Politie en FBI geven elkaar toegang tot databank met vingerafdrukken

Geplaatst op in Privacy, Regulering, 38 reacties

De Nederlandse politie krijgt toegang tot databanken met daarin vingerafdrukken van miljoenen Amerikanen, las ik bij Tweakers. Omgekeerd kan de FBI de Nederlandse strafdatabank met vingerafdrukken van 1,3 miljoen veroordeelden en verdachten benaderen. Zo moeten beide politiediensten makkelijker vingerafdrukken kunnen matchen aan bekende daders (of verdachten) uit eerdere onderzoeken. Een nogal opmerkelijke stap, die veel vragen opriep bij lezers, maar ik moet zelf zeggen dat ik het niet meteen de grootste inbreuk van 2018 vindt. Nee, een vingerafdrukdatabank, dát is eng.

Voor de duidelijkheid: de bedoeling is nadrukkelijk niet dat het gehele vingerafdrukbestand met naam en rugnummer als zipfile naar de VS gaat. De organisatorische opzet komt erop neer dat de FBI een vingerafdruk van een person of interest heeft, ze die opsturen naar onze politie die kijkt of er een match is. Het antwoord gaat als “nee” dan wel “ja” terug, in het geval “ja” voorzien van een willekeurig gekozen identificatienummer. Dat nummer neemt de FBI dan op in een ouderwets rechtshulpverzoek “graag ontvangen wij wat u weet over deze persoon”.

Door deze dubbele slag voorkom je dat er al te makkelijk gespit wordt zonder dat het opvalt. Er wordt niets verstrekt zonder rechtshulpverzoek, iets dat al tijden de procedure is. En zo’n verzoek wordt alleen toegewezen bij ernstige misdrijven. Het enige nieuwe is dus feitelijk dat je voorheen als FBI iets van een naam moest hebben om aan te geven wie je zocht, en dat je nu op basis van een vingerafdruk kunt aangeven wie je waarschijnlijk bedoelt. Dat is op zich wel een mooie privacyconstructie.

Zo ongeveer de enige vorm van misbruik die ik kan bedenken, is dat je met een vingerafdruk van een betrekkelijk onschuldige nu kunt gaan vissen in de FBI databank (of de FBI bij ons) of er in die databank iets bekend is. Je zou als FBI dan dus bijvoorbeeld irritante toeristen (die met vingerafdruk zich moeten registreren bij bezoek aan de VS) kunnen matchen, en als er een “ja, 481” terugkomt dan gooi je ze het land uit omdat ze op het inreisformulier hebben gezegd “nooit met Justitie in aanraking geweest”. Maar in die situatie heb je de namen ook al, dus of dat nu veel toevoegt?

Enger vind ik de opmerkingen in Trouw dat men bij de politie liever een nationale vingerafdrukdatabase zou hebben (gekoppeld aan het paspoort) waar alle Nederlanders in moeten zitten. Dat idee is al in 2011 afgeschoten, “Een ingrijpend besluit, waar we wekelijks ongemak van ondervinden” aldus de initiatiefnemers van dit databankdelen. De redenen voor afschaffen waren technische problemen, zoals twijfel over de veiligheid van de opslag maar ook onbetrouwbare matching.

Met name dat laatste zou voor mij genoeg reden zijn dit niet te willen: ik schrik te lezen dat bij vingerafdrukken 1 op 10.000 gevallen vals positieven geven. Bij een databank met zelfs maar 1,3 miljoen mensen heb je dus 130 matches voor elke vingerafdruk, bij een databank met 17 miljoen Nederlanders zijn dat er dan 1.700. Hoe kun je daar überhaupt nog in zoeken als politie? Waar filter je dan op, zonder bias te introduceren zoals “nu iedereen met een zwaar strafblad, en de 5 die overblijven maar even ophalen”? Hoe meer ik er over nadenk, hoe enger ik dat vind.

Arnoud

Mag de Belastingdienst op je social media kijken om je aangifte te controleren?

