Mag je internetprovider poort 25 blokkeren van de netneutraliteitswet?

Geplaatst op in Regulering, 47 reacties

Port 25 is geblokkeerd en ik wil niet mailen over de ziggo mailservers, zo begon een discussie op het Ziggo communityforum. De topicstarter wil graag via zijn Ziggo-account het internet op om daar mails aan te bieden aan een externe internetprovider, maar dat lukt niet tenzij hij de mails aan een Ziggo-mailserver aanbiedt, die het dan filtert en doorgeeft. (Voor de techneuten: outbound port 25 is geblokkeerd.) Volgens de helpdesk is dit vanwege spamproblemen die je anders krijgt. Dus dan wordt de vraag, hoe ver mag een internetprovider daarin gaan?

In 2011 trad de wet netneutraliteit in werking, waarin strenge regels stonden die in principe internetproviders verboden om uitgaand internetverkeer zomaar te blokkeren. Echter, in 2015 trad de Europese netneutraliteitsverordening in werking, met een iets andere tekst:

Aanbieders van internettoegangsdiensten treffen geen verkeersbeheersmaatregelen die verder gaan dan de in de tweede alinea bedoelde maatregelen, en gaan met name niet over tot het blokkeren, vertragen, wijzigen, beperken of degraderen van, interfereren met of discrimineren tussen specifieke inhoud, toepassingen of diensten, of specifieke categorieën daarvan, behalve indien — en slechts zolang — dit nodig is om: …
b) de integriteit en de veiligheid van het netwerk, van de diensten die via dit netwerk worden aangeboden en van de eindapparatuur van de eindgebruikers te beschermen;
…

In die tweede alinea staan aangegeven dat als providers maatregelen opleggen, hiervoor geldt dat deze

transparant, niet-discriminerend en evenredig [moeten] zijn, en mogen zij niet berusten op commerciële overwegingen, maar op objectief verschillende technische kwaliteitsvereisten van specifieke categorieën verkeer berusten.

Samen lezend mag een provider dus maatregelen nemen vanuit het oogpunt van integriteits- en veiligheidsborging van het netwerk wanneer deze:

  1. Specifiek gericht zijn op integriteit en veiligheid
  2. Transparant zijn – het moet dus duidelijk zijn wat er gebeurt en waarom
  3. Niet-discriminerend zijn – alle klanten moeten gelijk behandeld worden in gelijke situaties, dus niet de een een waarschuwing en de ander meteen afgesloten
  4. Evenredig zijn – niet verder gaan dan nodig voor het doel, dus liever de mail tegengehouden dan de gehele internettoegang verbroken
  5. Gebaseerd zijn op objectieve kwaliteitseisen – een duidelijke manier om te zeggen of een mail spam is of niet.

Het blokkeren van uitgaande mails vanaf consumentencomputers naar mailservers van derden is al vele jaren gemeengoed in de strijd tegen spam. Het komt nogal eens voor dat computers van mensen worden gekaapt om vanaf hun computer spam te versturen via mailservers van derden. Die gaan daar dan over klagen bij antispamdiensten, en die blokkeren dan de IP-adressen van de betreffende internetproviders. Dus heel kort door de bocht, als Ziggo dit soort maatregelen niet neemt dan kan geen enkele klant straks nog mail naar andere internetproviders of maildienstverleners krijgen vanwege alle spamzwartelijsten waar Ziggo dan op komt.

Een duidelijke behoefte vanuit het beschermen van netwerk en dienstverlening zie ik dus wel. De transparantie had wat beter gekund, dit issue speelt al langer en het blijft moeilijk duidelijke informatie hierover te vinden bij Ziggo. De objectiviteit en niet-discriminerendheid lijkt me ook wel in orde, dit is een automatische blokkade die niet op de persoon speelt.

Voor mij hangt het dan op de kwestie van evenredigheid. Is het echt nodig om zo ver te gaan dat je preventief de smpt-poort blokkeert? Is er geen alternatief, bijvoorbeeld pas blokkeren bij grote aantallen of ongebruikelijke soorten mails? Technisch vast wel, maar dat vereist extra inspanningen om te bouwen en de vraag is of dat het waard is.

