Van rare websites krijg je rare vergeetrechtzaken

Geplaatst op in Privacy, Uitingsvrijheid, 56 reacties

Een arts die op de vingers is getikt door het tuchtcollege moet verwijderd worden uit de zoekresultaten van zoekmachine Google. Dat meldde Trouw vorige week. Waarmee ze overigens bedoelen dat een bericht over dat vingertikken verborgen moet blijven in de zoekresultaten, niet dat de arts geheel onvindbaar moet worden. De rechtbank Amsterdam had in december vorig jaar bepaald dat het ging om een irrelevant en tendentieus bericht, dat de arts niet hoefde te worden nagedragen ondanks de voorwaardelijke schorsing die hem door de tuchtrechter was opgelegd. Een baanbrekende zaak, aldus zijn advocaat, maar wat mij betreft is dit niets bijzonders en klopt het helemaal met de regels die we al hadden.

De arts had enkele jaren terug een operatie uitgevoerd en daarbij een fout gemaakt. Dat leidde tot een tuchtrechtelijke procedure onder de Wet BIG (Wet op de beroepen in de individuele gezondheidszorg). De arts kreeg in eerste instantie een schorsing opgelegd, maar in hoger beroep werd dat een voorwaardelijke schorsing.

Wie nadien op de naam van de arts zocht, vond hoog in de resultaten de site zwartelijstartsen punt nl (die zelf zegt “Deze website is niet bedoeld als leedtoevoeging of schandpaal.” maar ik zie dat anders) met daarin naam, BIG nummer en foto van de arts, plus de tuchtrechtelijke uitspraak en een citaat uit een regionale krant over de kwestie.

De arts had nogal last van die vermelding, en vroeg Google om verwijdering uit zoekresultaten op zijn maam. Die weigerde dat, omdat het om zakelijke berichtgeving ging over zijn professionele activiteiten. De Autoriteit Persoonsgegevens was dezelfde mening toegedaan, mede omdat de arts nog in zijn proeftijd van de voorwaardelijke schorsing zat en de berichtgeving daarmee nog actueel was. Bovendien zou een gemiddelde patiënt niet bij het BIG register kijken of zijn arts een tuchtuitspraak tegen zich had, maar wel in Google.

Daarop stapte de arts naar de rechter, die hem in tegenstelling tot Google en de AP wél gelijk gaf. De rechtbank zet daarbij voorop – zoals de HR eerder bepaalde – dat bij Google’s zoekdienst de privacy van daarin opgenomen personen in principe wint, tenzij er bijzondere redenen zijn om de informatie wél te tonen. Normaal is de afweging van grondrechten gelijkwaardig (persvrijheid versus privacy), maar bij Google dus niet.

Dan is dus de vraag, wat zijn hier die bijzondere redenen. De site had aangedragen dat zij juist de openbaarheid met naam en toenaam kiezen omdat het publiek te lastig falende artsen kan vinden. Beroepsfouten door artsen zijn zeer kwalijk, dus logisch dat daar aandacht voor moet komen. En het huidige systeem vanuit de wet om dat te doen, voldoet niet genoeg.

Dat laatste ziet de rechtbank anders:

[dat] de wetgever in de wet BIG een uitgekiend wettelijk systeem heeft vastgelegd om bekendheid te geven aan beroepsbeoefenaren die een (voorwaardelijke) tuchtrechtelijke maatregel opgelegd hebben gekregen. Volgens de wet BIG wordt iedere tuchtrechtelijke maatregel in het BIG-register (www.bigregister.nl) gepubliceerd, met een zeer beperkte vermelding van de reden voor de oplegging. De tuchtrechtelijke maatregelen zijn vrij eenvoudig te vinden als in het (digitale) BIG-register wordt gezocht op de naam van de zorgverlener.

Wie dus echt wil weten of er wat speelde met zijn of haar arts, kan dat met een gerichte zoekopdracht achterhalen. Maar dat is heel wat anders dan gewoon je arts googelen en al dan niet verouderde of herroepen berichtgeving vinden, en op die basis concluderen dat je te maken hebt met een sjoemelarts (nog zo’n term van die site). Zeker als die site zich ook nog eens tooit met de toch tendentieuze term ‘zwarte lijst’, wat meer impliceert dan enkel een voorwaardelijke tik op de vingers. En het helpt al helemaal niet als blijkt dat die zwarte lijst kennelijk vrij willekeurig (met eigen, niet gepubliceerde criteria) sommige berispte artsen wel en andere niet publiceert, plus ook artsen die géén tuchtrechtelijke uitspraak tegen zich hebben.

