Volgen van telefoongebruikers met wifi-tracking mag alleen bij uitzondering

Geplaatst op in Ondernemingsvrijheid, Privacy, 17 reacties

De Nederlandse Toezichthouder laat weten dat het volgen van mensen in openbare ruimten via wifi-tracking alleen bij hoge uitzondering is toegestaan, las ik bij Tweakers. Dergelijk volgen is een diepe inbreuk op de privacy, en onder de AVG zal het niet meevallen daar een degelijke en rechtmatige motivatie voor te geven. Toestemming valt sowieso af, en de belangenafweging bij het eigen legitiem belang zal -aldus de toezichthouder- slechts in uitzonderlijke gevallen in het voordeel van de wifivolger uitpakken.

Bij wifi-tracking wordt het signaal van mobiele telefoons gebruikt om groepen mensen in de gaten te houden. In de praktijk gebruiken bedrijven deze techniek bijvoorbeeld in en rond winkelcentra of andere (semi-)openbare plekken. Meestal gaat het dan om via Bluetooth verkregen gegevens, maar ook Wifi signalen kunnen worden gebruikt om tot een identifier te komen. Daarmee kun je locatie of zelfs gedrag van personen bijhouden, wat handig kan zijn om bv. de effectiviteit van de schappen in je winkel te bepalen.

Dergelijk volgen is natuurlijk een vorm van verwerken van persoonsgegevens. Je houdt bij waar iemand is, en koppelt daar informatie aan. Natuurlijk weet je niet hoe die persoon heet of hoe hij of zij te bereiken is, maar dat maakt onder de AVG niet uit. Het door jou toegekende rugnummer (bv. een hash van het MAC-adres van de telefoon) is de identiteit van die persoon. Dat getal is immers genoeg voor jou om iets te doen met die persoon, dus daarmee heb je die persoon geïdentificeerd.

Als je persoonsgegevens verwerkt, dan moet je daar een grondslag voor hebben. De meeste mensen denken dan aan toestemming, maar in de praktijk heb je daar bar weinig aan. Er gelden zware voorwaarden om die te krijgen, en hij is zo in te trekken zonder dat je daar consequenties aan mag verbinden. En een bordje bij de ingang “U wordt gevolgd” is géén manier om toestemming te krijgen.

In de praktijk zul je het dus moeten gooien op wat heet een eigen legitiem belang. Een belang dat maatschappelijk aanvaard is, zoals beveiliging of marketing, en waarbij je ook nog eens kunt laten zien dat in jouw geval dit zwaarder weegt dan de privacy van de mensen die je volgt.

De AP suggereert in het persbericht dat zo’n belang niet snel op zal gaan:

Er zijn vrijwel geen redenen die het volgen van winkelend publiek of reizigers rechtmatig maakt. Bovendien zijn er minder ingrijpende methoden om hetzelfde doel te bereiken, zonder schending van de privacy.

Dat is inderdaad formeel de toets van de belangenafweging, kan het met minder en kan het ook anders. Als dat zo is, dan moet het anders. Ik moet wel zeggen dat ik weinig andere manieren kan bedenken om te meten hoe groepen mensen zich gedragen op een terrein, in ieder geval met ongeveer dezelfde effectiviteit en inzichtelijkheid.

Voor gemeentes en andere overheden is de AP nog strenger: die mogen zich van de AVG namelijk niet op zo’n eigen belang beroepen. Een gemeente moet een wettelijke regeling hebben uitgewerkt waarin staat wat men meet, waarom en voor hoe lang. Dat kan bijvoorbeeld in de APV.

De bezorgdheid achter deze opstelling lijkt te zijn dat bedrijven daarmee die mensen vervolgens commercieel gaan profileren – u loopt hier al de hele dag, u wilt nu water kopen, we doen de prijs even drie keer over de kop. Dat voelt wat voorbarig, voor zover ik weet gaat het op dit moment eigenlijk alleen om testen waar mensen graag willen zijn en welke stands, reclames en dergelijke goed bevallen. Dat lijkt me meer een statistisch onderzoeksdoel dan een plat commercieel doel. Maar ik kan me vergissen.