Geplaatst op in Informatiemaatschappij, 14 reacties

De belastingdienst in Frankrijk gaat accounts op sociale media inspecteren om fraudeurs op te sporen, las ik bij Nu.nl. Het betreft een proef, waarmee de Franse Belastingdienst hoopt belastingontduikers op te sporen. Het idee is dat een Instagram-foto van jezelf met een dure auto tot een audit kan leiden: leg maar even uit hoe u aan deze auto komt, anders slaan we u aan voor ongedeclareerde inkomsten en/of bezit. Of zoiets. Het bericht is vrij kort op details, ik hoop de proef niet. Maar het roept de vraag op: zou dat in Nederland ook kunnen?

Het komt wel eens voor, en al geruime tijd ook. Zo lees ik dat al in 2008 social media accounts van mensen werden bekeken in het kader van een onderzoek door de Dienst. Heel raar is dat niet, het is een openbare bron en die kan relevante informatie geven, dus daar mag een bestuursorgaan als de Belastingdienst in kijken.

Een wetstechnisch bezwaar tegen zoeken op social media door de Belastingdienst zie ik zo niet. Je bent verplicht juiste informatie te verschaffen, en het raadplegen van openbare bronnen om dat na te gaan lijkt me een legitieme controlestap daarop. Ook onder de AVG; dit valt binnen de grondslag van een overheidstaak.

De voornaamste reden dat het weinig gebeurt, is volgens mij dat het behoorlijk arbeidsintensief is en zelden een duidelijk geval oplevert. Neem die auto. Leuk zo’n foto, maar “die heb ik voor de foto geleend” is een niet te verifiëren excuus. Dan is het wat handiger om bij de RDW na te gaan hoe veel auto’s iemand op de naam heeft. Dat is allereerst veel betrouwbaarder, en ten tweede kun je dat meer in bulk doen.

En dat lijkt me dan ook het bezwaar bij deze Franse pilot, het voelt meer als een publiciteitsstunt dan iets dat werkelijk winst voor de Franse schatkist gaat opleveren.

Arnoud

Windows 10 Enterprise en Office zijn risico voor privacy ambtenaren

Geplaatst op in Ondernemingsvrijheid, Privacy, 29 reacties

Via Windows 10 Enterprise en Microsoft Office verzamelt Microsoft gebruikersgegevens die het bedrijf in de VS opslaat. Dat meldde Tweakers op basis van onderzoek bij het ministerie. Deze opslag geeft een inbreuk op de privacy van de ambtenaren, plus een ieder wiens gegevens door die ambtenaren worden verwerkt. Het onderzoek werd uitgevoerd als een DPIA onder de AVG, waarbij werd gekeken naar de zogeheten telemetriedata die Windows- en Office-installaties verzamlen bij de gebruiker en doorsturen naar Microsoft in de USA. Bij Office gaat het mis: deze verzamelt een enorme hoeveelheid data, en dat is niet uit te schakelen.

Het is natuurlijk leuk en aardig dat Microsoft “telemetrie” oftewel statistieken verzamelt, maar dat is in de EU best problematisch omdat dat al héél snel onder de noemer van persoonsgegevens valt. Informatie over wat gebruiker thx1138 doet met zijn Office is een persoonsgegeven, ook al heb je niet de naam van die gebruiker of enig contactgegeven. Zelfs wanneer je aan die meetgegevens een eigen willekeurig toegekende ID hangt, val je nog onder de AVG. Dat voelt als nogal een ontwerpfout.

Met name dat “het kan niet uit” verbaast me hogelijk. Je zou zeggen dat je als bedrijf weet dat het verzamelen van gegevens over wat je gebruikers doen gevoelig kan liggen, zeker in enterprise-omgevingen (en daar hebben we het hier over). Dat is niet iets dat je met een vinkje in de EULA oplost, de belangen zijn daarvoor te groot. Dit mag gewoon niet.

Natuurlijk zal Microsoft vast ergens in de licentievoorwaarden hebben gezegd dat toestemming wordt verleend. Maar dat werkt niet op dit niveau. Software wordt ingekocht onder een groot contract, en deze afspraak moet dáár dan worden gemaakt.