Daar staat dan grote last voor de arts tegenover. Ik schrok er een beetje van wat de rechtbank zegt over het BIG register:

Bovendien heeft [verzoekster] diverse publicaties van de artsenfederatie KNMG overgelegd waaruit blijkt dat de publicatie van een tuchtrechtelijke maatregel in (enkel) het BIG-register – door de KNMG ‘naming and shaming’ of een ‘digitale schandpaal’ genoemd – voor de artsen die het betreft een zo grote invloed heeft, zowel persoonlijk als professioneel, dat ruim de helft van hen heeft overwogen te stoppen met werken.

Als alleen al de vermelding daar zó veel impact heeft, dan snap ik wel dat je zeker niet ook nog eens in een door willekeurige mensen opgezette zwarte lijst Dit alles bij elkaar maakt dat de rechtbank geen omstandigheden ziet om de privacy van de arts aan de kant te zetten, integendeel. Google moet dan ook binnen zeven dagen zorgen dat dit zoekresultaat niet meer wordt getoond als mensen de arts bij naam googelen.

Gezien deze feiten verbaast die uitspraak me niets. Baanbrekend zou ik hem ook weer niet noemen, de rechter past ‘gewoon’ het kader toe van alle vergeetrechtzaken. Dat het BIG register een eigen vergeet- of juist ‘herinner’-functie heeft, is wel een bijzonderheid maar ik zie die in het voordeel van de informatievrijheid. De relevante informatie over artsen is daar te vinden en wordt zorgvuldig beheerd. Wie wat wil weten of zijn arts, kan daar dus gewoon terecht. En als informatie niet meer relevant is, wordt dat door een onafhankelijke partij gescreend en weggehaald. Dat lijkt mij beter dan zelf googelen.

Arnoud

Deliveroo-bezorgers zijn toch werknemers en geen zzp’ers

Geplaatst op in Ondernemingsvrijheid, Regulering, 26 reacties

Bezorgers die voor Deliveroo maaltijden bezorgen worden door het bedrijf ten onrechte als zzp’ers aangemerkt, oordeelde de rechter in twee zaken die vakbond FNV aanspande. Dat las ik bij Nu.nl vorige week. De bezorgers zijn feitelijk gewoon werknemers en moeten als zodanig behandeld worden; dat Deliveroo ze zzp’er noemt, is daarbij niet relevant (in tegenstelling tot die zaak van juli vorig jaar). Ook de cao voor beroepsgoederenvervoer is gewoon van toepassing. Een behoorlijke financiële strop voor het bedrijf Deliveroo, dat dan ook al aangekondigd had in hoger beroep te gaan.

In twee zaken bij dezelfde rechtbank kwam FNV als vakbond op voor de algemene kwestie of voedselfietsbezorgbedrijf Deliveroo haar bezorgers als zzp’er mocht aanmerken. Dit was een collectieve procedure, waar Deliveroo bezwaar tegen maakte met het argument dat ieder arbeidscontract anders is en de beoordeling of iemand werknemer is ook. Maar de rechter bepaalde meteen dat FNV wél mag procederen over zoiets principieels als dit.

Het klopt natuurlijk dat je uiteindelijk naar ieder geval apart moet kijken of iemand werknemer is dan wel als freelancer of zzp’er wordt ingeschakeld. Maar de factoren die daarbij van belang zijn, zijn vaak generiek genoeg om in zijn algemeenheid een vuistregel mee te kunnen maken. En dat is dan ook precies wat de rechtbank hier doet.

Allereerst het contract. In juli vorig jaar concludeerde de rechtbank nog op basis van de tekst van een freelancer-contract dat de fietskoerier een zzp’er was, maar dat was wat kort door de bocht: je mag aan een contract met een hulppersoon alleen waarde hechten als er inhoudelijk onderhandeld is. Is het een standaardcontract dat de hulppersoon opgelegd kreeg (“alsjeblieft, hier tekenen graag”) dan is daaraan geen aanwijzing te ontlenen dat partijen samen beiden wilden dat de koerier zzp’er was. Ook de andere stappen die de rechter vorig jaar zag – het inschrijven bij de KvK, het zelf kopen van kleding en vervoersboxen – tellen niet mee in zo’n situatie.

De rechtbank gaat er gezien de principiële aard van de zaak eens goed voor zitten, en begint met te constateren dat alle mooie argumenten over flexwerken, deelplatforms en wat dies meer zij een discussie voor de politiek geven. De wet is de wet, en je moet contracten beoordelen in het huidige systeem. Dat er iets tussen werknemer en zelfstandig opdrachtnemer zou moeten zijn qua rechtsbescherming is geen juridische vraag maar een politiek debat.