Daar komt dan bij dat Ziggo wél toestaat dat je via andere poorten mail verstuurt via diensten van derden, met name via beveiligde poort 465 (wat nu 587 moet zijn). Dus er lijkt een reëel alternatief te zijn. En dan denk ik dat het alles bij elkaar wel mag. Er is een duidelijke objectieve reden, er is een reëel alternatief voor de gebruiker en voor Ziggo zou het veel werk zijn om het probleem anders op te lossen. Dat past binnen de strekking van deze uitzondering op netneutraliteit.

Arnoud

Autoriteit Persoonsgegevens beboet Uber voor te late melding datalek

Geplaatst op in Privacy, 7 reacties

Taxibedrijf Uber heeft een boete van 600.000 euro gekregen van de Autoriteit Persoonsgegevens. Dat meldde Tweakers eerder deze week. Uber was te laat met het melden van een datalek, dat de gegevens van 174.000 Nederlandse klanten en chauffeurs betrof. De boete is lager dan je onder de AVG zou verwachten, maar dat komt omdat het datalek onder de oude Nederlandse wet werd uitgedeeld. Verrassend daarbij is dat de hostingpartij van Uber eveneens aangesproken wordt, en wel als zelfstandig verantwoordelijke. Dit terwijl gewoonlijk hosters juist als verwerker worden gezien die de data beheren in opdracht van hun klanten.

Het meest opmerkelijke aspect van het lek vond ik nog dat Uber bewust het lek onder de pet hield: de hackers die het datalek hadden gevonden, kregen een ton in dollars betaald om het maar geheim te houden. Dat is nou net niet de bedoeling onder de meldplicht datalekken, vandaar dat de boete relatief hoog uitviel. Terecht, wat mij betreft. Ook in Engeland vielen boetes, mede om die reden.

Wat mogelijk nog een dingetje wordt, is dat in het boetebesluit hostingbedrijf UTI eveneens wordt aangesproken voor het datalek. Dit omdat zij (mede)verantwoordelijke is voor de verwerkingen rondom de hosting van de gegevens, waarbij de beveiliging niet op orde bleek. En dat is raar, want de standaardopvatting is dat hosters slechts verwerkers zijn. Ze handelen in opdracht en doen wat de klant zegt, niet meer en niet minder.

In dit geval ging UTI echter wel verder dan gewoon klassiek hosten. Zo nam het bedrijf zelf beslissingen over de beveiliging en de wijze van opslag. Maar het belangrijkste nog is dat UTI en Uber gezamenlijk besloten wat er precies moest gebeuren. Dat is geen klassieke klant/leverancier relatie maar klinkt meer als een strategisch partnerschap. En dan is het niet zo gek dat er een vermoeden ontstaat dat je samen beslist voor welke doeleinden (en met welke middelen) je persoonsgegevens online zet.

Wat volgens mij de doorslag gaf, is dat UTI ook naar buiten trad als de aanbieder van de Uber-app (haar naam stond er in de appstore bij) en zelfstandig besloot hoe om te gaan met het datalek. Dan positioneer je jezelf wel heel erg in de rol van de eindbeslisser. Dat er dan een verwerkersovereenkomst is die wat anders zegt, helpt dan verder niet meer.

Hosters die nu denken, ik sla data op en beslis hoe deze te beveiligen dus ik ben verantwoordelijke, zo snel gaat het niet. Het blijft een afweging uit de totaliteit van omstandigheden. Een hoster die generieke software heeft voor beheer van gegevens en met zijn klant duidelijk afspreekt waar die aan toe is, zal weinig te vrezen hebben. Ook als je zelf je beveiligingsbeleid opstelt – zorg er voor dat de klant dit mag reviewen en er formeel al dan niet mee akkoord gaan, en je komt al een heel eind.

Beheer je clouddiensten of SaaS en bepaal je dus ook precies wat de software gaat doen, dan geldt deze les voor alles dat je aan de software toevoegt. Een klantendag voor elke nieuwe feature (of een stemmingsronde met unanimiteit) gaat te ver, maar zorg er wel voor dat de klant weet wat hij gaat krijgen en daar wat van kan vinden.

Arnoud

Tandartspraktijk krijgt patiëntendatabase niet terug van leverancier, mag dat in Nederland?