Arnoud

Starbucks gaat porno blokkeren op zijn gratis wifi

Geplaatst op in Ondernemingsvrijheid, 30 reacties

Na jaren van protestacties heeft Starbucks in de VS besloten om porno te blokkeren op de gratis wifi-netwerken in zijn koffiezaken. Dat las ik bij RTL Nieuws vorige week. De koffieketen staat al jaren onder druk van de bezorgde burgers van ‘Enough Is Enough’, die fel tegen porno is en bedacht heeft dat Starbucks wezenlijke invloed daarop kan uitoefenen. Starbucks gaat nu overstag, waarschijnlijk vanuit bezorgdheid om haar reputatie – ik zag het argument “veroordeelde zedendelinquenten gaan dan ook in de Starbucks porno kijken” en dan wordt het ongezellig. Wel vooralsnog alleen in de VS, maar het riep toch de vraag op hoe dit bij ons zou uitpakken. Is dat niet in strijd met netneutraliteit?

Netneutraliteit is het beginsel dat alle internetverkeer gelijk moet worden behandeld. Er mag geen onderscheid op afkomst of inhoud worden gemaakt, behalve in een beperkte set situaties zoals netwerkbeveiliging of een wettelijke plicht. Een internetprovider mag dus geen toeslag vragen voor bijvoorbeeld internetbellen, maar mag ook geen blokkades opwerpen tegen ongepast (maar legaal) internetverkeer zoals pornografie.

In Nederland hadden we als tweede land ter wereld een wet die netneutraliteit regelde. Daarbij was lange tijd onduidelijk of dit nu gold voor iedereen die een ander op internet liet, of alleen voor ‘echte’ internetproviders die het algemene publiek toelieten.

De Europese Verordening op dit gebied die tegenwoordig geldt, lijkt duidelijk genoeg:

Aanbieders van internettoegangsdiensten behandelen bij het aanbieden van internettoegangsdiensten alle verkeer op gelijke wijze, zonder discriminatie, beperking of interferentie, en ongeacht de verzender en de ontvanger, de inhoud waartoe toegang wordt verleend of die wordt verspreid, de gebruikte of aangeboden toepassingen of diensten, of de gebruikte eindapparatuur.

Echter, een ‘aanbieder’ wordt in het vorige artikel gedefinieerd als een “onderneming die openbare communicatienetwerken of openbare elektronische communicatiediensten aanbiedt”. Een koffieketen zoals Starbucks voldoet niet aan die omschrijving, omdat hun netwerk en dienst alleen toegankelijk is voor het beperkte publiek dat haar cafés bezoekt. Dus ja, dit zou mogen.

Wel denk ik dat Starbucks dit expliciet moet melden, omdat anders een essentieel aspect van de geboden dienst (koffie met internet) ontbreekt. Dit vanuit de algemene informatieplichten die je als winkelier hebt. Ik weet alleen niet goed hoe je dát bordje zou moeten formuleren.

Arnoud

Mag je internetprovider poort 25 blokkeren van de netneutraliteitswet?

Geplaatst op in Regulering, 47 reacties

Port 25 is geblokkeerd en ik wil niet mailen over de ziggo mailservers, zo begon een discussie op het Ziggo communityforum. De topicstarter wil graag via zijn Ziggo-account het internet op om daar mails aan te bieden aan een externe internetprovider, maar dat lukt niet tenzij hij de mails aan een Ziggo-mailserver aanbiedt, die het dan filtert en doorgeeft. (Voor de techneuten: outbound port 25 is geblokkeerd.) Volgens de helpdesk is dit vanwege spamproblemen die je anders krijgt. Dus dan wordt de vraag, hoe ver mag een internetprovider daarin gaan?

In 2011 trad de wet netneutraliteit in werking, waarin strenge regels stonden die in principe internetproviders verboden om uitgaand internetverkeer zomaar te blokkeren. Echter, in 2015 trad de Europese netneutraliteitsverordening in werking, met een iets andere tekst:

Aanbieders van internettoegangsdiensten treffen geen verkeersbeheersmaatregelen die verder gaan dan de in de tweede alinea bedoelde maatregelen, en gaan met name niet over tot het blokkeren, vertragen, wijzigen, beperken of degraderen van, interfereren met of discrimineren tussen specifieke inhoud, toepassingen of diensten, of specifieke categorieën daarvan, behalve indien — en slechts zolang — dit nodig is om: …
b) de integriteit en de veiligheid van het netwerk, van de diensten die via dit netwerk worden aangeboden en van de eindapparatuur van de eindgebruikers te beschermen;
…

In die tweede alinea staan aangegeven dat als providers maatregelen opleggen, hiervoor geldt dat deze

transparant, niet-discriminerend en evenredig [moeten] zijn, en mogen zij niet berusten op commerciële overwegingen, maar op objectief verschillende technische kwaliteitsvereisten van specifieke categorieën verkeer berusten.