Een belangrijk criterium voor werknemerschap hoe verplichtend of vrij de opdrachttoekenning gebeurt. Het contract bepaalt dat je per bezorging betaald krijgt, en dat je vrij bent om al dan niet te weigeren of te vragen om opdrachten. In de praktijk ziet de rechtbank dat je je vooraf moet aanmelden, anders krijg je geen opdrachten aangeboden. En gezien de lage prijs per bezorging (€6,00) is het ook niet logisch dat mensen af en toe eens een bestelling gaan doen. Praktisch gezien moet je een hele periode op een dag paraat staan en een berg bezorgingen doen. Iets anders is niet reëel, wie wil dat nou doen, even zes euro scoren als ze toevallig nu een maaltijd hebben die ik kan bezorgen?

Ook weegt mee dat Deliveroo kennelijk mensen beloont met extra opdrachten via een priority access systeem. Dat alles steunt de conclusie dat ze willen dat je veel werk doet per dag, en oh ja je wordt eruit gegooid als je niet genoeg opdrachten aanneemt en niet zegt waarom. Bij elkaar vindt de rechtbank dat wel erg veel ruiken naar een werknemerrelatie: die moet ook gewoon elke dag werken en je krijgt (uiteindelijk) ontslag als je dat niet doet.

Als tweede criterium geldt dat een werknemer mag zich niet laten vervangen. Het contract van Deliveroo bepaalt dat de bezorger dit wel mag, maar zoals de rechter zegt is deze mogelijkheid tot vervanging vrijwel inhoudsloos. De vervanger mag pas worden doorgegeven nadat de opdracht is aangenomen, en dan moet je al per direct naar het restaurant om de maaltijd op te halen. Dat is praktisch niet te doen. Bovendien legt Deliveroo de vervanger exact dezelfde harde eisen op en kan de koerier zelf geen toezicht op zijn vervanger uitoefenen. Die papieren constructie telt dus niet, de koerier moet zelf het werk doen.

Als derde kijkt de rechter naar de beloning. Dat is altijd een lastige: werknemers krijgen loon, opdrachtnemers krijgen een honorarium, maar hoe zie je het verschil? De rechtbank kijkt naar de hoogte – maximaal 18 euro bruto – en het feit dat hierover niet kan worden onderhandeld. Uit die feitelijke constateringen volgt dan dat je dit moeilijk een honorarium kunt noemen.

Alles bij elkaar concludeert de rechter dan ook dat deze werkconstructie alles heeft van een werkgever-werknemer relatie en niet van een echte zzp-inhuuropdracht. Factoren zoals dat je bij de KVK ingeschreven moet zijn en je eigen kleding en maaltijdboxen mag gebruiken, bieden te weinig gewicht voor een tegenargument dat tóch sprake is van opdrachtnemerschap. De conclusie is dan ook: dit zijn arbeidscontracten, geen overeenkomsten van opdracht.

Deliveroo moet de cao met terugwerkende kracht toepassen en bezorgers kunnen nu aanspraak maken op een dienstverband. Dat is behoorlijk pijnlijk voor het bedrijf, en het verbaast dan ook niet dat ze meteen roepen in hoger beroep te gaan. Maar gezien de zeer principiële en uitgebreide analyse van de rechter zou ik niet meteen weten met welke argumenten.

Natuurlijk is het behoorlijk vervelend voor het bedrijf, en ik ben natuurlijk niet tegen een systeem waarbij je voor dit soort parttime bijbaantjes een derde route creëert naast die van werknemerschap met volledige bescherming en de opdrachtnemer die het maar moet uitzoeken. Maar ik blijf sterk met het gevoel zitten dat bedrijven vooral vanwege het vermijden van hun werkgeversplichten kiezen voor mensen opdrachtnemer noemen, en dat de werknemers niet sterk genoeg zijn om daar een vuist tegen te maken. Dat is dus waar je vakbonden voor hebt, en ik vind dit dan ook een mooie uitkomst. Maar zoals ik in juli ook al zei: de bal is aan de politiek, die moeten nu óf zo’n derde route maken en in de wet zetten, óf eindelijk eens een signaal geven dat schijnconstructies niet mogen zodat dit hard kan worden aangepakt.

Arnoud

Mag een webshop je tweede bestelling annuleren omdat je de eerste retour stuurt?

Geplaatst op in Ondernemingsvrijheid, 19 reacties

Een interessante vraag bij Tweakers:

Ik heb een bestelling gedaan bij een een webshop (installatiemateriaal) Verzendkosten zelf betaald. Deze zending retour gestuurd ivm verkeerde maat (ook zelf retourkosten betaald) l. Na mijn tweede bestelling annuleert de webshop mijn bestelling met het bericht dat retouren duur zijn en ze het risico niet nog een keer willen lopen. Ik mag dus niet meer bij ze bestellen omdat ik een product retour heb gestuurd… Mag dat zomaar?