Geplaatst op in Ondernemingsvrijheid, 13 reacties

Een Amerikaanse tandartspraktijk heeft patiënten gewaarschuwd voor een mogelijk datalek omdat de softwareleverancier die de patiëntendatabase beheerde die niet wil teruggeven nu het contract is beëindigd, las ik bij Security.nl. Daarmee kan de tandarts de praktijk niet goed voortzetten, en dat is voor de patiënten natuurlijk heel vervelend. Het riep gelijk bij mij de vraag op, zou dat in Nederland / Europa net zo werken, met name gezien de AVG? Die Amerikaanse tandarts moet nu met de licentievoorwaarden betogen dat hij ergens recht op heeft, wat zonder de tekst te kennen geen sterk verhaal is. En oh ja, tentamenvraag, is dat een datalek, je database niet terugkrijgen?

Om maar met die tentamenvraag te beginnen, die is te makkelijk: ja, dat is een datalek – als je geen backup hebt. Onder een datalek of eigenlijk “inbreuk op de beveiliging” rekent de AVG ieder incident dat leidt tot ongeoorloofd gebruik maar ook verlies van persoonsgegevens. Het achterliggende idee is dat je als betrokkene – hier dus patiënt – je rechten jegens de verantwoordelijke niet goed kunt uitoefenen door zulk verlies. In dit geval, je kunt je patiëntgegevens niet inzien, je kunt niet (of veel moeilijker) bewijzen dat je hebt betaald of juist dat afgesproken is dat je niet hoefde te betalen voor iets. Als je er last van hebt, dan is het een datalek.

Stel nu even dat dit allebei Europese partijen waren geweest. Ook dan had dit de uitkomst van de zaak kunnen zijn, puur afgaande op de contractuele afspraken. Bij een business-to-business contract is het immers goed mogelijk om te zeggen, als de dienst eindigt dan gooit de dienstverlener de data weg. Dat dat onhandig is voor de klant, is iets dat die maar vooraf had moeten bedenken en een artikel over had moeten opnemen.

De AVG maakt dit niet anders. Die zegt alleen dat je inderdáád zo’n artikel had moeten opnemen in de verwerkersovereenkomst (art. 28 lid 3 punt g AVG). Maar heb je dat artikel niet, dan staat er in de AVG geen zelfstandige plicht waar je op terug kunt vallen als tandarts. Je hebt dan dus een héél serieus probleem, want je bent niet AVG compliant op meerdere punten (je data is niet gezekerd, je hebt een datalek, je verwerkersovereenkomst rammelt, je artikel 5-compliance is mislukt). Afspraken maken dus, en tot die tijd geen data bij die provider stallen.

Zelfs als je die afspraak wel hebt, is het erg nuttig om alsnog te borgen dat je daadwerkelijk een kopie van de data ergens hebt. Want alle mooie contractuele frases ten spijt, dingen kunnen kwijt raken of ontoegankelijk worden (denk faillissement, mega-grote brand, dikke vinger, ruzie over betalingen) en dan heb je precies hetzelfde probleem.

Toegang tot data regel je praktisch, niet alleen juridisch.

Arnoud

Komt een man met een knots geheime documenten bij Facebook halen

Geplaatst op in Regulering, 17 reacties

Dat Engelse recht heeft toch wel zo z’n charme. Het Britse parlement heeft van uitzonderlijke bevoegdheden gebruik gemaakt om interne papieren van Facebook te bemachtigen die info bevatten over de zaak-Cambridge Analytica, las ik bij Tweakers. Eén daarvan was dat de Serjeant at arms van het Parlement fysiek langs ging bij deze meneer, en dat is opmerkelijk want deze is bevoegd met een knots (de Royal Mace) op te treden als dat noodzakelijk is. Gelukkig bleek lijfsdwang genoeg om de documenten te verkrijgen. Maar de juridische vraag blijft, hoezo mag het Britse parlement Amerikaanse geheime documenten ophalen bij een Amerikaan?

Nou, omdat ‘ie in Engeland was, natuurlijk. Rechtsmacht kan soms zo simpel zijn als “je bent hier, dus doe wat ik zeg”. Zeker als je een Royal Mace in je knuist mag houden als je dat zegt. Helaas maken de Engelse publicaties over de zaak niet precies duidelijk op welke wat de bevoegdheid is gebaseerd, maar ik geloof onmiddellijk dat er zo’n bevoegdheid is gezien de brede macht die het Britse parlement onder de wet heeft.

