Wanneer is het hebben van een Remote Acces Tool en een Keylogger strafbaar?

Geplaatst op in Regulering, Security, 22 reacties

In december werd een man veroordeeld voor het voorhanden hebben en verspreiden van Blackshades software. De rechtbank merkte dit aan als medeplichtigheid tot computervredebreuk, omdat deze software gebruikt kan worden om een inbraak in andermans computer te vergemakkelijken. Wat diverse lezers ertoe bracht om me te vragen, hoezo is het strafbaar om die software te hebben? Er zijn zo veel tools voor remote access, hoe moet je nu weten wanneer dat wel of niet strafbaar is?

Het enkele feit dat software geschikt is voor remote access maakt deze natuurlijk niet meteen een hulpmiddel voor computervredebreuk. De wet spreekt van “ontworpen of geschikt gemaakt” voor het misdrijf (art. 139d lid 2 Strafrecht), en niet alle binnengaan of binnendringen in andermans computer is een misdrijf. Een ICT-bedrijf kan immers prima legaal bij de klant zijn computer binnengaan om onderhoud te plegen onder een contract, of op verzoek inloggen om een probleem te herstellen.

Dergelijke software kan ook door criminelen worden gebruikt om stiekem bij mensen binnen te dringen, en dan bijvoorbeeld data te gijzelen of te verkrijgen, of om de computer als springplank voor een aanval elders te gebruiken. Dat zijn misdrijven.

Hoe zie je dan het verschil? Zoals ik wel vaker zeg, dat zie je aan de intentie van hoe de software wordt vermarket en hoe deze in de markt bekend staat. De software Blackshades staat bekend als hackingtool:

Blackshades is the name of a malicious trojan horse used by hackers to control infected computers remotely. The malware targets the computers using Microsoft Windows -based operating systems. According to US officials, over 500,000 computer systems have been infected worldwide with the software. … Blackshades infects computer systems by downloading onto a victim’s computer when the victim accesses a malicious webpage (sometimes downloading onto the victim’s computer without the victim’s knowledge, known as a drive-by download) or through external storage devices, such as USB flash drives.

De rechtbank is dan ook van oordeel dat de Blackshades software hoofdzakelijk is ontworpen om het plegen van computervredebreuk mogelijk te maken. Daarmee is bezit van deze software dus strafbaar. Dat de software ook gebruikt kan worden voor legale activiteiten is dan niet relevant; het gaat erom of hij hoofdzakelijk bedoeld is voor illegale zaken. En gezien hoe deze software algemeen bekend staat, en het soort features dat aan boord is, is dat hier dus het geval.

De verdachte wilde zich aansluiten bij de reeds bestaande Blackshades organisatie, en kreeg dat op zeker moment ook voor elkaar. Bovendien had hij wetenschap van alle functionaliteiten en illegale mogelijkheden van deze software. Dat maakt hem ook strafbaar voor het voorhanden hebben van die software, én voor medeplichtigheid aan misdrijven zoals binnendringen en denial of service aanvallen.

Arnoud

Hoe kan ik mijn algoritme zo goed mogelijk anti-patent publiceren?

Geplaatst op in Intellectuele rechten, 29 reacties

Een lezer vroeg me:

Ik heb een algoritme ontwikkeld waarvan ik verwacht dat het patenteerbaar is, maar dat ik beschikbaar wil stellen in het publiek domein. Ik wil voorkomen dat iemand anders er patent op aanvraagt. Welke eisen gelden er dan aan de publicatie? Kan ik het gewoon op mijn Linkedin-feed publiceren, is dat publiek genoeg?

Wie wil voorkomen dat zijn uitvinding door een ander gepatenteerd wordt, moet deze publiceren. Een octrooi wordt volgens de wet niet verleend op een uitvinding die al bekend was (het nieuwheidsvereiste). Aan ‘bekendheid’ worden geen hoge eisen gesteld, het gaat er eigenlijk alleen maar om dat het publiek toegang had tot de publicatie op de dag voordat het octrooi werd aangevraagd.