Een overeenkomst komt tot stand door aanvaarding van een aanbod (art. 6:217 BW). Wanneer er wordt betaald of geleverd is volstrekt irrelevant. In de ecommercepraktijk is er dus een overeenkomst zodra de automatische bevestiging binnen is (art. 6:227b BW).

Een overeenkomst is niet te annuleren tenzij in de wet staat van wel, of rechtsgeldig is afgesproken dat dit mag. De consument heeft bijvoorbeeld een wettelijk annuleringsrecht binnen 14 dagen na ontvangst. De ondernemer mag annuleren bij bijvoorbeeld dwaling of bedrog door de consument.

Zelf een reden voor annuleren verzinnen mag, maar a) dat moet dan in de algemene voorwaarden staan die bij de bestelling gelden en b) die reden mag niet in strijd zijn met dwingend recht. En daar gaat het hier volgens mij mis: de consument wordt hiermee afgeschrikt om zijn retourrecht uit te oefenen, want dan mag hij nooit meer wat kopen daar.

De strekking van het consumentenrecht op afstand is dat je vrijelijk moet kunnen bestellen en annuleren als het je niet bevalt. Als een winkel bijvoorbeeld een boete zou zetten op een annulering, dan zouden we het er meteen over eens zijn dat dit niet in de haak is. Maar ‘je mag nooit meer wat bestellen’ of zelfs ‘je volgende bestelling voor iets vergelijkbaars gooi ik eruit’ komt op mij neer als hetzelfde als een boete.

Natuurlijk is het voor de ondernemer knap vervelend dat iemand twee keer iets retourneert, dat kan fors geld kosten. Zeker als het product effectief onverkoopbaar wordt door het retoursturen (van een poststicker erop tot gebruikssporen, dingen die je niet kunt verhalen op de consument). Maar dat is voor de wet écht het risico van de ondernemer, en dat mag hij of zij niet zo verleggen naar de consument.

Arnoud

Duitse rechtbank oordeelt dat Amazon Dash-knoppen de wet overtreden

Geplaatst op in Ondernemingsvrijheid, 24 reacties

De Dash-knoppen, waarmee met een druk op de knop een bepaald product kan worden aangeschaft, voldoen niet aan de Duitse wet. Dat meldde Tweakers vorige week. De rechtbank München had dat bepaald. Klanten zouden niet voldoende worden geïnformeerd over de prijs die zij moeten betalen, en dat is verplicht bij e-commerce en webshops. Het doet wat gekunsteld aan omdat de knoppen primair voor opnieuw bestellen zijn, en je dan zou denken dat men de prijs al wel weet. En ik voel me heel erg oud omdat ik moest opzoeken waarom je een Dash-knop zou willen.

In de kern komt het erop neer dat het een soort computertjes in de vorm van stickers zijn. Deze zijn voorgeprogrammeerd om Amazon.com een signaal te sturen als je erop drukt, waarna Amazon je dat specifieke product toestuurt (en je creditcard belast, natuurlijk). Een soort one-click-shopping dus. Handig bedoeld: hang de Dash voor het wasmiddel naast de wasmachine, en je kunt direct na het bemerken dat de witwaspoeder op is, deze bijbestellen. Geen lijstjes meer nodig en zelfs niet naar beneden lopen om het te noteren op je huishoudbord.

Een punt is inderdaad dat op de Dash geen prijs staat. Dat zou een scherm vereisen, en dat maakt het product ongetwijfeld duurder. En ik zie ergens ook wel dat het soort consument dat een Dash ophangt, vooral het gemak wil van dat wasmiddel snel aanvullen, en minder gevoelig is voor tien cent prijsverschil met een ander merk. Maar de wet kent dat onderscheid inderdaad niet.

Als eerste speelt dat je bij e-commerce verplicht bent mensen te melden dat een betalingsverplichting ontstaat als ze op de bestelknop drukken. Veel webwinkels zetten dan ook letterlijk “Bestel met betaalplicht” op de knop, hoewel een zin “Door op Bestellen te klikken, gaat u een betalingsverplichting aan” voor de wet ook voldoet. Maar geen van die elementen staat op de Dash knop. Naar de letter van de wet schendt Amazon zo dus ook deze plicht, en de sanctie is dan strenger: de consument kan de overeenkomst dan vernietigen. Dat betekent alleen wel dat dan het gehele product terug moet.

Echter, wanneer je als winkelier de mogelijkheid tot kopen op afstand biedt aan consumenten, moet je voor of bij het sluiten van de overeenkomst alle benodigde informatie expliciet verstrekken (art. 6:230m BW). Niet verrassend behoort de prijs (“de totale prijs van de zaken of diensten, met inbegrip van alle belastingen”) tot die kerninformatie.