Natuurlijk botst zo’n inbeslagname met het Amerikaans recht waaronder de documenten zijn verkregen. Ze waren in bezit van de Amerikaanse startup Six4Three, dat in een rechtszaak met Facebook gewikkeld is en in het kader van discovery toegang had gekregen tot geheime documenten van Facebook. Zo werkt dat in de VS: bij een rechtszaak moet je alle relevante informatie, bedrijfsgeheim of niet, aan de wederpartij geven. Doe je dat niet, dan ga je de cel in – contempt of court. (De Amerikaanse bailiff heeft dan weer geen ceremoniële knots maar wel een heel dik pistool.)

Als je een geheim document hebt gekregen in discovery, dan moet je het natuurlijk wel geheimhouden en alleen gebruiken voor die rechtszaak. En dat is ook waarom Facebook nu protesteert; het gebruik door het Parlement is natuurlijk een heel ander soort dan waarvoor zij het – in de VS ook nog – hadden verstrekt aan Six4Three. Maar dat is een probleem tussen Facebook en haar wederpartij in die rechtszaak, het Britse parlement is niet gebonden aan Amerikaanse procesrechtelijke voorwaarden.

In Nederland zou in principe zoiets ook kunnen door gebruik te maken van de bevoegdheden van de Autoriteit Persoonsgegevens. Artikel 5:20 Awb bepaalt namelijk:

1. Een ieder is verplicht aan een toezichthouder binnen de door hem gestelde redelijke termijn alle medewerking te verlenen die deze redelijkerwijs kan vorderen bij de uitoefening van zijn bevoegdheden.
2. Zij die uit hoofde van ambt, beroep of wettelijk voorschrift verplicht zijn tot geheimhouding, kunnen het verlenen van medewerking weigeren, voor zover dit uit hun geheimhoudingsplicht voortvloeit.

Er is dus maar héél weinig ruimte om te weigeren een document af te geven, en het is zeer de vraag of een Amerikaanse geheime discoveryprocedure valt onder dat lid 2. Dus in Nederland had dit ook zo gekund. (Wij hebben niets dat in de buurt komt van de Royal Mace maar twee potige politieagenten in je hotelkamer zal natuurlijk ook erg overtuigend werken.) En in theorie ook wanneer ons Parlement een Parlementaire Enquête had uitgevoerd, want heel simpel staat in artikel 6 lid 1 Wet op de Parlementaire Enquête:

De commissie kan inzage in, afschrift van of kennisneming op andere wijze van documenten vorderen.

En dat geldt nadrukkelijk óók als je daardoor in de knel komt met je wettelijke geheimhouding (artikel 15). Wel kan de enquêtecommissie besluiten om het document vertrouwelijk te behandelen of om de gesprekken erover achter gesloten deuren te voeren.

Puur juridisch gezien is er dus niets opvallends aan. Zo’n hoog instituut als het Parlement behoort vele bevoegdheden te hebben gezien de aard van hun onderzoek en macht. Maar het blijft een smeuïg verhaal natuurlijk.

Arnoud

Als je in je Tesla de Autopilot aanzet, blijf je gewoon bestuurder (en daar was een rechtszaak voor nodig?)

Geplaatst op in Ondernemingsvrijheid, 15 reacties

De rechter van de rechtbank Midden-Nederland heeft bepaald dat de persoon achter het stuur van een Tesla ondanks het gebruik van het Autopilot-systeem als feitelijke bestuurder van het voertuig is aan te merken. Dat las ik bij Tweakers vorige week. Tesla-bezitter Vincent Evers was vanwege een verkeersboete naar de rechter gestapt omdat hij deze onterecht was. Weliswaar had hij zijn telefoon vast, maar hij was niet de bestuurder van de Tesla nu die in de Autopilot-stand stond. Nee, leek mij ook geen sterk verhaal en het verrast geen seconde dat het afgewezen is.

De term ‘Autopilot’ vind ik al vanaf het begin dubieus (en met mij de Duitse minister van transport). Het suggereert dat de auto volledig automatisch bestuurd wordt zodat je als mens achter het stuur je verantwoordelijkheid compleet kunt opgeven. Ongeveer zoals een vliegtuig op de automatische piloot kan vliegen en zelfs landen zonder dat er een mens nodig is.

De technologie is bij lange na niet zo ver. Ja, hardwarematig heeft een Tesla alles aan boord om niveau 5 volledig autonoom te rijden, maar dat is niet het moeilijke stuk. Dat de auto uit zichzelf kan remmen, versnellen en sturen is mooi, maar het gaat om bepalen wannéér je dat gaat doen en waarom. En dat kan een Tesla nog bepaald niet. Dat zegt Tesla zelf ook, getuige hun site:

Bij gebruik van Autopilot moet de bestuurder altijd zelf opletten en actief blijven en gereed zijn elk moment in te grijpen.