In theorie kun je de uitvinding dus op een briefje schrijven en in de lokale bibliotheek ophangen. Praktisch gezien is dat niet handig, want octrooiverlenende instanties kijken daar niet en zullen dus het octrooi gewoon verlenen. Dan moet je achteraf gaan bewijzen dat je dat briefje daar opgehangen had en wat er precies in stond.

Beter is dus een publicatie op een plek waarvan je weet dat die instanties (zoals het EPO of het USPTO) ze lezen. Je komt dan bij de zogeheten defensive publication-uitgevers terecht. Deze spannen zich in om bijdragen van derden doorzoekbaar te maken voor octrooiverlenende instanties, zodat deze de publicatie gebruiken om meteen aanvragen af te wijzen.

Een mooie die ik zelf zou aanraden is Defensive Publications, een initiatief van onder meer patentalliantie Open Invention Network en het Software Freedom Law Center (dat weer gelieerd is aan de Free Software Foundation). Een andere is de Prior Art Search Database van IP.com.

Belangrijk voor mij zou nog zijn om zo veel mogelijk steekwoorden en patentterminologie toe te voegen, en vooral de uitleg in gewone taal te doen. Niet alleen broncode of een wiskundige beschrijving. Daar kun je namelijk niet op zoeken.

Arnoud

Marechaussee mocht onder dwang vingerafdruk afnemen om telefoon te ontgrendelen

Geplaatst op in Regulering, 26 reacties

De Koninklijke Marechaussee mocht onder dwang de vingerafdruk van een verdachte afnemen om zijn telefoon te ontgrendelen, las ik bij Security.nl. De rechtbank Noord-Holland bepaalde dat dit legitiem was bij een verdachte die vorig jaar augustus was aangehouden op Schiphol aangehouden wegens het invoeren van drugs. De verdachte had betoogd dat dit in strijd was met het beginsel dat je niet tegen jezelf hoeft te getuigen, maar de rechtbank vindt dat onterecht.

In Nederland is niet expliciet geregeld dat opsporingsambtenaren vingers mogen zetten op sensors waarmee apparatuur van verdachten wordt ontgrendeld. Er is wel een algemene regel dat vingerafdrukken mogen worden genomen, maar het moet dan eigenlijk gaan om identificatie van de verdachte (art. 27a Strafvordering). Dat is toch wel even iets anders dan een vingerafdruk inzetten om een telefoon te openen. Maar bij een ernstig misdrijf mag er meer (art. 55c):

De foto’s en vingerafdrukken [van de verdachte] kunnen ook worden verwerkt voor het voorkomen, opsporen, vervolgen en berechten van strafbare feiten en het vaststellen van de identiteit van een lijk.

Met enige goede wil is “openen van zijn telefoon” wel te rekenen onder “opsporen van strafbare feiten”, als de data op die telefoon daar deel van uitmaakt, schreef ik in 2013. De rechter lijkt het nu met me eens te zijn, getuige de simpele opmerking dat

Een dergelijk bevel is vergelijkbaar met het (onder dwang) afnemen van vingerafdrukken voor opsporingsonderzoek. Het gaat om biometrisch materiaal wat onafhankelijk van de wil van verdachte bestaat en wat zonder zijn medewerking zou kunnen worden verkregen (…)

Complicatie was nog dat tegen de verdachte was gezegd “geef je pincode of ik forceer je vinger op de telefoon en unlock ‘m zo”. Het vragen om pincodes is wezenlijk anders, dat is wél een getuigenis die je dan vraagt. Het doet raar aan, want je hebt als agent gewoon de bevoegdheid om een vingerafdruk fysiek af te nemen als de verdachte tegenstribbelt. Dus waarom dan vragen om pincodes?

Maar omdat hier het ontgrendelen met de vinger wél legaal mogelijk was, ziet de rechtbank deze vraag niet als een verplichting om te getuigen tegen jezelf. Zeg maar hetzelfde als “zeg waar de huissleutel ligt of ik knal de deur open met deze stormram”.

