De AVG verbiedt helemaal niet dat je fraudemeldingen verzamelt

Geplaatst op in Privacy, 4 reacties

De Fraudehelpdesk moet stoppen met het op grote schaal verzamelen van voorbeelden van phishing en andere vormen van fraude. Dat meldde de NOS onlangs. Elk doorgestuurd phishing-mailtje kan immers informatie over verdachten bevatten, en die mag je niet zomaar bij elkaar rapen, hoe nobel je doel daarbij ook is. Maar dat ze moeten stoppen, is natuurlijk te kort door de bocht. De AVG verbiedt eigenlijk verrassend weinig, ze zegt vooral dat je je zaakjes goed op orde moet hebben én gedocumenteerd moet hebben hoe je dat dan doet. Hoewel het wel extra spannend is om dat helemaal goed te doen als het gaat om strafrechtelijke persoonsgegevens.

De term “strafrechtelijke persoonsgegevens” klinkt alsof er strafrechtdossiers van rechtbanken mee worden bedoeld, maar de term is veel breder: “persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen”. Het idee is dat het gebruiken van dergelijke gegevens zeer ernstige gevolgen kan hebben voor de betrokkenen, en wel op manieren die nadrukkelijk niet de bedoeling zijn (iemand weigeren vanwege een ongerelateerde strafrechtelijke veroordeling, bijvoorbeeld) en dat we daarom dus dergelijke gegevens gewoon verbieden.

Er zijn uitzonderingen op dat verbod, maar specifiek als je ten behoeve van andere mensen zulke gegevens gaat verzamelen en gebruiken dan kom je al heel snel uit bij de vergunningseis uit artikel 33 lid 4 Uitvoeringswet AVG:

4 Persoonsgegevens van strafrechtelijke aard mogen ten behoeve van derden worden verwerkt: … indien de Autoriteit persoonsgegevens met inachtneming van het vijfde lid een vergunning voor de verwerking heeft verleend.
5 Een vergunning als bedoeld in het vierde lid, onderdeel c, kan slechts worden verleend, indien de verwerking noodzakelijk is met het oog op een zwaarwegend belang van derden en bij de uitvoering is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad. Aan de vergunning kunnen voorschriften worden verbonden.

En het is dus die vergunning die de AP geweigerd heeft aan de Fraudehelpdesk, want “De Fraudehelpdesk heeft zijn huiswerk niet op orde”, zegt een woordvoerder van de Autoriteit Persoonsgegevens. Wat er precies mis is, is de Fraudehelpdesk echter niet duidelijk:

De gekozen bewoording in de reactie van de AP suggereert echter dat de Fraudehelpdesk als organisatie zijn zaken niet op orde heeft, niet weet waarom de gegevens verwerkt worden en de adviezen van de AP in de wind heeft geslagen. … We vinden het jammer dat de AP het resultaat van ons jarenlange overleg met hen zo eenzijdig uitlegt. In onze optiek is er in die drie jaar niet concreet geworden hoe we dan wél tot een vergunning zouden kunnen komen. Daarbij hebben we overigens diverse gespecialiseerde en hooggekwalificeerde juristen ingehuurd om dit aanvraagtraject en de gesprekken met de AP te begeleiden.

Persoonlijk hoop ik dat de Fraudehelpdesk in bezwaar en beroep gaat tegen deze afwijzing. Ik zou dan zelf ook de vraag meenemen of überhaupt sprake is van strafrechtelijke persoonsgegevens, want volgens de jurisprudentie is daarvan pas sprake wanneer “de gegevens een als strafbaar feit te kwalificeren bewezenverklaring kunnen dragen”. Slechts een redelijk vermoeden van schuld (de standaard om aangifte te kunnen doen of vervolging te starten) is onvoldoende om te spreken van strafrechtelijke persoonsgegevens, aldus onze hoogste rechtbank. Nu is die jurisprudentie van voor de AVG, maar die heeft de definitie niet inhoudelijk verruimd zodat deze volgens mij gewoon geldig blijft.

Arnoud

De EULA als dranghek versus de wet als verkeersbord

Geplaatst op in Informatiemaatschappij, 4 reacties

Blog ik vorige week over wat internetrecht is, zeg ik helemaal niets over de EULA. Opmerkelijk, want internet hangt van de EULA’s aan elkaar en die EULA’s bepalen feitelijk hoe het recht uitpakt, bepalen wat rechtens is. Tegelijkertijd is algemeen bekend dat niemand zich wat van EULA’s aantrekt. En dat geeft een raar spanningsveld, met vaak hoog oplopende discussies over hoe bindend of rechtsgeldig die EULA’s nu zijn. Merkwaardig.