Bovendien: een bedrijf of instelling mag die afspraak alleen maken als ze dat vervolgens aan haar personeel (en/of klanten) kan rechtvaardigen, en dat zie ik hier niet opgaan. Welke noodzaak binnen de arbeidsovereenkomst (aanstelling, het is ambtenarenrecht) is er om deze telemetrie aan Microsoft te verstrekken die het voor eigen doeleinden gaat gebruiken? Welk belang van Microsoft is zo dringend dat de privacy van het personeel mag worden gepasseerd? En heeft de OR wel ingestemd met die telemetrieverstrekking, dat is immers een apart recht onder de Wet OR?

Beloofd wordt om een en ander aan te passen om binnen de Europese regels te blijven, maar dat zal tot ergens in 2019 gaan duren. Dat is nogal lang, dus ik hoop dat er in de tussentijd een firewall of iets tussengezet kan worden zodat de privacy van de ambtenaren gewaarborgd blijft.

Arnoud

Mag Rijkswaterstaat je flitsen en dan een enquete opsturen?

Geplaatst op in Privacy, 19 reacties

Wie volgende week op de A12 bij Zoetermeer of op de A4 bij Delft-Zuid rijdt, heeft de kans te worden ‘geflitst’. Niet voor te hard rijden maar vanwege een onderzoek van Rijkswaterstaat. Dat meldde Omroep West onlangs. De wegbeheerder wil meer inzicht krijgen in de ontwikkelingen op de autosnelwegen in de Randstad. Met camera’s langs de weg worden kentekens gescand (met welke criteria je wordt geselecteerd, is me niet duidelijk) en gelukkigen krijgen dan die enquête thuisgestuurd. Toestemming wordt niet gevraagd, wat diverse lezers geërgerd deed mailen of dit wel mocht.

In het kader van direct marketing mogen bedrijven post met reclame sturen zonder toestemming te vragen. De grondslag daarvoor heet het eigen legitiem belang, en die vereist wel een privacy-afweging maar geen voorafgaande instemming of verzoek van de betrokkene. Een enquête zou je binnen datzelfde kader kunnen rechtvaardigen.

Alleen: een overheidsdienst kan zich niet op deze grondslag beroepen, zo staat in de AVG (artikel 6 lid 1 sub f laatste zin). Zij moeten het dus op een van de andere gronden doen, en ik kom dan uit bij sub e:

de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;

Kort gezegd, de overheid mag wat ze redelijkerwijs nodig vindt binnen de uitvoering van de overheidstaak. Zonder het expliciet te noemen, is dat ook wat de Autoriteit Persoonsgegevens erover zegt:

Het gebruik van uw persoonsgegevens door Rijkswaterstaat is alleen toegestaan als dit noodzakelijk is. Dat wil zeggen dat Rijkswaterstaat het doel niet op een andere manier kan bereiken. Is er geen andere mogelijkheid, die minder ingrijpend is voor de privacy van automobilisten?

Ik moet zeggen, ik zie ook weinig andere manieren om dit doel te bereiken. Als je een representatieve enquête wilt houden onder automobilisten op de A4 bij Delft-Zuid, dan zul je een populatie van automobilisten op de A4 aldaar moeten aanschrijven. Die gegevens zijn eigenlijk nergens anders te krijgen dan door aan de A4 aldaar te gaan staan en op basis van kenteken automobilisten te identificeren, zodat je brieven gericht eruit kunnen.

Het enige alternatief dat ik kan bedenken, is een oproep “Wie rijdt er vaak op de A4 bij Delft-Zuid” maar ik vrees dat je dan geen representatieve reacties krijgt. Daarmee zou denk ik de noodzaak redelijkerwijs wel gegeven zijn.

Wat wel nieuw is onder de AVG, is dat de overheidstaak in kwestie (en het bijbehorende noodzakelijke gebruik van persoonsgegevens) wel uitgewerkt moet zijn in een wet, zo staat in artikel 6 lid 3. Of er moet worden aangetoond dat de verwerking noodzakelijk is voor een bij wet geregelde verwerking. Wat die hier is, komt niet precies uit de verf maar gezien de aard van dit gebruik lijkt het me prima te passen binnen de taak van Rijkswaterstaat, meer specifiek het gebruik van het wegennet in kaart brengen en stappen voor verbetering nemen.