Arnoud

Zó wil Zalando voorkomen dat kleren na één keer dragen worden teruggestuurd

Geplaatst op in Ondernemingsvrijheid, 99 reacties

Met een opvallend groot label voorzien van de tekst ‘do not remove this tag’ wil Zalando voorkomen dat kleding gedragen en vervolgens toch teruggestuurd wordt. Dat las ik in het Eindhovens Dagblad. Zalando heeft een enorm aantal retourzendingen van kledingstukken en wil dat terugdringen, omdat kennelijk de kosten en het gedoe toch fors in de papieren gaan lopen. Maar lastig is dat wel natuurlijk, want retourzenden binnen 14 dagen is een recht dat je als consument hebt, en je mag als bedrijf dat recht niet inperken. Ook niet met indirecte trucjes. Dus hoe ver mag Zalando hierin gaan?

“Retouren worden alleen geaccepteerd als dit label nog aan het product bevestigd is”, zo meldt het 10 bij 15 centimeter grote knalwitte ding. Heel letterlijk klopt dat niet: de wet Koop op afstand kent geen optie om een retour te weigeren wanneer een zelfbedacht label is verwijderd. Er zijn slechts een beperkt aantal uitzonderingsgronden, en voor kleding gaan die eigenlijk nooit op (behalve wellicht de hygiënegrond bij ondergoed dat verzegeld wordt verkocht).

Praktisch gezien zit er wel iets in. Van de wet mag je een product namelijk alleen uitproberen, om te kijken of het geschikt voor je is. Oftewel: passen, naast je andere kleding leggen et cetera. Er mee naar een feestje gaan is geen uitproberen meer (en nee, “ik wilde uitproberen of ik meer opviel op het feest” komt niet door de giecheltoets) en na zulk gebruik vervalt je retourrecht.

Het idee van Zalando is natuurlijk dat je bij gewoon uitproberen geen last hebt van dat label, het zit immers aan de buitenkant dus de pasvorm wordt niet aangetast en vergelijken met de rest van je garderobe gaat ook geen probleem zijn. Maar naar een feestje gaan met zo’n enorm label, dan moet je wel een héle erge #instafamous #influencer zijn wil je dat aandurven.

Zalando zal dan ook waarschijnlijk een mooie standaardtekst hebben geformuleerd die erop neerkomt dat omdat het label weg is, zij mogen vermoeden dat jij het product meer hebt gebruikt dan noodzakelijk was om het uit te proberen. En omdat je dat hebt gedaan, is je retourrecht vervallen. De reden is dan dus niet letterlijk “het label is weg” maar “wij denken dat je het hebt gebruikt in plaats van geprobeerd”.

Ik zie daar wel wat in, maar natuurlijk blijft er ruimte voor de consument om te zeggen, “nee, het viel eraf tijdens het uitproberen”. Maar ik denk dat je dan wel iets van een onderbouwing moet geven. Dat plastic oranje touwtje breekt denk ik niet héél snel.

Arnoud

Mag een sportschool ’s nachts mensen met gezichtsherkenning binnenlaten?

Geplaatst op in Ondernemingsvrijheid, Privacy, 18 reacties

Het hoeft niet, maar het kán: midden in de nacht fitnessen. Dat meldde BN De Stem onlangs. Een nieuwe fitness-zaak in Etten-Leur gaat gezichtsherkenning inzetten bij klanten, vanwege haar mogelijkheid tot 24 uur toegang. Mensen krijgen een eigen tag waarmee ze binnen kunnen. We werken met camera’s met gezichtsherkenning, die aanslaan wanneer er iemand binnenkomt die niet herkend wordt, zo staat in het artikel. Er is dan geen personeel maar je kunt hulp inroepen via een keycord.

Zakelijk vast een gat in de markt, maar was er niet iets met gezichtsherkenning en camera’s onder de AVG? Ja inderdaad. Wanneer je gezichten gaat fotograferen met als doel mensen herkennen, dan spreken we van verwerking van biometrische persoonsgegevens en dat valt onder de strenge regels van de bijzondere persoonsgegevens. Heel kort: afblijven tenzij in de AVG specifiek staat dat het mag.