De EULA of end-user license agreement komt uit de softwarewereld, waar men op zeker moment van maatwerkcontracten naar standaardsoftware overstapte en daarbij ook standaardlicenties wilde verkopen. “Software like a book”, zoals softwaremaker Borland het ooit noemde. Je kreeg rechten, vaak niet zo veel, en een zwik plichten. De in theorie simpelste vorm was het eindgebruik: je mag de software gebruiken zoals ‘ie is, en daar moet je voor betalen, aansprakelijkheid en updates bla bla, punt.

Parallel daaraan hadden online forums en dergelijke diensten ook steeds vaker behoefte aan voorwaarden. Het oudste voorbeeld dat ik ken, was Compuserve dat te maken kreeg met ongewenste/ongepaste discussies en daarom Terms of Service opstelde met wat je wel en niet mocht bespreken en op welke manier. De structuur was grotendeels hetzelfde. Met de opkomst van online softwarediensten (SaaS) kwamen die twee werelden een beetje bij elkaar, en zag je online zowel EULA’s als TOSsen opduiken. Maar de strekking is ondertussen wel gelijk: dit is wat je mag, dit is wat wij kunnen doen als jouw gedrag ons niet bevalt, aansprakelijkheid blabla juridisch bla. Nee, ik lees ze ook niet in detail meer.

Omdat er eigenlijk geen wetsartikelen zijn die regelen wat je online bij een dienst mag, zijn EULA’s voor dienstverleners van groot belang. Zo kunnen ze zelf de regels stellen, ongeveer zoals café’s huisregels stellen. Daar is op zich niets mis mee; de een wil streng zijn, de ander wat minder, en zolang je het vooraf rustig kunt lezen en beoordelen zou daar weinig mis mee moeten zijn. Bovendien, we hebben toch gewoon regels over onredelijk bezwarende voorwaarden? Vanuit dat perspectief is er lange tijd nooit echt regelgeving ingevoerd om EULA-voorwaarden aan banden te leggen.

Wat wel een essentieel verschil is met dat café met z’n bordje, is dat een EULA niet alleen maar een setje regels is. Vaak is het gekoppeld aan een stuk techniek: een EULA verbiedt het gebruik van ongepast taalgebruik, en een filter checkt je bericht op de aanwezigheid van een of meer ongepaste woorden uit een lijst. En dat heeft gevolgen: woon je dan in Scunthorpe of Lopik dan heb je pech. Bij het café kun je daar -met ongetwijfeld wat gehinnik vanaf de bar- nog wel een punt van maken, en dan is het opgelost.

Meer algemeen kom je dan bij wat Lawrence Lessig code as law noemt: software die de wet wordt. Dat begon als programmeren van de wet: we willen geen gescheld, dus we blokkeren scheldwoorden. Maar gaandeweg werd de code daarmee de wet. En haast per definitie is dat een verschraling, een verlies. Want wetten kennen nuances, uitzonderingen, beroepsmogelijkheden, spitsvondigheden, variaties. Software kent dat niet, het improgrammeren van redelijkheid en billijkheid is tot dusverre weinig succesvol gebleken.

In de praktijk geeft dat vaak frustratie. Waar je denkt dat iets mag (laat ik een filmpje van mijn circusbezoek op internet zetten, de muziek is een citaat) kom je erachter dat de software het niet toestaat (uw muziek werd geclaimd door Universal Music, sorry) én dat je vervolgens helemaal niets kan. Alsof je ergens linksaf wil en een betonblok tegenkomt bij wijze van wegafzetting. Oké, dan mocht je kennelijk die weg niet in maar wat nu als je een noodgeval hebt, een kind met stevige bloeding op de achterbank? Een verbodsbord kun je negeren in een noodgeval, een betonblok niet. Een agent heeft begrip voor dat noodgeval, een AI die je kenteken registreert en de boete uitstuurt niet.

Ik blijf me erover verbazen. Het recht is geprivatiseerd en geautomatiseerd. Maar is het nog wel het recht zoals we dat bedacht hadden?

Arnoud

Je mag de openbare weg filmen als dat nodig is voor je beveiliging

Geplaatst op in Informatiemaatschappij, Privacy, 22 reacties

Een lezer vroeg me:

Onze buren hebben sinds vorig jaar een camera in voor- en achtertuin. Als je voor hun tuin staat op de stoep, dan wordt alles opgenomen wat je doet of zegt. Zij zeggen dat ze dat doen vanwege overlastgevende mensen in de buurt (hondenpoep, vuilnis op straat) maar ik voel me er toch onprettig bij. Mogen zij überhaupt de straat wel filmen?

Over het filmen van de openbare weg bij wijze van particulier cameratoezicht wordt al decennia veel geschreven. De teneur daarbij is dat het eigenlijk niet mag, omdat het een overheidstaak is om toezicht te houden op de openbare ruimte.