Samen lezend mag een provider dus maatregelen nemen vanuit het oogpunt van integriteits- en veiligheidsborging van het netwerk wanneer deze:

  1. Specifiek gericht zijn op integriteit en veiligheid
  2. Transparant zijn – het moet dus duidelijk zijn wat er gebeurt en waarom
  3. Niet-discriminerend zijn – alle klanten moeten gelijk behandeld worden in gelijke situaties, dus niet de een een waarschuwing en de ander meteen afgesloten
  4. Evenredig zijn – niet verder gaan dan nodig voor het doel, dus liever de mail tegengehouden dan de gehele internettoegang verbroken
  5. Gebaseerd zijn op objectieve kwaliteitseisen – een duidelijke manier om te zeggen of een mail spam is of niet.

Het blokkeren van uitgaande mails vanaf consumentencomputers naar mailservers van derden is al vele jaren gemeengoed in de strijd tegen spam. Het komt nogal eens voor dat computers van mensen worden gekaapt om vanaf hun computer spam te versturen via mailservers van derden. Die gaan daar dan over klagen bij antispamdiensten, en die blokkeren dan de IP-adressen van de betreffende internetproviders. Dus heel kort door de bocht, als Ziggo dit soort maatregelen niet neemt dan kan geen enkele klant straks nog mail naar andere internetproviders of maildienstverleners krijgen vanwege alle spamzwartelijsten waar Ziggo dan op komt.

Een duidelijke behoefte vanuit het beschermen van netwerk en dienstverlening zie ik dus wel. De transparantie had wat beter gekund, dit issue speelt al langer en het blijft moeilijk duidelijke informatie hierover te vinden bij Ziggo. De objectiviteit en niet-discriminerendheid lijkt me ook wel in orde, dit is een automatische blokkade die niet op de persoon speelt.

Voor mij hangt het dan op de kwestie van evenredigheid. Is het echt nodig om zo ver te gaan dat je preventief de smpt-poort blokkeert? Is er geen alternatief, bijvoorbeeld pas blokkeren bij grote aantallen of ongebruikelijke soorten mails? Technisch vast wel, maar dat vereist extra inspanningen om te bouwen en de vraag is of dat het waard is.

Daar komt dan bij dat Ziggo wél toestaat dat je via andere poorten mail verstuurt via diensten van derden, met name via beveiligde poort 465 (wat nu 587 moet zijn). Dus er lijkt een reëel alternatief te zijn. En dan denk ik dat het alles bij elkaar wel mag. Er is een duidelijke objectieve reden, er is een reëel alternatief voor de gebruiker en voor Ziggo zou het veel werk zijn om het probleem anders op te lossen. Dat past binnen de strekking van deze uitzondering op netneutraliteit.

Arnoud

Autoriteit Persoonsgegevens beboet Uber voor te late melding datalek

Geplaatst op in Privacy, 7 reacties

Taxibedrijf Uber heeft een boete van 600.000 euro gekregen van de Autoriteit Persoonsgegevens. Dat meldde Tweakers eerder deze week. Uber was te laat met het melden van een datalek, dat de gegevens van 174.000 Nederlandse klanten en chauffeurs betrof. De boete is lager dan je onder de AVG zou verwachten, maar dat komt omdat het datalek onder de oude Nederlandse wet werd uitgedeeld. Verrassend daarbij is dat de hostingpartij van Uber eveneens aangesproken wordt, en wel als zelfstandig verantwoordelijke. Dit terwijl gewoonlijk hosters juist als verwerker worden gezien die de data beheren in opdracht van hun klanten.

Het meest opmerkelijke aspect van het lek vond ik nog dat Uber bewust het lek onder de pet hield: de hackers die het datalek hadden gevonden, kregen een ton in dollars betaald om het maar geheim te houden. Dat is nou net niet de bedoeling onder de meldplicht datalekken, vandaar dat de boete relatief hoog uitviel. Terecht, wat mij betreft. Ook in Engeland vielen boetes, mede om die reden.

Wat mogelijk nog een dingetje wordt, is dat in het boetebesluit hostingbedrijf UTI eveneens wordt aangesproken voor het datalek. Dit omdat zij (mede)verantwoordelijke is voor de verwerkingen rondom de hosting van de gegevens, waarbij de beveiliging niet op orde bleek. En dat is raar, want de standaardopvatting is dat hosters slechts verwerkers zijn. Ze handelen in opdracht en doen wat de klant zegt, niet meer en niet minder.