Natuurlijk is het vervelend dat mensen ongevraagd deze enquête krijgen, maar het gaat om één envelop met een verzoek. Zelfs automobilisten die daar dagelijks rijden, zullen niet vaak zo’n brief krijgen verwacht ik. Je kunt verder nog aangeven dat je geen herinneringen of andere uitnodigingen voor het specifieke onderzoek wilt hebben, maar niet algemeen dat je nóóit meer uitgenodigd wordt. Dat is overigens in dit geval ook geen recht onder de AVG – het recht van bezwaar geldt niet bij de overheidstaak.

Arnoud

Mag een webwinkel een geboortedatum vragen of moet een meerderjarigheidsvinkje genoeg zijn?

Geplaatst op in Ondernemingsvrijheid, Privacy, 24 reacties

Een lezer vroeg me:

Bij veel webwinkels wordt je gevraagd om je geboortedatum. Bij navraag is dat dan meestal omdat ze bestellingen van minderjarigen uit willen sluiten (die kunnen immers niet rechtsgeldig tot betaling gedwongen worden). Maar mag dat wel van de AVG? Je moet immers de minst privacyschendende oplossing kiezen. Dat zou hier dan toch zijn een aanvinkvakje met “Ik verklaar meerderjarig te zijn dan wel toestemming van mijn ouders/voogd te hebben”?

Je ziet inderdaad regelmatig bij webwinkels (maar ook wel bij registratie voor online diensten zoals spellen) dat je je geboortedatum moet opgeven. Meestal wordt niet expliciet gezegd waarom, en als je de privacyverklaring er op naslaat dan kom je ook maar zelden een motivatie tegen.

Mijn eerste gedachte is dan dat de ontwerper van het formulier dit logisch vond, of zelfs dat het standaard in de webshopsoftware staat en niemand het nodig vond het eruit te halen. Dat zou niet heel AVG compliant zijn: elke vraag om een gegeven moet je kunnen rechtvaardigen. Vraag je om gegevens zonder dat je kunt uitleggen waarom, dan ben je in overtreding van artikel 5 AVG.

Natuurlijk zijn er enige inhoudelijke argumenten te bedenken. Een webwinkel kan bijvoorbeeld minderjarigen willen weren, omdat die geen rechtsgeldige bestelling kunnen plaatsen zonder ouderlijke toestemming (tenzij de bestelling gebruikelijk is voor minderjarigen). Dan is een geboortedatum nuttig, omdat je dan kunt uitrekenen hoe oud deze persoon is en daarmee de inschatting maken of het normaal is dat iemand van die leeftijd dit product koopt. Bij een jongen van vijftien zou een scheerapparaat bijvoorbeeld een logische en rechtsgeldige aanschaf kunnen zijn, bij een meisje van 11 zou ik de bestelling annuleren. Maar dan moet je wel weten of iemand 11 of 15 is.

Andere redenen kunnen zijn dat je producten verkoopt die niet onder een zekere leeftijd mogen worden geleverd, zoals alcohol of games. Ook dan is een leeftijdscheck nodig, maar of je dan specifiek een leeftijd moet hebben (deze persoon is 11) of alleen een toets aan je ondergrens (deze persoon is geen 18 dus geen alcohol) dat zou voor mij meer de vraag zijn.

Het alternatief is dat je een vinkje laat zetten bij een tekst als “Ik verklaar meerderjarig te zijn dan wel toestemming van mijn ouders/voogd te hebben” werkt dan ook primair bij dit soort binaire beslissingen. Bij de “mag deze persoon dit bestellen gezien zijn leeftijd” problemen moet je echt een leeftijd hebben.

Bijkomend voordeel van een geboortedatum is dat je mensen kunt feliciteren op hun verjaardag of ze zelfs een cadeautje geven (nog bedankt vorig jaar, Coolblue). Dat mag, maar dat moet je wel even melden in de privacyverklaring.