In principe is het idee daarmee van tafel, want de AVG kent geen ontheffing voor het gebruik van bijzondere persoonsgegevens voor herkenning. Maar dat komt omdat de lidstaten het niet eens konden worden over hoe ver die regels dan mochten gaan. Artikel 9 lid 4 zegt dan ook dat de lidstaten zelf regels mogen maken over biometrie.

Nederland heeft dat gedaan in artikel 29 Uitvoeringswet AVG, en vrij breed ook:

[het verbod is] niet van toepassing, indien de verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden.

Het mag dus, als er maar een duidelijk belang daarvoor is én eigenlijk geen andere optie hebt ter authenticatie of voor de beveiliging. Je moet dit onderbouwen en die onderbouwing moet in je verwerkingsregister zitten.

Bij toegangscontrole wanneer er geen personeel aanwezig is, is biometrie een op zich redelijk betrouwbare keuze volgens mij. Natuurlijk kun je zeggen, zet een nachtportier neer of ga gewoon niet open. Maar dat vind ik geen reële alternatieven: ze zijn duur en niet perse betrouwbaarder – en gewoon dicht zijn is zakelijk natuurlijk onwerkbaar. Ik denk dan ook dat aan die noodzaak wel is voldaan.

Arnoud

OM vervolgt internetoplichters niet als ze slachtoffers terugbetalen

Geplaatst op in Regulering, 13 reacties

Het Openbaar Ministerie is een proef gestart waarbij internetoplichters niet worden vervolgd als ze hun slachtoffers terugbetalen. Dat las ik bij Security.nl Alleen zogeheten “first offenders” die mensen voor maximaal 300 euro hebben opgelicht komen in aanmerking. “Strafvervolging is van secundair belang”, zo wordt de politie geciteerd. Het gaat namelijk vaak om minderjarigen of jongere meerderjarigen. Een lezer vroeg me daarop: mag dat wel, dat het OM er zo voor kiest om daders van strafbare feiten eigenlijk zonder enige echte consequentie weg te laten komen?

De bedragen waarvoor mensen zijn opgelicht door deze ‘beginners’ variëren van enkele tientjes tot maximaal zo’n 300 euro, dus je zou kunnen zeggen dat het om relatief kleinschalige criminaliteit gaat. Het is dan de vraag een heel strafrechtelijk traject wel de moeite waard is, gezien ook de te verwachten straf die de rechter aan het eind zou opleggen. Worden we daar beter van als maatschappij? En zo niet, is dan niet een alternatief beter waarbij je zegt, geld terugbetalen en we houden je in de gaten vriend?

En ja, zoiets mag het Openbaar Ministerie beslissen. Het OM heeft grote beleidsvrijheid in besluiten wie ze wel of niet vervolgt en welke straf ze dan eist. Dit heet het opportuniteitsbeginsel, en het basisidee is dat het OM zelf moet afwegen waar de beste plek is waar het zware middel van het strafrecht wordt ingezet, gezien de beperkte middelen die men nu eenmaal heeft.

Die vrijheid wordt in de praktijk vertaald naar zogeheten aanwijzingen, waar individuele officieren op kunnen varen. De op deze blog het meest voorbij komende Aanwijzing is die van IE-fraude, en deze komt er kort gezegd op neer dat je niet vervolgt behalve bij georganiseerde misdaad of dreigingen voor de volksgezondheid (nepmedicijnen, zeg maar). Zo’n aanwijzing is bindend: het OM mag er niet van afwijken als ze iemand vervolgt.

Ik moet zeggen dat ik deze aanpak creatief en nuttig vind. Vooral vanwege het argument in Tubantia dat natuurlijk ook na een veroordeling slachtoffers hun geld kunnen terugkrijgen, maar dat dat héél lang duurt en je zeker niet weet of het geld er nog is na zo’n traject. Het voelt ergens verkeerd dat je daders vervolgens laat gaan, maar in deze specifieke situatie kan ik dat billijken.