In dit geval ging UTI echter wel verder dan gewoon klassiek hosten. Zo nam het bedrijf zelf beslissingen over de beveiliging en de wijze van opslag. Maar het belangrijkste nog is dat UTI en Uber gezamenlijk besloten wat er precies moest gebeuren. Dat is geen klassieke klant/leverancier relatie maar klinkt meer als een strategisch partnerschap. En dan is het niet zo gek dat er een vermoeden ontstaat dat je samen beslist voor welke doeleinden (en met welke middelen) je persoonsgegevens online zet.

Wat volgens mij de doorslag gaf, is dat UTI ook naar buiten trad als de aanbieder van de Uber-app (haar naam stond er in de appstore bij) en zelfstandig besloot hoe om te gaan met het datalek. Dan positioneer je jezelf wel heel erg in de rol van de eindbeslisser. Dat er dan een verwerkersovereenkomst is die wat anders zegt, helpt dan verder niet meer.

Hosters die nu denken, ik sla data op en beslis hoe deze te beveiligen dus ik ben verantwoordelijke, zo snel gaat het niet. Het blijft een afweging uit de totaliteit van omstandigheden. Een hoster die generieke software heeft voor beheer van gegevens en met zijn klant duidelijk afspreekt waar die aan toe is, zal weinig te vrezen hebben. Ook als je zelf je beveiligingsbeleid opstelt – zorg er voor dat de klant dit mag reviewen en er formeel al dan niet mee akkoord gaan, en je komt al een heel eind.

Beheer je clouddiensten of SaaS en bepaal je dus ook precies wat de software gaat doen, dan geldt deze les voor alles dat je aan de software toevoegt. Een klantendag voor elke nieuwe feature (of een stemmingsronde met unanimiteit) gaat te ver, maar zorg er wel voor dat de klant weet wat hij gaat krijgen en daar wat van kan vinden.

Arnoud

Tandartspraktijk krijgt patiëntendatabase niet terug van leverancier, mag dat in Nederland?

Geplaatst op in Ondernemingsvrijheid, 13 reacties

Een Amerikaanse tandartspraktijk heeft patiënten gewaarschuwd voor een mogelijk datalek omdat de softwareleverancier die de patiëntendatabase beheerde die niet wil teruggeven nu het contract is beëindigd, las ik bij Security.nl. Daarmee kan de tandarts de praktijk niet goed voortzetten, en dat is voor de patiënten natuurlijk heel vervelend. Het riep gelijk bij mij de vraag op, zou dat in Nederland / Europa net zo werken, met name gezien de AVG? Die Amerikaanse tandarts moet nu met de licentievoorwaarden betogen dat hij ergens recht op heeft, wat zonder de tekst te kennen geen sterk verhaal is. En oh ja, tentamenvraag, is dat een datalek, je database niet terugkrijgen?

Om maar met die tentamenvraag te beginnen, die is te makkelijk: ja, dat is een datalek – als je geen backup hebt. Onder een datalek of eigenlijk “inbreuk op de beveiliging” rekent de AVG ieder incident dat leidt tot ongeoorloofd gebruik maar ook verlies van persoonsgegevens. Het achterliggende idee is dat je als betrokkene – hier dus patiënt – je rechten jegens de verantwoordelijke niet goed kunt uitoefenen door zulk verlies. In dit geval, je kunt je patiëntgegevens niet inzien, je kunt niet (of veel moeilijker) bewijzen dat je hebt betaald of juist dat afgesproken is dat je niet hoefde te betalen voor iets. Als je er last van hebt, dan is het een datalek.

Stel nu even dat dit allebei Europese partijen waren geweest. Ook dan had dit de uitkomst van de zaak kunnen zijn, puur afgaande op de contractuele afspraken. Bij een business-to-business contract is het immers goed mogelijk om te zeggen, als de dienst eindigt dan gooit de dienstverlener de data weg. Dat dat onhandig is voor de klant, is iets dat die maar vooraf had moeten bedenken en een artikel over had moeten opnemen.