Dat werd nog een keer bevestigd in 2014 toen het Hof van Justitie oordeelde dat je ook als particulier onder de Wbp (en nu dus AVG) valt wanneer je aangebrachte camera’s op de openbare weg richt. Het argument daarachter was dat je zo zeer in andermans privacy treedt dat je dan gewoon je aan de regels moet houden.

Het is echter niet zo dat het in alle gevallen verboden is, ook niet onder de AVG. Grofweg komt het erop neer dat je een duidelijke noodzaak moet hebben om de openbare weg te filmen, dat je niet meer filmt dan nodig voor die noodzaak en dat je de privacy van onschuldige derden zo veel mogelijk respecteert.

Een recent arrest laat mooi zien hoe dat uit kan pakken. In deze zaak werd de AP verzocht handhavend op te treden tegen een camera die de openbare weg voor iemands eigen perceel filmde. Maar dat werd afgewezen: het belang van je eigen perceel beschermen geeft een goede reden om te filmen, en in dit geval was het nodig ook de weg te filmen omdat anders de beveiliging niet goed werkt.

Daarnaast bleken passanten slechts vluchtig in beeld te komen én waren er stickers die waarschuwden voor het cameratoezicht. Daarmee zijn er in dit geval voldoende waarborgen om de privacy van derden te beschermen, en is het cameratoezicht dus legaal, ook nu de openbare weg werd meegefilmd.

Dat wil natuurlijk niet zeggen dat je dus altijd en overal de openbare weg mag filmen zo veel je wilt, met je beveiligingscamera. Die noodzaak moet je uitgewerkt hebben, je moet nagedacht hebben over waarschuwen, afschermen en de omgang met passanten, en dat moet je op papier hebben staan (verantwoordingsplicht, artikel 5 lid 2 AVG). Ook moet je de opnames natuurlijk zo snel mogelijk weggooien en in de tussentijd goed beveiligen.

Arnoud

Is Office 365 nu echt een AVG probleem of alleen voor Hessense openbare scholen?

Geplaatst op in Ondernemingsvrijheid, Privacy, 14 reacties

De gegevensbeschermingsautoriteit van de Duitse deelstaat Hessen heeft het gebruik van Microsoft Office 365 door scholen verboden omdat dit in strijd met de AVG is. Dat meldde Security.nl op gezag van de toezichthouder zelf. De aanleiding is dat Microsoft eerder de speciale optie van een Duits datacenter voor scholendata had geschrapt, zodat de mogelijkheid ontstond dat persoonsgegevens van leerlingen en personeel in de VS zouden worden opgeslagen. Hetzelfde geldt voor telemetriedata over het gebruik, dat automatisch naar Microsoft wordt gestuurd en niet meer bij de Duitse grens moest stoppen. Waar ging dit nu precies op mis en wat betekent het voor andere cloudafnemers?

De pijn lijkt vooralsnog te liggen bij een specifieke Duitse uitwerking van de AVG, zo lees ik in het persbericht:

Public institutions in Germany have a special responsibility regarding the admissibility and traceability of the processing of personal data. Also the digital sovereignty of state data processing must be guaranteed.

Ik kan alleen zo 1-2-3 in de Duitse Uitvoeringswet niet terugvinden waar dat dan staat. Ik ga er dus maar vanuit dat men bedoelt dat de lat voor noodzaak en proportionaliteit extra hoog ligt, en waarschijnlijk ook dat Microsoft niet bepaald transparant is (aldus de toezichthouder) over wat er precies met die data gebeurt. Daar valt wel wat voor te zeggen.

Daarmee is het voor mij niet perse het einde van de cloud, hoewel dat natuurlijk wel in de lucht hangt (haha) met recente ontwikkelingen in de Schrems II-zaak bij het Hof van Justitie: is de optie om met zogeheten model contractual clauses data naar de VS over te dragen dan eigenlijk wél rechtsgeldig? Als dat niet zo is (en daar lijkt alles op te wijzen) dan blijft er vervolgens heel weinig grondslag over om persoonsgegevens in de VS op te mogen slaan. (Privacy Shield staat overeind maar alleen maar omdat het Hof er nog niet aan toegekomen is.)

Wie met een cloudoplossing bezig is die over vijf jaar een afhankelijkheid op Amerikaanse servers heeft, heeft dus nu een goede reden om die oplossing aan te gaan passen.

Arnoud

Mag FaceApp echt zomaar je gezicht voor alles gebruiken?

Geplaatst op in Ondernemingsvrijheid, Privacy, 9 reacties

Met het populaire FaceApp kun je er op foto’s ouder uitzien, maar geef je ook je foto’s en persoonsgegevens weg aan een bedrijf dat deze mag verkopen. Dat meldde Nu.nl onlangs. Er is nogal wat ophef over deze voor mij onbegrijpelijk populaire app, omdat in de kleine lettertjes staat dat men alles mag met je foto en dat zou Russische criminelen faciliteren in het plegen van cybercrime. Aldus Rian van Rijbroek denk ik, want ik begrijp er niets van. Ik zie eerlijk gezegd niets dat fundamenteel anders is dan hoe zeg Facebook of Instagram met je foto’s omgaat. Maar dat zijn geen Russen, zoiets?

