettelijk is geregeld, noodzakelijk is voor vitaal belang of het gegeven kennelijk openbaar is gemaakt. Daar mist dus de uitdrukkelijke toestemming als grondslag. Dat mag (artikel 23 AVG) maar het voelt als een rare uitkomst, vooral omdat de Gegevensbeschermingsautoriteit zegt dat het “natuurlijk zo [is] dat toestemming een basis is”. Waar dan weer gek aan is dat er geen ‘uitdrukkelijk’ bij staat, een vakterm die ik toch wel verwacht had in een publicatie van de toezichthouder.

Afijn. Ervan uitgaande (ik moet altijd de spelling daarvan nazoeken) dat uitdrukkelijke toestemming in België inderdaad een grondslag is, én er goed over de beveiliging is nagedacht, lijkt me dit dus prima legaal. Als je alléén nog kunt afrekenen met je hand bij die kantine, dan zou ik het niet meer vrijwillig vinden. Natuurlijk kun je dan zeggen, “neem een zakske bokes mee” maar dat voelt voor mij geen reëel alternatief voor een lunch op school die je al jaren gewend bent.

Arnoud

Wie een robot als confrère verwacht, begrijpt niets van legal tech

Geplaatst op in Informatiemaatschappij, 7 reacties

Een robot in de rechtbank zal niet snel voorkomen, want het werk van advocaten „is heel moeilijk te automatiseren”. Dat las ik in NRC Handelsblad onlangs. Het idee is hardnekkig: de robots en/of de AI’s komen eraan, en ze gaan onze banen inpikken (South Park referentie optioneel). Waarbij de illustrator van dienst dan vaste prik een robot in toga tekent die een vlammend betoog ter behoud van de democratische rechtsstaat houdt, of een moeilijk dossier leest met de vinger bij de betreffende regel. Allemaal leuk en aardig maar legal tech en robots gaan helemaal niet het werk van advocaten overnemen of automatiseren. Ze gaan de maatschappij transformeren zodat dat werk irrelevant of een beperkte niche wordt.

Dat het werk van advocaten heel moeilijk te automatiseren is geloof ik graag. Het “heeft een hoge creativiteitsfactor”, zo zegt ABN Amro-bankier en sectorspecialist Han Mesters in de NRC. Slimme argumenten, spitsvondige reacties, aanvoelen wat de rechter eigenlijk wil horen, een schikkingsvoorstel verzinnen dat de emotie van de wederpartij erkent, in een duister uitziende zaak toch een lichtpuntje vinden én met onvermoeibaar pleiten daar de winst uit slepen – nee, daar zie ik vooralsnog geen computerprogramma voor komen.

Software is goed in het automatiseren van het gewone, het alledaagse. Het vinden van afwijkingen, het controleren van patronen, het doen van extrapolaties. Dat is heel iets anders dan het soort maatwerk waar de advocatuur voor staat. Dat zie ik meteen. En om die reden hoef je je inderdaad nul zorgen te maken dat je pleitwerk overgenomen wordt door een robot in een toga.

Grappig genoeg lijkt het NRC artikel juist te bevestigen waar het wél pijn gaat doen in de juridische sector:

Bosman voorziet echter dat het ‘productiewerk’ dat zij verrichten door technologische ontwikkelingen veel sneller zal gaan. „Daar zit de pijn voor advocatenkantoren. Dan stort dit businessmodel in. Mensen zullen in de advocatuur niet vervangen worden door machines, maar er zullen wel minder mensen nodig zijn omdat men productiever wordt.”

Dus het werk van advocaten wordt niet weggeautomatiseerd, alleen 80% van de advocaten. Oké, dat is inderdaad een nuanceverschil.

Daar komt bij dat software-gedreven dienstverlening zorgt voor een andere manier van werken. Automatiseren is nooit het simpelweg automatisch doen van wat je voorheen handmatig deed. Toen de treinen van stoom naar elektrisch gingen, werden stokers overbodig en moesten machinisten hun vak opnieuw leren. Er kwam geen robot die schepjes diesel in de oven gooide. Datzelfde gaat gebeuren in de juridische sector.

Het is misschien een wat gevaarlijk voorbeeld, maar e-Court heeft laten zien wat er kan gaan gebeuren. De organisatie is controversieel omdat consumenten niet doorhadden dat ze naar arbitrage gingen (en dat een robotrechter daarbij meekeek), maar men had wel een alternatieve geschilbeslechting opgetuigd met effectieve inzet van ict-middelen. Lagere kosten, snellere rechtsgang en inzet van AI om standaardkwesties standaard af te doen. Dat is innovatie volgens het boekje. Niet slechts faxen in plaats van brieven, maar het proces opnieuw doen.

Die manier van denken, die wordt de toekomst. De bulk van het proceswerk is standaard, en dáár is software goed in om te verwerken. Daarom gaan die 80% van de advocaten minder werk krijgen. Die software zoekt de standaardzaken uit, en er is dan geen advocaat meer nodig die daar nog eens zhaar zegje over doet.

Ja, natuurlijk zullen er dan altijd nog rare gevallen zijn waarbij je wél een advocaat zou willen. Een mens die jou uit het bureaucratisch geweld van de machines plukt. Maar dat zullen zeldzame situaties zijn, en ik heb zelfs serieuze twijfels of die nieuwe systemen daar rekening mee gaan houden.