De AVG maakt dit niet anders. Die zegt alleen dat je inderdáád zo’n artikel had moeten opnemen in de verwerkersovereenkomst (art. 28 lid 3 punt g AVG). Maar heb je dat artikel niet, dan staat er in de AVG geen zelfstandige plicht waar je op terug kunt vallen als tandarts. Je hebt dan dus een héél serieus probleem, want je bent niet AVG compliant op meerdere punten (je data is niet gezekerd, je hebt een datalek, je verwerkersovereenkomst rammelt, je artikel 5-compliance is mislukt). Afspraken maken dus, en tot die tijd geen data bij die provider stallen.

Zelfs als je die afspraak wel hebt, is het erg nuttig om alsnog te borgen dat je daadwerkelijk een kopie van de data ergens hebt. Want alle mooie contractuele frases ten spijt, dingen kunnen kwijt raken of ontoegankelijk worden (denk faillissement, mega-grote brand, dikke vinger, ruzie over betalingen) en dan heb je precies hetzelfde probleem.

Toegang tot data regel je praktisch, niet alleen juridisch.

Arnoud

Komt een man met een knots geheime documenten bij Facebook halen

Geplaatst op in Regulering, 17 reacties

Dat Engelse recht heeft toch wel zo z’n charme. Het Britse parlement heeft van uitzonderlijke bevoegdheden gebruik gemaakt om interne papieren van Facebook te bemachtigen die info bevatten over de zaak-Cambridge Analytica, las ik bij Tweakers. Eén daarvan was dat de Serjeant at arms van het Parlement fysiek langs ging bij deze meneer, en dat is opmerkelijk want deze is bevoegd met een knots (de Royal Mace) op te treden als dat noodzakelijk is. Gelukkig bleek lijfsdwang genoeg om de documenten te verkrijgen. Maar de juridische vraag blijft, hoezo mag het Britse parlement Amerikaanse geheime documenten ophalen bij een Amerikaan?

Nou, omdat ‘ie in Engeland was, natuurlijk. Rechtsmacht kan soms zo simpel zijn als “je bent hier, dus doe wat ik zeg”. Zeker als je een Royal Mace in je knuist mag houden als je dat zegt. Helaas maken de Engelse publicaties over de zaak niet precies duidelijk op welke wat de bevoegdheid is gebaseerd, maar ik geloof onmiddellijk dat er zo’n bevoegdheid is gezien de brede macht die het Britse parlement onder de wet heeft.

Natuurlijk botst zo’n inbeslagname met het Amerikaans recht waaronder de documenten zijn verkregen. Ze waren in bezit van de Amerikaanse startup Six4Three, dat in een rechtszaak met Facebook gewikkeld is en in het kader van discovery toegang had gekregen tot geheime documenten van Facebook. Zo werkt dat in de VS: bij een rechtszaak moet je alle relevante informatie, bedrijfsgeheim of niet, aan de wederpartij geven. Doe je dat niet, dan ga je de cel in – contempt of court. (De Amerikaanse bailiff heeft dan weer geen ceremoniële knots maar wel een heel dik pistool.)

Als je een geheim document hebt gekregen in discovery, dan moet je het natuurlijk wel geheimhouden en alleen gebruiken voor die rechtszaak. En dat is ook waarom Facebook nu protesteert; het gebruik door het Parlement is natuurlijk een heel ander soort dan waarvoor zij het – in de VS ook nog – hadden verstrekt aan Six4Three. Maar dat is een probleem tussen Facebook en haar wederpartij in die rechtszaak, het Britse parlement is niet gebonden aan Amerikaanse procesrechtelijke voorwaarden.

In Nederland zou in principe zoiets ook kunnen door gebruik te maken van de bevoegdheden van de Autoriteit Persoonsgegevens. Artikel 5:20 Awb bepaalt namelijk:

1. Een ieder is verplicht aan een toezichthouder binnen de door hem gestelde redelijke termijn alle medewerking te verlenen die deze redelijkerwijs kan vorderen bij de uitoefening van zijn bevoegdheden.
2. Zij die uit hoofde van ambt, beroep of wettelijk voorschrift verplicht zijn tot geheimhouding, kunnen het verlenen van medewerking weigeren, voor zover dit uit hun geheimhoudingsplicht voortvloeit.

Er is dus maar héél weinig ruimte om te weigeren een document af te geven, en het is zeer de vraag of een Amerikaanse geheime discoveryprocedure valt onder dat lid 2. Dus in Nederland had dit ook zo gekund. (Wij hebben niets dat in de buurt komt van de Royal Mace maar twee potige politieagenten in je hotelkamer zal natuurlijk ook erg overtuigend werken.) En in theorie ook wanneer ons Parlement een Parlementaire Enquête had uitgevoerd, want heel simpel staat in artikel 6 lid 1 Wet op de Parlementaire Enquête:

De commissie kan inzage in, afschrift van of kennisneming op andere wijze van documenten vorderen.