De sanctie op het niet of onvolledig verstrekken van die informatie is dat je retourtermijn verlengd wordt naar een jaar (art. 6:230o lid 2 BW) én je niet voor waardevermindering (art. 6:230s lid 3 BW) kunt aangesproken worden. En met een beetje goede wil kun je dat lezen als “je mag er een jaar mee doen wat je wilt, en Amazon mag niet piepen als het daarna op is”. Ik kan me niet voorstellen dat dat de reden is dat Amazon zegt

“Today’s ruling is not only hostile to innovation. It also stops customers from making an informed decision about whether a service like the Dash button gives them a convenient shopping experience,”

Het klopt natuurlijk wel dat de wetgeving de consument stevig beschermt, en zeker met die ‘betaalplicht’ tekst kun je je afvragen of dat niet wat ver gaat. Maar zoals altijd heeft het consumentenrecht altijd wel een punt, door schade en schande geleerd en dan met de botte bijl aangepakt. Hoe veel webwinkels had je vroeger niet die knoppen als “Ok” of “Aanvragen” of “Reserveren” hadden waarna ineens een overeenkomst met dure (liefst periodieke) prijs werd geclaimd?

Arnoud

200.000 particuliere beveiligingscamera’s in politiedatabase

Geplaatst op in Regulering, Security, Uitingsvrijheid, 19 reacties

De afgelopen jaren hebben bedrijven en particulieren meer dan 200.000 beveiligingscamera’s in een database van de politie laten registreren, las ik bij Security.nl. Het gaat om de database “Camera in Beeld”, die informatie over beveiligingscamera’s in Nederland bevat. Het register stelt de politie in staat om snel camerabeelden te vorderen van strafbare feiten en andere misstanden.

Voor de duidelijkheid: Camera in Beeld is géén centrale toegang tot private beveiligingscamera’s. Het is een database met waar camera’s hangen, welk deel van de straat wordt opgenomen en wie de beheerder is. Zo kan de politie zoeken naar beelden van een misdrijf (zoals een vluchtende verdachte) en direct de juiste persoon benaderen met een vordering tot afgifte. Want ja, de politie moet die beelden opeisen en kan niet zomaar snuffelen of vrijwillig vragen beelden aan te leveren.

Juridisch lijkt me dit prima in orde. De kern zit hem in dat vorderen. Dat is een wettelijk recht van de politie, het enige nieuwe van Camera in Beeld is dat men makkelijk en snel weet bij wie de vordering moet worden neergelegd. Met deze route kunnen er ook geen discussies ontstaan of de camera-eigenaar dit wel had moeten doen of niet; bij een vordering moet het gewoon, klaar.

Het gaat vrijwel altijd om beelden van de openbare weg. (Natuurlijk kan men ook beelden van privéterrein zoeken hiermee, maar dan gaat het om misdrijven gepleegd op dat terrein en dan is de eigenaar vaak zelf aanwezig om de camera aan te wijzen en de beelden op vordering te verstrekken.) Daar kun je vraagtekens bij stellen vanuit privacyoogpunt, maar ook illegale beelden zijn bewijs wanneer burgers ze hebben gemaakt. De AVG of het portretrecht staat niet in de weg aan gebruik van camerabeelden voor opsporing en vervolging van strafbare feiten.

In het verleden waren er nog wel geluiden vanuit de AP dat filmen van de openbare weg met je beveiligingscamera niet zou mogen. Zowel de politie als de AP bevestigen nu dat de regels overigens niet zó streng zijn dat cameratoezicht op de openbare weg nooit mag. De AP zegt nu:

De AVG is wél van toepassing als u delen van de openbare ruimte filmt voor beveiliging. Bijvoorbeeld als u een camera in uw tuin heeft om uw woning te beveiligen en deze camera ook de openbare weg filmt die aan de tuin grenst. U mag alleen dát deel van de openbare weg filmen dat noodzakelijk is om uw woning te beveiligen.

Die noodzaak zul je overigens vooraf moeten bedenken en motiveren (op papier zetten dus), je kunt niet volstaan met “dat kwam handig zo uit” of “de installateur zei dat de camera hier moest”. Je zou kunnen denken aan kwesties als de auto ook willen bewaken, omdat er in jouw buurt nog wel eens auto’s bekrast worden, of kunnen vastleggen wie er jouw oprit op draait zodat je nummerbord en bestuurder kunt vastleggen. Maar wie bang is voor diefstal in de achtertuin, heeft denk ik een lastiger argument waarom de stoep vóór ook gefilmd moet worden.