Met die omschrijving kun je hooguit zeggen dat je handen- en voetenwerk wat ontspannener wordt tijdens de rit, maar niet dat de auto volledig zelfstandig rijdt. Oh en detail, als je drie keer niet reageert op een signaal van de Autopilot dan schakelt deze zichzelf uit. Zeer autonoom, inderdaad.

En daarmee is er geen reden om de mens in de auto anders aan te merken dan de bestuurder, volgens de wet:

bestuurder van een motorrijtuig: degene die het motorrijtuig bestuurt of degene die, overeenkomstig de bij algemene maatregel van bestuur gestelde voorwaarde, wordt geacht het motorrijtuig onder zijn onmiddellijk toezicht te doen besturen;

Vanwege dat continu vereiste toezicht en opletten is dat voor mij volkomen evident. Niet gek dus dat het vonnis hem gewoon schuldig verklaart aan het vasthouden van een telefoon als bestuurder.

Meer algemeen vind ik het raar om zoiets bij de rechter te brengen: de keuze of autonome auto’s de weg op mogen, is immers een politieke, die vraag ligt bij de wetgever. De rechter toetst alleen maar binnen het huidige stelsel, en het doet dan ook raar aan om aan de rechter te vragen een buitenwettelijke situatie legaal te verklaren.

Arnoud

Hoe ICT-vaardig zijn rechters vandaag de dag (en waarom dat er eigenlijk niet toe doet)

Geplaatst op in Informatiemaatschappij, 24 reacties

Een lezer vroeg me:

Je blog van dinsdag triggerde me: hoe ICT_vaardig zijn rechters nu eigenlijk echt anno 2018? Hoe kun je nu een domeinnaamhouder ‘hoster’ noemen van welke informatie dan ook? Ik zie zulke dingen vaker, en maak me daar zorgen over. Hoe zie jij dat, en hoe gaat dat nu in de praktijk met ICT-zaken?

Het blijft een terugkerend thema, de ICT-vaardigheden van rechters in Nederland wanneer het gaat over rechtszaken waarbij ICT een centrale rol speelt. Berucht is de anekdote “Wie is Ed“, als reactie van een rechter op een advocaat die het e-mailadres [email protected] voorleest bij pleidooi. En op menig advocatenborrel doen er tientallen van zulke verhalen de rondte. Maar -zo valt me dan op- altijd is het een collega overkomen en worden er geen namen bij genoemd.

Waar we nu echt staan anno 2018, is natuurlijk erg moeilijk te beantwoorden, omdat er (voor zover ik weet) geen onderzoek naar is gedaan. Je komt dus niet verder dan algemeenheden (ze hebben een academische achtergrond, krijgen continu opleiding maar zijn relatief oud) en dat schiet natuurlijk weinig op. Ook hoor ik wel argumenten als dat rechters vaak meer weten dan ze laten merken, om zo de partijen (of de verdachte, in strafzaken) uit de tent te lokken om meer informatie te krijgen over wat er nu precies gebeurd is.

Voor mij staat echter voorop dat een rechter helemaal geen ICT-specialist hoeft te zijn. Net zo min als hij verstand van huizenbouw hoeft te hebben om te bepalen of een aannemer aansprakelijk is voor een slecht dak. Er komt dan een deskundige die wél verstand heeft van huizenbouw, of liever nog specifiek van constructietechnieken voor houten balken bovenop een bakstenen muur om een betonnen dak te schragen. En die kan dan uitleggen waarom de aannemer het goed dan wel slecht heeft gedaan. Is de andere partij het daar niet mee eens, dan zet die er een andere deskundige tegenover. En dan kom je bij waar rechters goed in zijn: verklaringen en bewijs tegenover elkaar zetten en afwegen om tot een conclusie te komen.

Ik vind dat een beter systeem dan rechters die zelf gaan verzinnen hoe het zit, want daar kun je als partij niet op toetsen. Een deskundigenverklaring kun je aanvallen of van tegenbewijs voorzien. En dat is uiteindelijk hoe een rechtszaak moet gaan: partijen komen met verklaringen en bewijs, en de rechter weegt dat af.