Arnoud

Fakenews, trollen en de toekomst van de uitingsvrijheid

Geplaatst op in Informatiemaatschappij, 6 reacties

Wie als jurist problemen met internet moet duiden, kwam lange tijd standaard als eerste met het auteursrecht aan zetten. Of sinds 25 mei 2018 natuurlijk de AVG. Heel logisch en die wetten zijn heel belangrijk, maar binnen het internetrecht is de uitingsvrijheid minstens zo belangrijk – het is één van de vier grondrechten die centraal staan in het rechtsgebied. En daar is ook een heleboel te doen juridisch, al is het wat lastiger om daar echt de legale vinger achter te krijgen.

De uitingsvrijheid is natuurlijk ook buiten internet een van de belangrijkste grondrechten. Informatie kunnen verspreiden en ontvangen zonder overheidsbemoeienis is een fundamenteel vereiste voor een werkende democratie. Maar sinds internet zien we een enorme groei in de hoeveelheid informatie, en vooral een enorm verlies in de kwaliteit door de kwantiteit. Fakenews noemen we dat tegenwoordig.

Wat is fakenews en waarom is het niet strafbaar, ik vroeg het me al eens af. De term is ondertussen te vaag om echt een werkbaar begrip te zijn, maar het is ondertussen wel duidelijk dat het borgen van de kwaliteit van informatie een probleem is. Of het nu gaat om grappig bedoeld getrol of actieve manipulatie of gewoon onwetendheid. En daarom zie je steeds meer stemmen om het dan toch maar te verbieden – wat weer grote risico’s op zichzelf met zich meebrengt want welke legitieme uitingen verhinder je dan meteen ook?

Een tijdje terug las ik nog een stelling die me zo aansprak dat ik de bron niet meer weet. Jarenlang is geroepen, vertrouw niet lui op Wikipedia maar check je eigen bronnen. En daardoor gaat iedereen nu zelf zitten grasduinen op internet, en neemt alles voor waar aan dat met strak lettertype is gezet onder een “New Times Herald” logo. In plaats van de zorgvuldige en eindeloos geduldige factcheckers van de vrije encyclopedie te vertrouwen en van daaruit eventueel verder te werken. Achteraf gezien was het dan misschien beter geweest om juist wél op Wikipedia te vertrouwen.

Meer horen over dit onderwerp, en vooral er zelf mee aan de slag? Op ons event The Future is Legal houdt Alexander Pleijter een workshop over het herkennen van en omgaan met fake news. Schrijf je snel in want het aantal plaatsen is beperkt!

Arnoud

Kan een it-werknemer worden ontslagen als hij ransomware binnenlaat?

Geplaatst op in Security, 25 reacties

Een lezer vroeg me:

Verschillende steden in de VS zijn met ransomware besmet geraakt omdat personeel een besmette e-mailbijlage opende. Nu heeft één van deze steden een it-medewerker ontslagen. Zou dat in Nederland kunnen, iemand ontslaan omdat zijn gedrag tot een infectie leidde, bijvoorbeeld omdat hij een bijlage opende of een update niet installeerde?

Het lijkt me uitermate onwaarschijnlijk dat in Nederland iemand wordt ontslagen enkel vanwege het feit dat door zijn handelen een ransomware-infectie uitbrak.

Natuurlijk is het bepaald slordig als je als werknemer een besmette e-mailbijlage opent, zeker als je op de it-afdeling werkt en dus (zo mag je vermoeden) enige kennis over it, beveiliging en risico’s hebt. Maar slordig je werk doen of onoplettend bezig zijn onder werktijd is simpelweg niet genoeg om tot ontslag over te mogen gaan. Of iets preciezer gezegd: één geval van disfunctioneren is geen reden voor ontslag.

Een disfunctionerende medewerker kun je in Nederland pas ontslaan als je het nodige hebt gedaan (https://www.arbeidsrechter.nl/disfunctioneren-van-de-werknemer-transitievergoeding-schorsing-ontbindingsprocedure) om verandering te brengen in het functioneren van de medewerker. De werkgever moet de medewerker daarbij expliciet informeren over wat er misgaat en hoe dat beter kan, en heeft een zorgplicht dat de werknemer dit ook werkelijk beter gaat doen. Bij it-gerelateerd disfunctioneren moet de medewerker dus op cursus, even kort door de bocht. En pas als hij daarna hardnekkig domme dingen blijft doen, kun je aan ontslag denken.

Ook helpt het behoorlijk bij een ontslagaanvraag om duidelijke regels gesteld te hebben, die dan zijn overtreden ondanks de training en awareness daarover die je als werkgever eraan hebt gegeven. (Enkel dus iets in een reglement zetten of via de mail mededelen is juridisch dus betekenisloos.)

Dan heb je ook nog de ontslag op staande voet, maar bij security incidenten moet iemand het dan wel héél bont hebben gemaakt wil je daartoe over kunnen gaan. Enkel een besmette bijlage openen -ook al ben je de security officer- zou ik als te weinig zien om dit paardenmiddel in te kunnen zetten. Al is het maar omdat een groot deel van de schade bij het bedrijf dan ook komt door gebrekkige beveiliging en backups, en ik het gevoel zou hebben dat het ontslag meer een vorm van afreageren is dan een daadwerkelijke proportionele respons op verwijtbaar handelen.

Arnoud