Arnoud

Mag een Tesla zichzelf bewaken met camera’s rondom het voertuig?

Geplaatst op in Ondernemingsvrijheid, Privacy, 20 reacties

Elon Musk laat weten dat Tesla binnenkort een zogeheten Sentry Mode uitbrengt voor alle auto’s die beschikken over Autopilot 2.5. Dat meldde Tweakers vorige week. Deze modus zorgt ervoor dat verscheidene camera’s worden gebruikt om een beeld van 360 graden rondom de auto op te nemen. De nieuwere Tesla’s hebben acht camera’s rondom het voertuig en kunnen daarmee dus worden ingezet om bijvoorbeeld onvoorzichtige fietsers of doelbewuste bekrassers vast te leggen, zodat er bewijs is van hoe schade is ontstaan. Maar er was toch iets met camera’s rondom auto’s?

Hoofdregel is dat je mag filmen wat en wie je wilt, aan de openbare weg. Het publiceren van die beelden is wat complexer, dan zit je met privacy van je gefilmde personen en moet je een duidelijk belang daar tegenover stellen. Maar dat is hier niet aan de orde; de beelden zouden naar de verzekeraar of politie gaan om een claim vanwege schade te ondersteunen.

Filmen met een aangebrachte camera mag niet zonder duidelijk waarschuwingsbordje, dat staat in het wetboek van Strafrecht. Maar ik blijf erbij dat een auto met een camera (of je dat nu dashcam noemt of “Sentry Mode”) geen aangebrachte camera is. De bedoeling van de wet is om situaties te reguleren waarin iemand langdurig en stelselmatig één plek in de gaten houdt. Een auto doet dat niet, een nachtje ergens geparkeerd zijn is niet hetzelfde als een camera ophangen aan de zijmuur van je huis.

Maar in Duitsland mocht dat toch niet? Klopt, in 2017 kreeg een vrouw een boete van 150 euro, nadat ze met de dashcam verkregen beelden van een parkeerbotsing had gebruikt als bewijs bij haar aangifte. Het verwerken van alle kentekens van passerende auto’s is onrechtmatig als er geen duidelijke grondslag is, en enkel willen weten wie jouw auto molesteert, is daarvoor niet genoeg volgens de rechtbank München, dat met een glijdendeschaalargument de dashcam onrechtmatig verklaarde: het kan niet zo zijn dat straks iedereen elkaar permanent gaat filmen.

We hebben in Nederland jurisprudentie die bepaalt dat

… het plaatsen van een camera, gericht op de auto van [de eiser] en het tonen van die beelden op een monitor, waarbij ook een gedeelte van de Rijksweg in beeld is, als zodanig niet in strijd met het privacybelang van weggebruikers … In wezen komt dit gebruik van de camera en het observeren van de auto overeen met hetgeen [de eiser] met het blote oog zou waarnemen vanuit zijn raam indien hij overging tot verwijdering van de daarvoor geplaatste bosschage.

Mede daarom meen ik dat het in Nederland écht anders uit moet vallen met die belangenafweging. En wat het aangebrachte karakter betreft, doel van die regeling is het tegengaan van langdurige stiekeme observatie. Dat vind ik bij een dashcam niet aan de orde, ook niet als hij ’s nachts op één plek geparkeerd staat. Met name hier omdat de camera’s geprogrammeerd zijn om alleen bij aanrijdingen/botsingen te filmen, wat me echt een zwaarwegend legitiem belang voor de auto-eigenaar lijkt.

Arnoud

Ja, deden ze dat maar – Privacygroep klaagt Amazon, Apple en Netflix aan om schenden AVG

Geplaatst op in Privacy, Regulering, 47 reacties

Privacyorganisatie noyb heeft grote techbedrijven aangeklaagd, omdat die de Algemene verordening gegevensbescherming (AVG) zouden schenden. Dat meldde Nu.nl onlangs. Dat klonk interessant, maar het bleek tegen te vallen: ze hebben gewoon een klacht ingediend bij de Oostenrijkse Autoriteit Persoonsgegevens, in de hoop dat die de techbedrijven Netflix, Amazon, Spotify, YouTube en Apple (en nog een paar) gaat aanpakken. Dat is een loffelijk streven en daar hebben we die toezichthouders ook voor, maar echt opschieten doet het niet. Ik had zo graag gehad dat ze zélf een rechtszaak waren begonnen. Want ik geloof er heilig in dat private handhaving de toekomst van de AVG gaat worden.