Arnoud

Mag Wetransfer blaffen naar “veiliger alternatief” Skotty?

Geplaatst op in Uitingsvrijheid, 12 reacties

Eindhovense startup Skotty laat je veilig e-mailen en bestanden delen, las ik bij RTL Z. En iets later op Twitter dat Wetransfer er boos over is: WeTransfer stuurt vanuit het niets met dreigende taal een jurist op me af vanwege dit. Wat raar, mag je dan niet meer zeggen dat jouw dienst een privacyvriendelijker Wetransfer-achtige dienst wil zijn?

Het voelt een beetje alsof een AI legal assistant het nieuws monitort en aanslaat op berichten waarin het bedrijf wordt genoemd, want wie het artikel leest zal niet snel concluderen dat Wetransfer de grootste datadief is sinds Facebook.

Het lijkt erop dat het datatransferbedrijf boos werd over passages als deze:

Veilig e-mailen en bestanden delen zonder dat anderen mee kunnen gluren. Dat is het doel van de Eindhovense startup Skotty, dat nu voor iedereen te gebruiken is. “We willen een veilige, privacyvriendelijke WeTransfer-achtige dienst zijn.”

Skotty noemt natuurlijk Wetransfer omdat het de bekendste naam is, en omdat zijn dienst een duidelijk onderscheidend kenmerk heeft met de focus op veiligheid. Ik haal nergens uit het artikel dat hij specifieke twijfels bij Wetransfer heeft, en als Europees bedrijf heeft Wetransfer de AVG-zaakjes ongetwijfeld prima op orde. En ik zie een slotje bij Wetransfer, dus dat zal ook wel goed zitten.

Desondanks zijn er vele niveaus van veiligheid, en als je als Skotty in wilt zetten op een hoger niveau, dan is het volkomen gerechtvaardigd om in je marketing te zeggen dat je veiliger bent dan. Dat betekent niet dat Wetransfer onveilig is, het betekent dat jij nóg veiliger wilt zijn.

Mijn nekharen gaan wel overeind staan van een bedrijf dat bij twijfels over hun veiligheid naar de blaffende jurist grijpt in plaats van vanuit zelfvertrouwen te staan achter het product. Ik ken die tactiek namelijk alleen bij bedrijven die malafide zijn, en begrijp dan ook totaal niet waarom Wetransfer dit zou doen. Dit kan toch niet anders dan averechts werken?

Arnoud

Is misbruik van de GDPR een probleem van de GDPR?

Geplaatst op in Privacy, Uitingsvrijheid, 7 reacties

Boos bericht bij Techdirt: in Roemenië wordt misbruik van de AVG (GDPR) gemaakt om een journalistencollectief de mond te snoeren, en dat is een probleem van de AVG want zonder AVG had dit niet gekund. Of zoiets. Het leest als een stuk flamebait, maar ik kan de boosheid van de journalist wel begrijpen want de AVG kent specifieke uitzonderingen voor journalistiek en dan komen ze juist bij de journalisten uit met een (gedreigde) boete van 20 miljoen euro. Dat hoort niet te kunnen. Maar ik zie het als een probleem met de rechtsgang, en niet met de AVG specifiek.

Het achterliggende verhaal is wat moeilijk bij elkaar te puzzelen, maar in de kern komt het hierop neer. In Roemenië is journalistencollectief OCCRP bezig een corruptieschandaal aan te tonen. Men kreeg genoeg bewijs bij elkaar om de European Anti-Fraud Office er naar te laten kijken en een strafrechtelijk onderzoek in het land zelf op te laten starten. Dat suggereert een behoorlijk stevig en betrouwbaar onderzoek.

Na publicatie van resultaten kreeg de partner van OCCRP het Rise Project een sommatie van de Roemeense privacytoezichthouder: een betrokkene heeft een inzageverzoek bij u gedaan en u moet daar gehoor aan geven, op straffe van een boete van 20 miljoen Euro. Het inzageverzoek moet ook de documenten betreffen waar de journalisten bronbescherming op claimen. Niet verrassend: de betrokkene is een van de hoofdrolspelers in het corruptieschandaal. Wel verrassend: de voorzitter van de Roemeense toezichthouder komt uit de partij van diezelfde hoofdrolspeler en zou ook lijntjes naar het corruptieschandaal hebben.