Arnoud

Google mag recht om vergeten te worden tot EU beperken, aldus advocaat-generaal

Geplaatst op in Privacy, 9 reacties

Google hoeft zoekresultaten die het verwijdert vanwege het Europese recht om vergeten te worden, niet op al zijn domeinen te verwijderen, maar alleen voor bezoekers binnen de EU. Dat las ik bij Tweakers onlangs. De advocaat-generaal aan het Hof van Justitie kwam in een recente analyse tot dit advies in een zaak tussen Google en de Franse Autoriteit Persoonsgegevens. Het advies weegt vaak zwaar bij het Hof van Justitie, maar is formeel niet bindend. Het is wel een mooi compromis tussen het belang te worden vergeten en het informatiebelang van anderen, zeker als je het vanuit wereldwijd perspectief bekijkt.

Sinds 2014 spreken we van een recht te worden vergeten in zoekresultaten bij diensten zoals Google. Wanneer zoekresultaten bij opdrachten rond jouw naam of jouw persoon bepaalde verouderde, irrelevante en gênante resultaten tonen, dan heb je het recht die te laten verbergen. Bij de bronsite blijven ze gewoon staan (het recht op een integer archief weegt zwaarder dan je privacy, tenzij publicaties onrechtmatig waren) maar ze zijn daarmee veel moeilijker te vinden. Met deze uitspraak wilde het Hof een balans zoeken tussen de privacy van mensen die steeds oude zoekresultaten terug zien komen, en de behoefte van anderen om informatie over mensen te vinden.

Google gaf op zich gehoor aan de uitspraak, maar kwam wel meteen met een restrictie: alleen bij zoekopdrachten vanuit de EU. Wie bijvoorbeeld met een vpn naar google.com gaat, kan gewoon ‘verboden’ zoekresultaten opvragen. De CNIL (de Franse Autoriteit Persoonsgegevens, zeg maar) vond dat ook dit in strijd was met de privacy: vergeten is vergeten, ongeacht IP-adres. De zaak kwam daarmee bij het Hof van Justitie, en haar onafhankelijk juridisch adviseur doet nu dus suggestie om het vergeetrecht Europees te beperken.

De belangrijkste reden lijkt te zijn dat de wetgeving (de oude Richtlijn, en nog niet de AVG) niet duidelijk maakt wanneer deze territoriaal van toepassing is bij internetdiensten als deze. Het gaat dan nogal ver om een wereldwijde verplichting af te leiden uit zo’n wet. Bij de AVG zou dat anders kunnen zijn, omdat de regels daar (artikel 3) veel breder te lezen zijn. Maar daar gaat deze zaak niet over.

Ook is de advocaat-generaal bezorgd over escalatie: als de EU buitenlandse dienstverleners gaat vertellen wat ze moeten blokkeren, gaan andere landen misschien Europese dienstverleners ook dergelijke dingen opleggen, of hun eigen dienstverleners opdragen om Europese bezoekers minder informatie te geven. Een informatieoorlog is wel het laatste waar je op zit te wachten.

Alles bij elkaar lijkt het dan ook het beste om te gaan voor een Europees vergeetrecht. Ik ben het daar wel mee eens: voor Europeanen is er zo een redelijke balans tussen privacy en informatievrijheid. Wie de informatie écht nodig heeft, kan met extra moeite deze wel vinden. Desnoods door bij de individuele bronnen zelf te gaan zoeken, of dus met een VPN bij een buitenlandse zoekmachine. Dan is er dus een stevig informatiebelang (waarom anders die moeite doen) en dat rechtvaardigt dan het kunnen vinden.

Arnoud

Help, komen Amerikaanse softwarepatenten nu toch weer terug ondanks Alice?

Geplaatst op in Intellectuele rechten, 33 reacties

Softwarepatenten in de VS gaan een comeback maken, las ik bij Ars Technica. Het Amerikaanse Patentbureau USPTO heeft nieuwe richtsnoeren gemaakt voor de behandeling van software-uitvindingen, en rekt daarin de regels flink op in het voordeel van aanvragers. Dit op gezag van het notoir patentvriendelijke Court of Appeals for the Federal Circuit, dat een bijzin ontdekte in de Alice-uitspraak waarmee ze rood tot groen verklaart. Is daarmee een einde gekomen aan de slachting onder softwarepatenten van de afgelopen jaren?

In de softwarewereld zijn patenten al een paar decennia berucht. Met een patent of octrooi kun je iedereen verbieden je uitvinding toe te passen, ook als deze hem onafhankelijk heeft ontwikkeld. (Dit in tegenstelling tot copyright, waarbij je om iemands recht heen kunt door het zelf opnieuw te bouwen.) Daarbij geldt de wettelijke eis dat de uitvinding nieuw en innovatief moet zijn, maar zeker in softwareland is iedereen het erover eens dat die lat véél te laag werd gelegd, met name in Amerika.