De kracht van een wet zit hem altijd in de handhaving. De hele reden dat iedereen zo hard is gaan rennen vanwege de AVG, is omdat men vreesde voor hoge boetes die door actieve toezichthouders zouden worden opgelegd. En de AVG kent natuurlijk megaboetes, daar is iedereen het over eens. Maar mijn grote zorg is altijd geweest dat de handhaving zeer beperkt zou zijn, zodat voor kleinere bedrijven de sfeer zou ontstaan van “wij worden niet gepakt” / “dit gaat over megabedrijven”.

Gelukkig zie ik langzaam maar zeker wat handhaving, zoals de Fransen die Google aanpakken met een boete van 50 miljoen voor de vaagtaal in hun privacyverklaring (“onze verscheidenheid aan diensten verwerkt diverse persoonsgegevens op allerlei manieren om uw gebruikservaring te optimaliseren”). In Nederland laat de AP zich ook zien met steekproefonderzoeken in de private sector. Maar het blijft mondjesmaat, en ik denk dat dat onvermijdelijk is bij handhaving door de overheid. Massale handhaving (de 100% controle) zie je eigenlijk nergens.

De AVG kent echter nog een ander mechanisme, dat behoorlijk onderbelicht is gebleven. Op grond van artikel 79 AVG mag iedere betrokkene een rechtszaak starten tegen een onrechtmatig gebruik van zijn persoonsgegevens, en daarbij zelfs schadevergoeding (artikel 82 AVG) eisen. Het praktische probleem daarbij is natuurlijk dat de kosten van een rechtszaak snel op kunnen lopen, en dat er op dit moment geen duidelijkheid is wat die schade dan in Euro’s zou moeten zijn. Er zijn nog geen richtsnoeren voor privacyschendingen op dat gebied.

Er is echter nóg een mechanisme waardoor dit interessanter gaat worden: artikel 80 AVG stelt de mogelijkheid voor massaclaims open, door organisaties die consumenten vertegenwoordigen op een bepaald gebied. Precies, zoals noyb dus. Zij mogen namens betrokkenen naar de rechter, en kunnen daarbij massa-schadeclaims indienen “indien het lidstatelijke recht daarin voorziet”. En dat kan zelfs zonder specifieke opdracht of mandaat van die betrokkenen, als het nationaal recht daarin voorziet.

In Nederland is het op dit moment zo dat een belangenorganisatie geen schadevergoeding kan eisen in een massaclaim (art. 3:305a BW). Daar wordt al jaren aan gesleuteld, zonder al te veel succes. De angst bij bedrijven voor massaclaims is natuurlijk groot, dus het lobbywerk heeft de mogelijkheden hier fors ingeperkt. Ik zie in de AVG echter meer ruimte voor zo’n organisatie, en omdat de AVG boven nationaal recht gaat, is dat lobbywerk misschien eenvoudig te passeren. Daarmee zou de weg vrij zijn voor een AVG-claimclub die namens consumenten (maar zonder aparte machtiging per consument) grote bedragen gaat halen.

Mijn stellige overtuiging is dat zodra er een paar van die clubs een actie starten, we vrij snel duidelijkheid krijgen over wat de schade van gebruik van een persoonsgegeven zou moeten zijn. En zelfs al is dat maar tien euro voor basale gegevens, een claim voor een miljoen van die gegevens loopt toch snel op. Ik zou als bedrijf héél wat zenuwachtiger worden van een private organisatie die tien miljoen wil komen halen, dan van een toezichthouder die dreigt met een boete van datzelfde bedrag.