Het theoretische antwoord is natuurlijk simpel. De journalisten hoeven hier geen gehoor aan te geven, omdat bij publicaties voor journalistieke doeleinden veel rechten uit de AVG niet gelden. Dat staat letterlijk zo in de AVG, en komt terug in de Roemeense Uitvoeringswet AVG als een tekstueel duidelijke uitzondering (artikel 7): inzage en verwijdering geldt niet bij journalistieke doeleinden. De iets breder onderlegde journalist zal wijzen op jurisprudentie over bronbescherming als fundamenteel recht, en eenvoudig betogen dat het inzagerecht zich daar niet tot zal uitstrekken (bijvoorbeeld via artikel 15 lid 4, rechten van anderen).

Praktisch gezien zit het Project met een enorm probleem: een dreigende boete van 20 miljoen wanneer ze niet gewoon die gegevens verstrekken. Want op papier klinkt dit allemaal leuk maar als de toezichthouder het anders ziet, dan heb je een héél duur traject om tot je gelijk te komen. Zelfs als iedereen vanaf de zijlijn roept dat je dit gewoon gaat winnen.

Is dit nu een probleem met de AVG, zoals Techdirt-auteur Masnick betoogt? Want de AVG is zo een heel bot instrument om onwelgevallige journalistiek de mond te snoeren. Ook al heb je op papier gelijk, de boete is zo hoog dat iedereen toch wel inbindt. Chilling effect, noemen de Amerikanen dat. Onrecht dat blijft bestaan ondanks dat het wettelijk niet hoort te bestaan.

Mij lijkt van niet. Zeker is het een probleem, maar het probleem zit hem in de praktische gang naar de rechter. Als een organisatie niet de mogelijkheid heeft zich effectief te verweren tegen een dreigende boete van 20 miljoen op grond van argumenten die gezien de wet evident overtuigend zijn, dan heb je geen effectieve rechtsstaat. Dat die boete van 20 miljoen uit de AVG komt, is dan niet meer dan bijzaak. Voor hetzelfde geld kan de eiser anders een smaadclaim construeren, zijn auteursrecht geschonden zien of interferentie met parlementaire privileges of welk bogus argument dan ook aandragen.

Dat maakt de zaak niet minder ergerlijk of fout natuurlijk.

Arnoud

Hoe groot mag een beeldcitaat anno 2018 zijn?

Geplaatst op in Intellectuele rechten, 8 reacties

Een lezer vroeg me:

Bij een nieuw project wil ik afbeeldingen en stukjes tekst van andere websites gebruiken. Ik wil dat graag netjes als citaat doen, maar klopt het echt dat je anno 2018 nog steeds aan die grens van 194×145 pixels zit? Dat is toch vandaag de dag te bizar voor woorden, dat is kleiner dan zelfs een Facebook-thumbnail!

Volgens de Auteurswet mag je inderdaad afbeeldingen of tekst van een ander overnemen binnen de grenzen van het citaatrecht. Denk aan het tonen van een screenshot bij een bespreking van een website, of een stukje tekst met een “lees meer bij” link bij wijze van aankondiging wat je bij die bron kunt gaan lezen. Of het overnemen van teksten om daarop te kunnen reageren.

Het citaatrecht geldt ook voor beeld. Je mag dus ook een foto of zelfs bewegend beeld overnemen zonder toestemming (maar met bronvermelding) wanneer je dat binnen de grenzen van het citaatrecht kunt rechtvaardigen. Belangrijkste daarbij is de inhoudelijke reden, waarom neem je dat beeld over? Bespreken van het beeld is een evidente reden, maar ook aankondigen of bespreken van iets dat direct aan het beeld gerelateerd is, is een reden. Dat screenshot van de website bijvoorbeeld illustreert de website die je gaat behandelen. Dat mag.

De eis is wel dat je niet meer dan nodig mag overnemen. En dat is waar die 194×145 een rol speelt: dat is in 2007 ooit goedgekeurd als “nodig” voor een huizenzoekmachine. Die liet op Funda te koop staande huizen zien inclusief een overgenomen afbeelding van dat formaat. De rechter vond het een geldig beroep op citaatrecht om die foto te laten zien, want zo krijg je snel een indruk van het te koop staande huis en kun je beslissen naar de bron te gaan. Dat is dan aankondigen van de bron.