En dat geldt nadrukkelijk óók als je daardoor in de knel komt met je wettelijke geheimhouding (artikel 15). Wel kan de enquêtecommissie besluiten om het document vertrouwelijk te behandelen of om de gesprekken erover achter gesloten deuren te voeren.

Puur juridisch gezien is er dus niets opvallends aan. Zo’n hoog instituut als het Parlement behoort vele bevoegdheden te hebben gezien de aard van hun onderzoek en macht. Maar het blijft een smeuïg verhaal natuurlijk.

Arnoud

Als je in je Tesla de Autopilot aanzet, blijf je gewoon bestuurder (en daar was een rechtszaak voor nodig?)

Geplaatst op in Ondernemingsvrijheid, 15 reacties

De rechter van de rechtbank Midden-Nederland heeft bepaald dat de persoon achter het stuur van een Tesla ondanks het gebruik van het Autopilot-systeem als feitelijke bestuurder van het voertuig is aan te merken. Dat las ik bij Tweakers vorige week. Tesla-bezitter Vincent Evers was vanwege een verkeersboete naar de rechter gestapt omdat hij deze onterecht was. Weliswaar had hij zijn telefoon vast, maar hij was niet de bestuurder van de Tesla nu die in de Autopilot-stand stond. Nee, leek mij ook geen sterk verhaal en het verrast geen seconde dat het afgewezen is.

De term ‘Autopilot’ vind ik al vanaf het begin dubieus (en met mij de Duitse minister van transport). Het suggereert dat de auto volledig automatisch bestuurd wordt zodat je als mens achter het stuur je verantwoordelijkheid compleet kunt opgeven. Ongeveer zoals een vliegtuig op de automatische piloot kan vliegen en zelfs landen zonder dat er een mens nodig is.

De technologie is bij lange na niet zo ver. Ja, hardwarematig heeft een Tesla alles aan boord om niveau 5 volledig autonoom te rijden, maar dat is niet het moeilijke stuk. Dat de auto uit zichzelf kan remmen, versnellen en sturen is mooi, maar het gaat om bepalen wannéér je dat gaat doen en waarom. En dat kan een Tesla nog bepaald niet. Dat zegt Tesla zelf ook, getuige hun site:

Bij gebruik van Autopilot moet de bestuurder altijd zelf opletten en actief blijven en gereed zijn elk moment in te grijpen.

Met die omschrijving kun je hooguit zeggen dat je handen- en voetenwerk wat ontspannener wordt tijdens de rit, maar niet dat de auto volledig zelfstandig rijdt. Oh en detail, als je drie keer niet reageert op een signaal van de Autopilot dan schakelt deze zichzelf uit. Zeer autonoom, inderdaad.

En daarmee is er geen reden om de mens in de auto anders aan te merken dan de bestuurder, volgens de wet:

bestuurder van een motorrijtuig: degene die het motorrijtuig bestuurt of degene die, overeenkomstig de bij algemene maatregel van bestuur gestelde voorwaarde, wordt geacht het motorrijtuig onder zijn onmiddellijk toezicht te doen besturen;

Vanwege dat continu vereiste toezicht en opletten is dat voor mij volkomen evident. Niet gek dus dat het vonnis hem gewoon schuldig verklaart aan het vasthouden van een telefoon als bestuurder.

Meer algemeen vind ik het raar om zoiets bij de rechter te brengen: de keuze of autonome auto’s de weg op mogen, is immers een politieke, die vraag ligt bij de wetgever. De rechter toetst alleen maar binnen het huidige stelsel, en het doet dan ook raar aan om aan de rechter te vragen een buitenwettelijke situatie legaal te verklaren.

Arnoud

Hoe ICT-vaardig zijn rechters vandaag de dag (en waarom dat er eigenlijk niet toe doet)

Geplaatst op in Informatiemaatschappij, 24 reacties

Een lezer vroeg me:

Je blog van dinsdag triggerde me: hoe ICT_vaardig zijn rechters nu eigenlijk echt anno 2018? Hoe kun je nu een domeinnaamhouder ‘hoster’ noemen van welke informatie dan ook? Ik zie zulke dingen vaker, en maak me daar zorgen over. Hoe zie jij dat, en hoe gaat dat nu in de praktijk met ICT-zaken?