FaceApp heeft niets met Facebook te maken: het is een app waar je een portretfoto in stopt en die dan een verouderde versie van je gezicht genereert. Leuk, maar de foto’s gaan naar een server van FaceApp en die staat in Rusland ergens. De app bestaat al een paar jaar maar is nu populair vanwege de zogeheten “FaceApp Challenge”, wat geloof ik neerkomt op dat je laat zien wat de app met je gezicht doet. Ja, ik voel me ontzettend oud bij het typen van deze regels.

Een developer veroorzaakte enige ophef toen hij meldde dat foto’s naar servers in Rusland werden geüpload én dat in de voorwaarden van FaceApp staat dat de foto’s commercieel gebruikt mogen worden door het bedrijf en haar zusters/moeders, plus alle “bedrijven die zich later bij deze groep kunnen aansluiten”. Dat laatste suggereerde volledige vrijheid: iedereen kan immers lid worden van zo’n groep. Alleen: een ‘groep’ is juridisch voor “concern”, en zomaar lid worden van iemands bedrijfsconcern komt echt niet voor. Dat noemen we een fusie of overname, en het is vrij ondenkbaar dat je dat doet om toegang tot foto’s te krijgen.

Daarnaast bleek vervolgens dat de foto’s helemaal niet in Rusland terechtkomen maar gewoon gezellig in de VS, en het bedrijf wist foto’s na 48 uur. Ja, zeggen ze en dat kun je lastig controleren. Maar toch. Het voelt behoorlijk als een storm in een glas water, zeker gezien de weinig unieke werkwijze van deze app. Er zijn tientallen apps waar je foto’s uploadt die dan in de cloud terechtkomen, pardon in de VS.

Maar stel nu eens dat de gegevens echt in Rusland komen en dat de voorwaarden wel letterlijk zeggen “wij mogen alles inclusief verkopen voor alle doeleinden”. Mag dat dan? Auteursrechtelijk (je hebt auteursrecht op je selfies) is dat mogelijk, zo’n brede licentie kun je vormvrij geven zoals dat heet. Dus daar kun je als fotograaf weinig meer tegen doen.

Privacytechnisch ligt dit anders: de AVG is van toepassing op FaceApp omdat het gaat om persoonsgegevens die in Europa verzameld worden. FaceApp heeft dan toestemming nodig, en die kun je niet in de voorwaarden opvragen. FaceApp kan natuurlijk zeggen dat het uploaden en analyseren van de foto noodzakelijk is voor de gevraagde dienst – hoe kun je een portret verouderen als je geen kopie van het portret krijgt – maar dat zou met zich meebrengen dat de foto weg moet direct nadat deze is geanalyseerd en verouderd. Immers daarna is de dienst klaar.

Het enige argument voor FaceApp dat ik kan bedenken is dat het bijtrainen van de AI met geuploade foto’s een aanverwant doel is (en dus doelbinding heeft) met het maken van de veroudering. Het leren van een dienst om in de toekomst andere mensen betere dienstverlening te geven, is denk ik wel te rechtvaardigen als zo’n aanverwant doel. Ik mag ook tevredenheidsenquêtes doen onder mijn klanten zonder aparte toestemming. Daarnaast kun je zeggen dat dit bijtrainen een vorm van statistisch onderzoek is, en dan is er per definitie sprake van doelbinding. Hier is vooralsnog nul jurisprudentie over maar ik zie hem wel.

Arnoud

Mijn pakket raakte kwijt bij het Albert Heijn verzendpunt, wat nu?

Geplaatst op in Ondernemingsvrijheid, 30 reacties

Interessante discussie bij Tweakers:

Lang verhaal in oktober 2017 wat besteld bij bol.com, week later geretourneerd via de AH daarvoor gekozen tijdens het retourproces. Daar een ontvangstbewijs van gekregen. Poos daarna herinnering ontvangen niet betaald, bewijs doorgestuurd niets meer gehoord. Toen opeens in januari van accountor een incassobureau een mail/brief gehad met een vordering.

Het pakket bleek vervolgens kwijtgeraakt ergens na die inleveractie bij het Bol.com-afhaalpunt, zo kon de topicstarter reconstrueren uit het verzendbewijs dat hij had meegekregen. De PostNL track&trace code liet zien dat het bij Bol.com was afgegeven door de postbezorger, maar Bol.com stelde het nooit in ontvangst te hebben gekregen. En nu is meneer dus gedagvaard door het incassobureau.