Die 194×145 was echter nooit bedoeld als algemene grens. De rechter wilde alleen bevestigen dat de gekozen omvang van het thumbnailtje in orde was, en noemde daarom letterlijk de omvang van de duimnagel. Maar de wet blijft functioneel: niet meer dan nodig voor het beoogde gebruik.

Als je dus zegt, anno 2018 is het echt nodig om een huizenfoto van 640×480 te tonen anders lukt het niet, dan is een beeldcitaat van 640×480 dus legaal. Meen je dat bij jouw doelgroep een fullscreen-afbeelding van 1920×1080 pixels nodig is, dan kun je dat inzetten. Natuurlijk heb je wel een héél stevig verhaal nodig waarom dat dan nodig is, want de wederpartij zal erop wijzen dat er genoeg sites zijn met 200×200 pixel thumbnails zodat dat dus kennelijk de norm is. Zelf zou ik geen argument weten om boven de zeg 640×480 pixels uit te komen.

Arnoud

Een domeinnaamhouder kan worden aangesproken op gedrag van de website-eigenaar

Geplaatst op in Intellectuele rechten, 42 reacties

Het is uitzonderlijk, maar het kan: als domeinnaamhouder aansprakelijk gesteld worden voor wat de gebruiker van je domeinnaam doet. Dat maak ik op uit een recent vonnis van de rechtbank Midden-Nederland. Zoals eigenlijk altijd in het recht is niets absoluut, ook niet de regel dat je als domeinnaamhouder geen bemoeienis en dus geen aansprakelijkheid hebt met wat de beheerder van de daaraan gekoppelde site vervolgens doet. Alles hangt af van de omstandigheden van het geval – een ergerlijke omschrijving, maar wel eentje waar we het mee moeten doen.

De eisers in deze zaak waren ondernemers, die op een website achter een specifieke domeinnaam ineens artikelen lazen waarin zij in verband werden gebracht met ernstige misdrijven, waaronder moord. In de artikelen stonden hun namen en adressen en hun onderneming en er werden foto’s van ze getoond. Als je zoiets gebeurt, dan is het logisch dat je allereerst kijkt op de site zelf – maar daar stonden geen duidelijke contactgegevens.

Contactgegevens vind je vaak wel bij de domeinnaam, omdat daar een openbaar register van is waar dat in staat. In dit geval ging het om een .nl domeinnaam, zodat men via het SIDN register uitkwam bij de gedaagde partij. Die verweerde zich met het argument dat hij niet aansprakelijk is, omdat hij de inhoud niet zelf had geplaatst en niet aansprakelijk gehouden kan worden voor wat zijn klanten (de domeinnaam-huurder in dit geval) doen met websites achter die domeinnaam.

Dat principe gaat inderdaad op als hoofdregel, maar zoals elke hoofdregel in het recht zijn daar uitzonderingen op. In dit geval is dat het feit dat je als hostingprovider (wat een DNS-aanbieder kennelijk is, de rechter oordeelt dat vrij makkelijk) gehouden bent een effectieve notice/takedown procedure te voeren. Bij klachten over inhoud als deze zul je als hoster op zijn minst verhaal bij je klant moeten gaan halen. De klacht naast je neerleggen en een video terugmailen met een sketch uit de serie “Little Britain” met het thema “computer says no” terugsturen lijkt me op geen enkele manier een redelijke NTD procedure te noemen.

Omdat de hoster geen effectieve NTD voerde, is hij aansprakelijk voor de schade als gevolg van de onrechtmatige publicatie vanaf het moment dat hij daarop werd gewezen. Zeker nu er geen werkelijke auteur in beeld is, is dat ook niet meer dan redelijk wat mij betreft. De domeinnaambeheerder moet nu zorgen dat de betreffende artikelen ontoegankelijk wordt (regel het maar met je klant, je hebt er een zootje van gemaakt, maar dan in juridische taal) en als dat niet gebeurt dan moet hij de gehele website offline halen (en dan schadeclaims over en weer over wanprestatie met zijn klant gaan oplossen, zijn probleem).

En mocht dat alles geen effect hebben, zelfs niet met dwangsommen, dan wordt het vonnis aangemerkt als een verzoek door de domeinnaamhouder om deze offline te halen. Daarmee kunnen de eisers dan terecht bij SIDN, die dat vervolgens uit zal voeren. (Dit is de Nederlandse vertaling van “een gerechtelijk bevel”.)

Arnoud