Arnoud

Wat kun je doen om na de Brexit Engelse bedrijven data te laten verwerken?

Geplaatst op in Privacy, 15 reacties

Ook het laatste voorstel vanuit het Verenigd Koninkrijk om tot een ordelijke Brexit te komen lijkt te zijn mislukt, las ik in diverse media. Daarmee wordt de kans reëel dat men op 29 maart geen overeenstemming heeft bereikt met de Europese Unie over het vertrek van het land. Dat riep bij diverse lezers de zenuwachtige vraag op, mag ik dan nog wel persoonsgegevens bij Engelse (of Schotse of Welshe) bedrijven laten verwerken? Immers, zonder regeling is het VK straks gewoon een “derde land” en daar mag je eigenlijk geen persoonsgegevens stallen.

Onder de AVG zijn de regels voor opslag van persoonsgegevens buiten de Europese Economische Ruimte (de EU plus Liechtenstein, Noorwegen en IJsland) erg streng. Het onderliggende argument is dat deze landen geen fatsoenlijke wetgeving rondom persoonsgegevens hebben, en daarom die gegevens van Europese burgers gewoon niet moeten krijgen. Uitzonderingen daargelaten: twaalf landen zijn erkend als adequaat op dit gebied, en Japan is vlakbij erkenning. Met die landen kun je dus gewoon zaken doen rondom persoonsgegevens.

Voor andere landen ligt het ingewikkelder. Hoofdstuk V van de AVG noemt vele opties, maar de eisen zijn behoorlijk streng. Praktisch gezien zijn er twee werkbare opties: de uitdrukkelijke specifieke toestemming van de betrokken personen, en de zogeheten modelclausules als basis voor een overeenkomst met je Engelse bedrijf.

Toestemming. Artikel 49 AVG biedt deze optie, maar kleedt ‘m zo zwaar in dat het eigenlijk niets oplevert:

a) de betrokkene heeft uitdrukkelijk met de voorgestelde doorgifte ingestemd, na te zijn ingelicht over de risico’s die dergelijke doorgiften voor hem kunnen inhouden bij ontstentenis van een adequaatheidsbesluit en van passende waarborgen;

Even voor de duidelijkheid: hier staat niet dat je mag werken met een popup met vinkje “Ik ben akkoord met opslag van mijn gegevens in Londen”. Je moet een uitdrukkelijke handeling of verklaring halen en je moet kunnen bewijzen dat je mensen in eenvoudige en duidelijke taal (taalniveau B2, de folder bij de apotheek) hebt uitgelegd wat de risico’s zijn als hun gegevens in Engeland opslaat of een Engelse verwerker er mee aan de slag laat gaan.

Het zou flauw zijn om nu te zeggen, leg zelf maar eens uit wat die risico’s zijn. Maar ingewikkeld is het wel. In de kern komt het erop neer dat je niet kunt voorkomen dat die Engelse bedrijven die je erbij betrekt, andere dingen doen dan van de AVG/GDPR mogen. En dan heb ik het niet alleen over stiekeme toegang door overheidsdiensten zoals MI5 of Special Branch, maar ook over datahandel door die bedrijven zelf. Er is geen fatsoenlijke privacywet daar, dus je weet gewoon niet wat die bedrijven vinden dat legaal is.

Natuurlijk kun je dan zeggen, ik ga een contract met ze maken waarin ik dat gewoon keihard verbied. Dat is juridisch alleen niet genoeg binnen deze optie, je moet nog steeds die voorlichting bieden. En vooral – mijn grootste bezwaar – tegen deze optie: mensen kunnen hun toestemming te allen tijde intrekken. Dat maakt werken op deze basis erg wankel.

Werken met de zogeheten Model Clauses is dan ook volgens mij de enige reële optie. Je maakt dan een speciaal contract waarin in strenge taal (door de EU opgesteld en goedgekeurd) de Engelse partij allerlei plichten opgelegd krijgt over hoe om te gaan met persoonsgegevens, hoe te borgen dat jouw personeel of klanten hun rechten kunnen halen en hoe jij toezicht houdt op wat die Engelsen gaan doen.