Hoofdregel uit de wet is dat je als afzender moet zorgen dat je zending aankomt bij de ontvanger. Ook bij het retourneren van een internetbestelling. Wie dus met een retourzending naar een PostNL punt gaat en het daar laat versturen, is afhankelijk van de zorg van de postvervoerder en moet maar verzekerde verzending kopen als hij het risico op kwijtraken niet wil dragen. Dat zou dus ook bij deze topicstarter zo zijn, als hij het per post (of DHL of wie dan ook) had laten versturen.

Echter, de topicstarter is naar een lokale Albert Heijn gegaan waar van die mooie Bol.com-afhaalpunten zijn. Logo en huisstijl van Bol. Dan spreken we van een “gemachtigde van Bol.com”, en dan is het pakket bij Bol.com aangekomen zodra het over de toonbank is gegaan bij de Appie (art. 6:230s lid 1 BW):

Tenzij de handelaar heeft aangeboden de op basis van de ontbonden overeenkomst geleverde zaken zelf af te halen, zendt de consument onverwijld en in ieder geval binnen veertien dagen na het uitbrengen van de in artikel 230o lid 3 bedoelde verklaring de door hem ontvangen zaken terug of overhandigt deze aan de handelaar of aan een persoon die door de handelaar is gemachtigd om de zaken in ontvangst te nemen.

Dat men het vanaf de Albert Heijn-vestiging door PostNL naar een Bol.com-sorteerpunt laat vervoeren, doet daar niet aan af. Dat hoef je als consument niet te weten, juist omdat je met zo’n afhaalpunt in huisstijl van Bol.com te maken hebt. Dat kleine lettertjes op het verzendbewijs misschien naar PostNL verwijzen, of dat je een label krijgt met een postadres erop, is daarbij eveneens niet relevant. Wat de grote letters geven, kunnen de kleine niet wegnemen.

Wat overigens niet wil zeggen dat als je een label krijgt van de webwinkel, je meteen mag zeggen dat het dus hun risico is. Dat label is alleen een manier om de terugzendkosten voor rekening van de winkel te laten komen, maar het blijft jouw risico om het dan via PostNL (of DHL of wie dan ook) te versturen.

Maar laat je het ophalen door zeg PostNL of DHL dan is het dus vanaf het inladen voor risico van de winkel. Dat is immers het “aanbod zelf af te halen”, en dat de winkel daarvoor een bezorgbedrijf inschakelt is zijn risico.

Arnoud

The future is legal. Een uniek congres over internetrecht: 15 sprekers over de toekomst van het recht

Geplaatst op in Informatiemaatschappij, 5 reacties

Mijn adviesbureau ICTRecht bestaat in november 15 jaar. En dat gaan we vieren met een uniek congres over internet, technologie en recht: The Future is Legal. 15 november. Houd deze datum vrij. Zodra het gehele programma klaar is, volgt de gehele uitnodiging!

Wat is dan internetrecht, zult u misschien denken? Daar schreef ik een artikel over in het Tijdschrift voor Internetrecht. Vaak lijkt het neer te komen op het feit dat het zwaartepunt van de rechtsvraag zich bevindt in een internet- of ict-aspect van de zaak. Inbreken in iemands computer – computervredebreuk – is dus internetrecht, omdat de kwalificatie van dit feit ict-specifieke aspecten kent die doorslaggevend zijn voor de zaak. Iemands hersens inslaan met een laptop (of wurgen met een netwerkkabel) is dat niet. Weliswaar is een laptop een ict-middel, maar dat aspect is an sich niet relevant – dit had net zo goed een hamer kunnen zijn.

Deze wijze van categoriseren is goed werkbaar, maar kent wel een fundamentele zwakte. Zij komt namelijk neer op een subjectieve inschatting van de ict-specificiteit, oftewel hoe ingewikkeld het is om de ict-georienteerde feiten juridisch te duiden of het best passende wetsartikel te vinden. Heel cynisch: een casus wordt als ‘internetrecht’ gekwalificeerd wanneer deze technisch te moeilijk is voor de beoefenaars van een der klassieke rechtsgebieden. Zodra het duidelijk is waar het om gaat, is het ‘gewoon’ recht geworden. Dat is weinig bevredigend natuurlijk.

Een iets minder cynische variant van deze constatering focust ook op de technische aspecten van de casus, maar dan vanuit het gezichtspunt dat de kwalificatie van deze aspecten nieuw is en daarmee een lastig te beantwoorden kwestie is. Kan men spreken van ‘openbaarmaken’ van een muziekwerk wanneer men automatisch en zonder bewuste handeling fragmenten daarvan via het Bittorrent-netwerk deelt met derden tijdens een downloadproces? Komt een overeenkomst tot stand wanneer men op een website op “Akkoord” klikt?