Met veel gejuich werd dan ook in 2015 de Alice-uitspraak van het Supreme Court ontvangen. Deze stelde grofweg dat een patent op “X maar dan per computer” categorisch niet toegestaan is, je moet echt een innovatieve X hebben. Dat raakte meer dan 90% van alle software-gerelateerde octrooien en aanvragen. De recentste cijfers (augustus 2018) laten een kleine daling zien ten opzichte van 2016 en 2017 (van 80 naar 66 procent), maar heftig blijft het.

Een recente uitspraak van het CAFC (de enahoogste juridische instantie in patentzaken, direct onder het Supreme Court) lijkt de boel nu op te schudden. Deze instantie las in de Alice uitspraak de zin dat wanneer een uitvinding “purport(s) to improve the functioning of the computer itself”, het geen softwarepatent is. Denk aan uitvindingen om meer informatie in hetzelfde geheugen te proppen, de transmissiesnelheid te verhogen of de temperatuur bij het rekenen laag te houden. (In Europa zouden we dat technische innovaties noemen, en die zijn bij ons ook gewoon patenteerbaar.)

Het CAFC concludeert uit deze bijzin, waar verder overigens geen uitwerking of juridische bronnen bij staan en die volgens mij niet heel belangrijk was in de uitspraak zelf, dat:

We thus see no reason to conclude that all claims directed to improvements in computer-related technology, including those directed to software, are abstract and necessarily analyzed at the second step of Alice, nor do we believe that Alice so directs.

Hiermee werd het indirect toch weer mogelijk om de nodige softwarepatenten geaccepteerd te krijgen bij het Hof. En het USPTO heeft nu haar richtsnoeren aangepast op deze uitspraak, wat logisch is omdat als de rechterlijke macht dit toestaat, je als verlenende instantie daar achteraan moet.

De formulering uit de handleiding (de MPEP, voor meelezende octrooigemachtigden) komt op mij over als vrijwel 1-op-1 de Europese regel: “if an additional element reflects an improvement in the functioning of a computer”. De claim moet dus vermelden hoe computerhardware harder of effectiever gaat werken, en dat effect moet dus nieuw en innovatief zijn. Op papier zou je daarmee net zo’n restrictief beleid moeten krijgen als in Europa tegenwoordig, maar gezien de Amerikaanse historie heb ik daar een hard hoofd in.

Arnoud

Nee, je hoeft je copyright notices niet aan te passen naar 2019

Geplaatst op in Intellectuele rechten, 13 reacties

Gelukkig nieuw jaar nog, het mag volgens mij vandaag nog net. Vele lezers vroegen me de afgelopen periode, wat moet ik doen met de copyright notices op mijn site. Daar staat immers 2018 en tegenwoordig is het 2019, moet ik dat veranderen? Of moet het 2018-2019 of iets anders worden. Het heel korte antwoord: Haal dat hele jaartal er gewoon uit.

De copyright notice is juridisch niet verplicht. In veel sjablonen staat zo’n notice omdat Amerikanen dat altijd zo doen, en die doen dat weer omdat tot 1978 het verplicht was een copyright notice te hebben om in Amerika auteursrecht te kunnen claimen. Of het staat er omdat het juridisch lijkt. Maar vandaag de dag (of eigenlijk dus elke dag sinds 1 januari 1979) is het echt niet nodig om te hebben.

Volgens de regelen der kunst uit 1978 moet de copyright notice het jaar noemen van eerste publicatie van het werk. Als je dus in 2018 iets online zette, dan is het jaar in de copyright notice 2018 en blijft dat 2018, ook nu het artikel in 2019 gelezen wordt. Pas je het werk aan, dan voeg je volgens diezelfde regels het jaartal van de aanpassing toe: “2018-2019” of bij een wat ouder werk “2016, 2019”. Het kan complex worden: “2008, 2010-2013, 2018”.

Maar zoals gezegd, een jaartal is niet verplicht. Die hele copyright notice is niet verplicht immers. Ik kan me voorstellen dat je die notice wil omdat je wilt aangeven dat je écht je rechten claimt en geen overname door derden wilt. Een soort “hier waak ik” bordje dat mijn buurman aan zijn hek heeft. Maar daarvoor is een jaartal niet echt nodig.

Mijn advies zou dus zijn, als je al iets wilt doen met je copyright notice dit jaar, haal dan het jaartal eruit. Dan ben je voor de rest der tijden klaar en heb je toch dat juridische blafbordje.

Arnoud

Is het een datalek als de curator een domeinnaam opheft?

Geplaatst op in Privacy, 39 reacties

Interessante vraag via Twitter:

Interessant vraagstuk, heb navraag gedaan bij #authoriteitpersoonsgegevens. Deze kan mij niet vertellen of “als een curator tijdens faill. afhandeling de domeinnamen laat verlopen” Het een ‘datalek’ is. #zouwelmoeten

De achterliggende gedachte is dat een ander de domeinnaam dan kan registreren en bijvoorbeeld mail bestemd voor het oude bedrijf kan opvangen. Daarmee zou die ander dan persoonsgegevens te pakken krijgen, zoals gegevens van oude klanten of zelfs gevoelige dossiers die worden nagemaild.