Dit voelt als een redelijk papieren exercitie en dat is het natuurlijk ook. Maar het is wel iets om op papier mee verder te kunnen totdat de EU en het VK er werkelijk uit zijn. En dan hopen we maar dat dat binnen een jaar of twee bekeken is, want tegen die tijd zullen de model clauses sneuvelen vermoed ik gezien een rechtszaak van de onvermoeibare Max Schrems die tegen dit soort papieren tijgers ten strijde trekt.

De meer cynisch georiënteerde jurist zal dus zijn klanten eerder een vertrek uit het VK aanraden. Gebruik de model clauses als lapmiddel totdat je de migratie compleet hebt, maar heb een plan om weg te gaan op de kortst mogelijke termijn.

Arnoud

Mag je een historisch relevant bedrijf met merknaam opvoeren in je online game?

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 15 reacties

Red Dead Redemption 2-uitgever Take Two heeft detectivebureau Pinkerton aangeklaagd, las ik bij Nu.nl. Het detectivebureau wil geld hebben omdat er Pinkerton-agenten voorkomen in de game, en stuurde een juridische blafbrief, waarna de uitgever preventief naar de rechter stapte om een uitspraak te krijgen dat dit gewoon mag. Ik vind het een lastige. Ik zie het argument van historische accuratesse zeker wel, maar het zou wel wat ver gaan als je met dat argument ieder merk mag opvoeren dat je tegenkomt. Coca-Cola dronken ze ook al sinds 1886 en Levi’s spijkerbroeken waren uit 1873, dus kan dit spel gesitueerd in 1899 die mogen tonen?

De westerngame verscheen eind oktober en bevat een aantal Pinkerton-agenten. Zulke agenten waren gangbaar in 1899, het jaar waarin de game zich afspeelt. Maar de term Pinkerton is ook een beschermd merk van beveiligingsbedrijf Securitas AB, en andermans merknaam gebruiken om je eigen aanhaakproducten te promoten is normaal merkinbreuk. Dat levert dus een spanningsveld op: is dit gewoon een deel van het historisch verhaal, of is dit gewoon gebruik van andermans merk om meer winst te maken?

De voor mij belangwekkende voorvraag is wat een computergame nu eigenlijk is. Want de context maakt nogal uit: een logo op een t-shirt drukken en verkopen vind ik heel wat anders dan een historisch tijdschrift dat een onderbouwd artikel publiceert en daarbij het logo toont als illustratie van de wereld destijds. Take Two presenteert haar game als een soort interactieve film, speel de hoofdrol in deze historische documentaire, zoiets. Dat komt dan goed uit natuurlijk, want in een documentaire moet en mag je historisch accuraat zijn, inclusief relevante merken uit die tijd.

De Pinkerton-agenten spelen een relevante rol in het spel: in 10 van de 106 missies krijg je deze figuren achter je aan, wat je missie complexer maakt. Securitas zal daarmee het minder een documentaire vinden als wel een handig gebruik van hun merk, nu nóg spannender dankzij 10% Pinkerton. Net zoiets dus als ineens Levi’s spijkerbroeken kunnen dragen of een Winchester geweer vinden als upgrade.

Ik vind het moeilijk hier een harde grens in te trekken. Gevoelsmatig zou ik in een racespel het niet logisch vinden dat echte auto’s daar ineens opduiken zonder toestemming van de ontwerper/merkhouder, maar in een Wild West game geen Winchester met haar typerende vorm (of de Colt 1866) hebben zou ik héél raar vinden. Die zijn zodanig symbolen van die tijd, en gevoed door zó veel films en literatuur dat die er gewoon moeten zijn.

Natuurlijk is Take Two hartstikke commercieel met haar game, maar dat is de History Channel ook en toch zouden we het raar vinden als die merken gaat blurren in een aliendocumentaire garageboxjacht spokenzoektocht historische documentaire. Zijn games dan toch wezenlijk anders dan film?

Arnoud