Mijn voorkeur gaat uit naar een tweeledige benadering. Ik onderscheid internetrecht in brede en in beperkte zin. Het internetrecht in beperkte zin is dan het rechtsgebied dat zich richt op botsingen tussen de grondrechten uitingsvrijheid, privacy, ondernemingsvrijheid en IE, met als uniek gegeven dat deze botsingen zijn ingegeven door een nieuwe innovatie of nieuwe regulering op informatie(technologie-)gebied. Dit is daarmee een variant op het klassieke informatierecht, dat botsingen tussen uitingsvrijheid, IE en privacy als uitgangspunt neemt.

In de brede zin vertrek ik vanuit internetrecht in technische zin, het vijflagenmodel dat hierop neerkomt:

  1. Linklaag: op dit niveau gaat het om individuele verbindingen (links) tussen computers en hoe er op het laagste niveau data kan worden uitgewisseld. De bekende ethernetstekker en -kabels zitten op dit niveau.
  2. Internetlaag: op dit niveau wordt er over individuele netwerken data uitgewisseld (inter-network, inderdaad). Hier wordt geabstraheerd van individuele netwerken en onderliggende hardware. Specifiek gaat het hier over de IP-pakketjes die van computer met IP-adres A naar computer met IP-adres B moeten gaan.
  3. Transportlaag: op dit niveau kunnen computers (clients en servers of peer-to-peer) met elkaar communiceren en data uitwisselen. Hier wordt geabstraheerd van de pakketjes die op de internetlaag worden uitgewisseld. Hier stroomt data van punt naar punt. Het bekendste protocol op dit niveau is TCP, dat samen met het onderliggende IP-protocol een synoniem gaf voor het internet als transportmedium.
  4. Platformlaag: op dit niveau worden faciliteiten geboden waarmee applicaties en communicatie eenvoudig mogelijk zijn. Het platform biedt een uniforme onderlaag of achtergrond waarbinnen dat allemaal kan.
  5. Applicatielaag: op dit niveau krijgt de data betekenis. Er worden diensten (applicaties) gerealiseerd waar mensen (of apparaten) gebruik van kunnen maken. De bekendste dienst is het world-wide web, maar ook e-mail, chat, streaming video en dergelijke zijn applicaties.

Op elk van deze niveaus kun je rechtsvragen stellen die specifiek voor dat niveau relevant zijn. Op niveau internetlaag bijvoorbeeld: wat doe je met netneutraliteit, welke IP-pakketjes mogen voorrang? Of governance, welke nationale autoriteit mag welke routering verbieden of voorschrijven? Of op platformniveau: hoe machtig mag zo’n platform zijn, mogen ze hun eigen munt uitgeven of is dat aan natiestaten voorbehouden?

Het internetrecht in brede zin definieer ik dan ook als het vakgebied dat zich richt op conflicten rechtsvragen die raken aan internet in één van haar vijf verschijningsvormen en die zijn ingegeven door een nieuwe innovatie of nieuwe regulering op informatie(technologie-)gebied.

Naast deze benadering nog veel meer: de ethiek van AI, de toekomst van autonoom vervoer, wat moeten we met het begrip ’toestemming’, private versus publieke handhaving, fakenews en een unieke workshop/simulatie hoe om te gaan met datalekken. Houd die dag dus vrij!

Arnoud

Mijn mailadres was fout en de webwinkel stuurt me nu incassokosten!

Geplaatst op in Ondernemingsvrijheid, 9 reacties

Een lezer vroeg me:

Een tijd geleden had ik wat besteld bij een webwinkel, maar kennelijk een typefout in mijn mailadres gemaakt. Het bestelde is geleverd, en nu twee maanden later krijg ik een brief van een incassobureau of ik even de prijs plus incassokosten wil betalen, anders gaan ze dagvaarden. Het klopt dat ik had gekozen voor achterafbetalen, en toen ik belde met de winkel bleek inderdaad dat het mailadres fout was en dat ik daarom de herinneringen per mail niet gehad heb. Maar moet ik nu zomaar de incassokosten betalen?

Een verkeerd mailadres invullen is in principe jouw risico, net als iets op een onjuist adres laten bezorgen. Een webwinkel kan niet weten dat dit niet jouw adres is. Maar het is in zoverre raar dat accounts normaal worden geverifieerd (klik op deze link om je account te bevestigen) zodat dit niet zomaar moet gebeuren. Ik ben dus verrast dat dat hier niet gebeurt.

Dat gezegd hebbende, de juridische vraag komt neer op wanneer een winkel incassokosten mag (laten) rekenen bij een niet-reagerende consument. Dat is sinds een paar jaar apart wettelijk geregeld: je moet een aanmaning krijgen met daarin een termijn van veertien dagen (art. 6:96 lid 6 BW), en pas daarna mogen kosten worden gerekend. Zo te lezen is dat hier niet gebeurd, de eerste brief van het incassobureau was gelijk mét incassokosten. Dat mag dus niet.