Het blijft een terugkerend thema, de ICT-vaardigheden van rechters in Nederland wanneer het gaat over rechtszaken waarbij ICT een centrale rol speelt. Berucht is de anekdote “Wie is Ed“, als reactie van een rechter op een advocaat die het e-mailadres [email protected] voorleest bij pleidooi. En op menig advocatenborrel doen er tientallen van zulke verhalen de rondte. Maar -zo valt me dan op- altijd is het een collega overkomen en worden er geen namen bij genoemd.

Waar we nu echt staan anno 2018, is natuurlijk erg moeilijk te beantwoorden, omdat er (voor zover ik weet) geen onderzoek naar is gedaan. Je komt dus niet verder dan algemeenheden (ze hebben een academische achtergrond, krijgen continu opleiding maar zijn relatief oud) en dat schiet natuurlijk weinig op. Ook hoor ik wel argumenten als dat rechters vaak meer weten dan ze laten merken, om zo de partijen (of de verdachte, in strafzaken) uit de tent te lokken om meer informatie te krijgen over wat er nu precies gebeurd is.

Voor mij staat echter voorop dat een rechter helemaal geen ICT-specialist hoeft te zijn. Net zo min als hij verstand van huizenbouw hoeft te hebben om te bepalen of een aannemer aansprakelijk is voor een slecht dak. Er komt dan een deskundige die wél verstand heeft van huizenbouw, of liever nog specifiek van constructietechnieken voor houten balken bovenop een bakstenen muur om een betonnen dak te schragen. En die kan dan uitleggen waarom de aannemer het goed dan wel slecht heeft gedaan. Is de andere partij het daar niet mee eens, dan zet die er een andere deskundige tegenover. En dan kom je bij waar rechters goed in zijn: verklaringen en bewijs tegenover elkaar zetten en afwegen om tot een conclusie te komen.

Ik vind dat een beter systeem dan rechters die zelf gaan verzinnen hoe het zit, want daar kun je als partij niet op toetsen. Een deskundigenverklaring kun je aanvallen of van tegenbewijs voorzien. En dat is uiteindelijk hoe een rechtszaak moet gaan: partijen komen met verklaringen en bewijs, en de rechter weegt dat af.

Arnoud

Mag Wetransfer blaffen naar “veiliger alternatief” Skotty?

Geplaatst op in Uitingsvrijheid, 12 reacties

Eindhovense startup Skotty laat je veilig e-mailen en bestanden delen, las ik bij RTL Z. En iets later op Twitter dat Wetransfer er boos over is: WeTransfer stuurt vanuit het niets met dreigende taal een jurist op me af vanwege dit. Wat raar, mag je dan niet meer zeggen dat jouw dienst een privacyvriendelijker Wetransfer-achtige dienst wil zijn?

Het voelt een beetje alsof een AI legal assistant het nieuws monitort en aanslaat op berichten waarin het bedrijf wordt genoemd, want wie het artikel leest zal niet snel concluderen dat Wetransfer de grootste datadief is sinds Facebook.

Het lijkt erop dat het datatransferbedrijf boos werd over passages als deze:

Veilig e-mailen en bestanden delen zonder dat anderen mee kunnen gluren. Dat is het doel van de Eindhovense startup Skotty, dat nu voor iedereen te gebruiken is. “We willen een veilige, privacyvriendelijke WeTransfer-achtige dienst zijn.”

Skotty noemt natuurlijk Wetransfer omdat het de bekendste naam is, en omdat zijn dienst een duidelijk onderscheidend kenmerk heeft met de focus op veiligheid. Ik haal nergens uit het artikel dat hij specifieke twijfels bij Wetransfer heeft, en als Europees bedrijf heeft Wetransfer de AVG-zaakjes ongetwijfeld prima op orde. En ik zie een slotje bij Wetransfer, dus dat zal ook wel goed zitten.

Desondanks zijn er vele niveaus van veiligheid, en als je als Skotty in wilt zetten op een hoger niveau, dan is het volkomen gerechtvaardigd om in je marketing te zeggen dat je veiliger bent dan. Dat betekent niet dat Wetransfer onveilig is, het betekent dat jij nóg veiliger wilt zijn.