Een datalek onder de AVG is een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot misbruik of verlies van persoonsgegevens (artikel 4). Ik zie zeker wel hoe dit ‘kapen’ van de domeinnaam kan leiden tot enige vorm van misbruik va persoonsgegevens, maar ik zet mijn vraagtekens bij het element “inbreuk op de beveiliging”. Welke beveiliging wordt er immers doorbroken?

Ik kan een domeinnaam an sich moeilijk als een beveiligingsmaatregel zien, zodat het opheffen of laten verlopen daarvan (door een curator of gewoon uit slordigheid) volgens mij ook geen inbreuk of schending daarvan is. Het voelt wat creatief om te zeggen, de domeinnaam is deel van de beveiliging van de e-mail (want wie de domeinnaam beheerst, beheerst de routering van de mail) en het opheffen daarvan is dus een beveiligingsschending. Alsof de curator het mailserverwachtwoord op internet zet. Mja. Het kan, maar lekker voelt het niet.

Dat neemt niet weg dat het bepaald onzorgvuldig is om dit zomaar te doen, zelfs in een faillissement. Al is het maar omdat klanten en leveranciers gewoonlijk via de mail contact zullen zoeken, toch iets waar je rekening mee moet houden.

Arnoud

Wanneer is het aanbieden van een stresstest legaal of juist strafbaar?

Geplaatst op in Ondernemingsvrijheid, Regulering, 4 reacties

De FBI heeft in samenwerking met de High Tech Crime Unit van de Nederlandse politie en het Britse National Crime Agency vijftien websites offline gehaald waar ddos-diensten werden aangeboden. Dat las ik bij Tweakers onlangs. De diensten presenteerden zichzelf als ‘stresstesters’, sites waar je tegen betaling de capaciteiten van je eigen site kunt testen om te weten of je ddos aanvallen aan kan. En tja he meneertje, dat iemand dan andermans IP adres invult daar kunnen wij verder niks aan doen. Precies ja, waar ligt dan de grens tussen die twee.

Natuurlijk is het legaal om een bedrijf de dienst te leveren van het veroorzaken van hoge belasting om te zien of die daartegen bestand is. Wanneer een netwerk of site van groot belang is, dan is testen op ddos-bestendigheid een legitieme wens en een aanbieder mag in dat commerciële gat springen.

Wat dan weer strafbaar is, is een site platleggen door deze opzettelijk en wederrechtelijk een hoge belasting te bezorgen. Dat noemen we een (d)dos aanval of in mooi juridisch Nederlands een verstikkingsaanval. Afhankelijk van de impact kan de maximale celstraf vele jaren zijn.

Het verschil tussen die twee? Perceptie, voornamelijk. Net zoals een website security scanner functioneel veel lijkt op een crackertool, maar die laatste strafbaar is omdat deze bedoeld is om het misdrijf computervredebreuk mee te plegen.

Wie dus de legale dienst wil aanbieden, moet zich er dan ook van bewust zijn dat er mensen zullen zijn die deze illegaal gaan inzetten. Zeg maar net zoals pizzabedrijven zich ervan bewust moeten zijn dat er wel eens een prank call voor een pizza bij de buren gaat komen. Daar neem je als normaal bedrijf dan ook maatregelen tegen.

Een legitiem stresstestbedrijf zal dus extra stappen moeten nemen om a) te voorkomen dat haar diensten voor misdrijven worden gebruikt en b) de indruk te vermijden dat je hoopt op klanten van dat type. Ik zou daarbij op zijn minst dan ook een intake van de klant verwachten: wie is dit, hoe weten we dat dat netwerk van hem is, en hebben we enige garantie dat er geen schade gaat optreden bij derden. Oh ja, en het lijkt me vrij voor zich spreken dat je eigen ingekochte zendcapaciteit inzet, en dus geen botnets met argeloze koelkasten en thuiscomputers commandeert.

Veel van de booter/stresser sites die ik ken, doen geen enkele moeite om te voorkomen dat andermans site wordt aangevallen. Hun enige doel lijkt te zijn zo snel mogelijk zo veel mogelijk ‘stresstests’ uit te voeren, ongeacht wie daar de nadelen van ondervindt. In dat geval zie ik wel hoe je ze als Justitie als medeplichtige van dat misdrijf aanmerkt.

Oh ja, zo’n dienstverlener kan zich niet verschuilen achter de juridische bescherming van aansprakelijkheid voor platform. Dat gaat over inhoud van derden die je opslaat en doorgeeft, niet over diensten die je zelf levert.

Arnoud