Het lijkt er echter op dat een dergelijke veertiendagenbrief ook per mail mag. Het is geen ingebrekestelling die schriftelijk moet, en de wetgever heeft nergens bij invoering van dit wetsartikel een schriftelijkheidseis ingevoerd. Het is dus mogelijk dat het incassobureau ook die veertiendagenbrief per mail heeft gestuurd, met dus precies hetzelfde effect als de eerdere herinneringen: nooit aangekomen.

Hoofdregel uit de wet is dat wie een bericht verstuurt, moet bewijzen dat het is aangekomen. Bij mail valt dat niet mee, tenzij je met trackers gaat werken of mensen naar zo’n portaal stuurt waar mensen moeten inloggen om het eigenlijke bericht te zien. Dat is hier niet het geval. Ik zou er dus naar neigen te zeggen dat de veertiendagenbrief niet is aangekomen zodat geen incassokosten mogen worden gerekend.

Het enige tegenargument volgt uit art. 3:37 lid 3 BW:

Nochtans heeft ook een verklaring die hem tot wie zij was gericht, niet of niet tijdig heeft bereikt, haar werking, indien dit niet of niet tijdig bereiken het gevolg is van zijn eigen handeling, van de handeling van personen voor wie hij aansprakelijk is, of van andere omstandigheden die zijn persoon betreffen en rechtvaardigen dat hij het nadeel draagt.

Je zou hier dan zeggen dat de typefout een “eigen handeling” is waardoor het bericht niet aan kon komen, of dat dit een “omstandigheid zijn persoon betreffende” oplevert. Ik zie die ergens wel, jij máákt de typefout. Maar het is zo gebruikelijk om mailadressen te verifiëren dat ik daar wel moeite mee heb.

Daar komt bij dat je normaal een foutmelding krijgt als mail niet aankomt, zodat de afzender wéét dat hier een typefout was. Dan zou ik het raar vinden dat deze achterover kan zitten en incassokosten kan gaan vragen. Helemaal als je bedenkt dat wanneer de mail wél aankomt en de ontvanger deze negeert, de afzender niet kan bewijzen dat deze is aangekomen en dan géén incassokosten mag vangen. Dat voelt zo oneerlijk dat ik zeg: ondanks deze typefout mogen geen incassokosten worden gerekend.

Arnoud

Google-medewerkers luisteren Nederlandse gesprekken mee, is dat erg?

Geplaatst op in Informatiemaatschappij, 16 reacties

Medewerkers van Google luisteren gesprekken mee die Nederlanders voeren met hun slimme Google-assistent, zonder dat Google daar vooraf duidelijkheid over geeft. Dat meldde de NOS vorige week. Het gaat om fragmenten van gesprekken die door de AI-assistent niet werden verstaan; een mens maakt dan een transcriptie waar de AI van kan leren. Vanuit technisch perspectief volkomen normaal, als een AI een fout maakt dan is menselijk bijleren de enige manier om dat op te lossen. En zo te lezen gaat het om fragmenten zonder verdere koppeling aan Google ID of feedback naar je interesseprofiel. Desondanks een relletje, ik denk omdat mensen zich nu beseffen dat zo’n kastje niet gewoon een slim ding is dat je verstaat, maar een microfoon met héle lange kabel waar gewoon mensen een koptelefoon bij opzetten. Is dat nou erg?

De zaak is aan het rollen gekomen omdat een Google-medewerkers fragmenten deelde met de NOS, omdat “het belangrijk is dat mensen beseffen dat er mensen meeluisteren”, zo stelt de anonieme Google-medewerker. Nieuwswaardig was dat zeker: een hoop mensen blijkt ineens zeer verbaasd en geschokt dat er dus kennelijk meegeluisterd wordt.

Maar zoals gezegd, “meeluisteren” is een groot woord. Er zit niet ineens een man met gleufhoed en koptelefoon de hele dag gezellig te luisteren. Er worden fragmenten geüpload naar Google waar medewerkers dan een transcriptie van maken, zodat de spraakherkenning-engine opnieuw getraind kan worden. Daarbij gaat het echt alleen om algemene, veel gebruikte termen – met de bijnaam voor je geliefde of de geluiden van het ontbijt kan Google Home toch niets.