Mijn nekharen gaan wel overeind staan van een bedrijf dat bij twijfels over hun veiligheid naar de blaffende jurist grijpt in plaats van vanuit zelfvertrouwen te staan achter het product. Ik ken die tactiek namelijk alleen bij bedrijven die malafide zijn, en begrijp dan ook totaal niet waarom Wetransfer dit zou doen. Dit kan toch niet anders dan averechts werken?

Arnoud

Is misbruik van de GDPR een probleem van de GDPR?

Geplaatst op in Privacy, Uitingsvrijheid, 7 reacties

Boos bericht bij Techdirt: in Roemenië wordt misbruik van de AVG (GDPR) gemaakt om een journalistencollectief de mond te snoeren, en dat is een probleem van de AVG want zonder AVG had dit niet gekund. Of zoiets. Het leest als een stuk flamebait, maar ik kan de boosheid van de journalist wel begrijpen want de AVG kent specifieke uitzonderingen voor journalistiek en dan komen ze juist bij de journalisten uit met een (gedreigde) boete van 20 miljoen euro. Dat hoort niet te kunnen. Maar ik zie het als een probleem met de rechtsgang, en niet met de AVG specifiek.

Het achterliggende verhaal is wat moeilijk bij elkaar te puzzelen, maar in de kern komt het hierop neer. In Roemenië is journalistencollectief OCCRP bezig een corruptieschandaal aan te tonen. Men kreeg genoeg bewijs bij elkaar om de European Anti-Fraud Office er naar te laten kijken en een strafrechtelijk onderzoek in het land zelf op te laten starten. Dat suggereert een behoorlijk stevig en betrouwbaar onderzoek.

Na publicatie van resultaten kreeg de partner van OCCRP het Rise Project een sommatie van de Roemeense privacytoezichthouder: een betrokkene heeft een inzageverzoek bij u gedaan en u moet daar gehoor aan geven, op straffe van een boete van 20 miljoen Euro. Het inzageverzoek moet ook de documenten betreffen waar de journalisten bronbescherming op claimen. Niet verrassend: de betrokkene is een van de hoofdrolspelers in het corruptieschandaal. Wel verrassend: de voorzitter van de Roemeense toezichthouder komt uit de partij van diezelfde hoofdrolspeler en zou ook lijntjes naar het corruptieschandaal hebben.

Het theoretische antwoord is natuurlijk simpel. De journalisten hoeven hier geen gehoor aan te geven, omdat bij publicaties voor journalistieke doeleinden veel rechten uit de AVG niet gelden. Dat staat letterlijk zo in de AVG, en komt terug in de Roemeense Uitvoeringswet AVG als een tekstueel duidelijke uitzondering (artikel 7): inzage en verwijdering geldt niet bij journalistieke doeleinden. De iets breder onderlegde journalist zal wijzen op jurisprudentie over bronbescherming als fundamenteel recht, en eenvoudig betogen dat het inzagerecht zich daar niet tot zal uitstrekken (bijvoorbeeld via artikel 15 lid 4, rechten van anderen).

Praktisch gezien zit het Project met een enorm probleem: een dreigende boete van 20 miljoen wanneer ze niet gewoon die gegevens verstrekken. Want op papier klinkt dit allemaal leuk maar als de toezichthouder het anders ziet, dan heb je een héél duur traject om tot je gelijk te komen. Zelfs als iedereen vanaf de zijlijn roept dat je dit gewoon gaat winnen.

Is dit nu een probleem met de AVG, zoals Techdirt-auteur Masnick betoogt? Want de AVG is zo een heel bot instrument om onwelgevallige journalistiek de mond te snoeren. Ook al heb je op papier gelijk, de boete is zo hoog dat iedereen toch wel inbindt. Chilling effect, noemen de Amerikanen dat. Onrecht dat blijft bestaan ondanks dat het wettelijk niet hoort te bestaan.

Mij lijkt van niet. Zeker is het een probleem, maar het probleem zit hem in de praktische gang naar de rechter. Als een organisatie niet de mogelijkheid heeft zich effectief te verweren tegen een dreigende boete van 20 miljoen op grond van argumenten die gezien de wet evident overtuigend zijn, dan heb je geen effectieve rechtsstaat. Dat die boete van 20 miljoen uit de AVG komt, is dan niet meer dan bijzaak. Voor hetzelfde geld kan de eiser anders een smaadclaim construeren, zijn auteursrecht geschonden zien of interferentie met parlementaire privileges of welk bogus argument dan ook aandragen.

Dat maakt de zaak niet minder ergerlijk of fout natuurlijk.

Arnoud