Maar ja, meeluisteren is het. Want er is dus wel een mens dat dat gesprek beluistert, ook al is dat met complete desinteresse en uitsluitend gericht op een betere herkenning van “uitsluitend” met Goois of Limburgs accent, of iets dergelijks. Ik snap dus desondanks de ophef wel. Je koopt zo’n kastje inderdaad omdat je wil dat er iemand meeluistert en dingen doet met wat je zegt – dat is de sales pitch van het apparaat. Maar de ‘iemand’ is dan een kastje, een apparaatje, een digitale butler. Niet een medewerker. In een winkel vind ik het ook fijn om de prijs van een pot pindakaas te kunnen scannen, maar dan wil ik niet een medewerker achter me hebben staan die zegt “oh de pot van een liter is in de bonus”. Of zelfs maar die glazig meekijkt. Dat is niet de afspraak bij het gebruik van zo’n apparaat.

Mag dat? De NOS vertelt:

Mensen die Google Home of Assistent installeren worden er niet op gewezen dat mensen de spraakopdrachten af kunnen luisteren. Wel staat in de algemene voorwaarden van Google dat het bedrijf “audiogegevens” verzamelt. Dat deze kunnen worden afgeluisterd door mensen, en dat er per ongeluk ook andere gesprekken kunnen worden opgeslagen, blijft onvermeld.

De juridische discussie is dan, is hiermee mensen “duidelijk en in eenvoudige taal” uitgelegd dat dit kon gebeuren? Ja zal Google zeggen, het staat in de privacyverklaring en die moet je gewoon even lezen. Plus je weet dat die apparaten meeluisteren dus dan is het raar om ineens te zeggen, ik wilde niet dat hij meeluisterde.

Hier wreekt zich dan het verschil tussen juridische compliance en de praktijk. Ik geloof graag dat die zin over audiogegevens verzamelen voldoet aan taalniveau B2 van het Europees Referentiekader Talen en dus “duidelijk en eenvoudig” is, in de zin dat mensen de term “audiogegevens” kennen. Maar het gaat natuurlijk om de implicaties, kunnen overzien hoe ver het gaat met dat verwerken van audiogegevens. En dat is waar de ophef vandaan komt, ook bij mensen die superveel delen op social media (de standaard tegenwerping als mensen bij Google klagen over privacy), je hebt een bepaalde verwachting van privacy en die wordt geschonden.

Arnoud

Gamebedrijf wijzigt naam van retroshooter Ion Maiden na aanklacht Iron Maiden

Geplaatst op in Intellectuele rechten, 3 reacties

Gamebedrijf 3D Realms heeft de naam van zijn retroshooter Ion Maiden aangepast naar Ion Fury na claims van inbreuk op merkrecht door de metalband Iron Maiden. Dat meldde Tweakers vorige week. Iron Maiden eiste meer dan 2 miljoen dollar schadevergoeding, dat lijkt nu te zijn geschikt met onder meer de naamswijziging natuurlijk tot gevolg. Voor diverse lezers reden me te vragen hoe dat nu zit, want hoe kun je met een game nu inbreuk maken op de merkrechten van een muziekband?

Een merkrecht zoals een bandnaam of -logo biedt je de mogelijkheid op te treden tegen commercieel gebruik door anderen. In principe is dat inderdaad bedoeld om meeliftende concurrenten tegen te houden, maar het is ook mogelijk om een verbod te krijgen (met schadevergoeding) tegen partijen die weliswaar in een andere branche zitten, maar toch dicht genoeg in de buurt dat het publiek kan denken dat jij wat met die anderen te maken hebt. T-shirtverkoop zou ik een logisch voorbeeld vinden, hoewel dat geen muziek is, is het zo normaal dat bands shirts verkopen dat je echt niet wegkomt met je eigen Iron Maiden shirts.

Games liggen natuurlijk wat verder weg van muziekbands dan tshirts, maar ik zie het verband toch wel enigszins. Er zijn genoeg games over muziekbands en games waarin muziek een belangrijke rol speelt (ik was ooit niet onverdienstelijk Guitar Hero speler). De link is dan snel genoeg gelegd. Dit nog los van het feit dat het merk Iron Maiden gewoon is gedeponeerd voor onder meer games, zodat je ook vanuit dat perspectief gewoon direct van inbreuk zou kunnen spreken.

In dit geval vind ik nog zwaarwegender dat de naamskeuze van 3D Realms een wel héél duidelijke knipoog (zacht gezegd) is naar de bandnaam. Zeker in het Brits Engels (waar Iron Maiden vandaan komt) spreek je Iron en Ion zowat hetzelfde uit. En een “Ion maiden” is een betekenisloze kreet (een ionenmaagd?) die alleen herkenning oproept bij mensen die van die band gehoord hebben (en/of weten wat een ijzeren maagd was). Tweakers voegt toe dat de logotekst nogal lijkt op het bandlogo, maar dat vind ik eerlijk gezegd dan weer wel meevallen. Maar mijn overheersende conclusie is dat 3D Realms evident mee wilde liften op de naam van de band, oftewel wilde aanhaken bij hun bekendheid. En dat is eigenlijk altijd merkinbreuk.

Arnoud