Arnoud

Overheidsdienst nam duizenden gesprekken van advocaten op door softwarefout

Geplaatst op in Regulering, 16 reacties

De Nederlandse Dienst Justitiële Inrichtingen heeft drieduizend gesprekken van advocaten opgenomen door een softwarefout. Dat las ik bij Tweakers. De bron is een brief van de staatssecretaris waarin hij meldt van een incident: gesprekken van advocaten wiens nummer meerdere malen in de lijst met niet-opnemen-nummers stonden, werden wél opgenomen. Dit kwam uit nadat een advocaat het ontdekte (maar hoe dan?) en erover klaagde. De fout is nu opgelost.

Gezien het “van advocaten die meerdere malen voorkomen” zie ik het nog wel als reëel dat het echt een programmeerfout was. Een simpele verklaring is dat de te matchen nummers normaal als tekststring binnenkomen en nu als lijst met de meerdere nummers. Vergelijken van een string met een array zal nooit een match opleveren, dus dan komt dit gesprek door de check heen en wordt het alsnog opgenomen.

De grotere vraag is waarom de DJI dit nooit merkte bij het terugluisteren van de taps. Mogelijk doen ze dat alleen steekproefsgewijs, en het aantal advocaten met twee geregistreerde nummers zal klein zijn dus in theorie is het altijd toevallig goed gegaan. Maar het is natuurlijk ook goed denkbaar dat er DJI-mensen waren die wél meeluisterden. Ik zou het dan wel héél riskant vinden om er wat mee te doen, want als je wordt betrapt heb je geen enkel excuus.

Idem als je het doorbrieft aan een agent die bezig is met een onderzoek. Die kan er niets mee in het dossier, want leg eens uit waar dat bewijs vandaan komt? Natuurlijk is softe informatie handig om te hebben maar dit kan je hele onderzoek besmetten omdat de overtreding dermate ernstig is. Dus ja, het is denkbaar maar zelfs agenten die de wet willen breken, zullen denk ik even twee keer nadenken bij deze bron van informatie.

Arnoud

EU test nepwetenschappelijke leugendetector bij grenscontroles

Geplaatst op in Regulering, 16 reacties

Wat bizar: in Griekenland, Hongarije en Letland begint een test van de Europese Unie met een leugendetector bij de grenscontrole, las ik bij Tweakers. Het iBorderCtrl-systeem analyseert ‘microgezichtsuitdrukkingen’ van reizigers om te controleren of ze de waarheid vertellen. Niet alleen is deze test gebaseerd op onderzoek waarbij slechts 32 vrijwilligers betrokken waren als proefpersonen, er is ook geen wetenschappelijke onderbouwing dat microexpressies überhaupt iets zeggen over leugenachtigheid. Maar ja, er zit een Artificial Intelligence in en uiteindelijk zegt het systeem alleen maar dat iemand verder moet worden gecontroleerd, dus niets aan de hand toch? Nou, dus wel.

In de kern komt het erop neer dat je als potentiële bezoeker online een aanvraag doet om de EU in te mogen. Je uploadt dan een foto van je paspoort en doet een intake met een virtuele douanebeambte in jouw taal, waarbij je wordt gefilmd met je eigen webcam. Software bij de douane analyseert die beelden (van 640×480 pixels bij 30 frames per seconde) op ‘microexpressies’, zeer kleine veranderingen in het gelaat die worden gekoppeld aan emotionele reacties. Een Machine Learning model (“een AI”) trekt daar statistische gegevens uit en legt deze langs een berg met proefpersoondata om zo te bepalen of je waarschijnlijk een leugenaar bent. Je komt dan in aanmerking voor extra controle.

Bedoeling van het systeem is natuurlijk om de douanebeambten aan de grens te ontlasten. Als een AI kan filteren op de verdachte personen, dan kan de douane daar haar aandacht op richten en de ‘gewone’ bezoekers doorlaten. Dat concept (dat ik eerder besprak) ondersteunt slechts de werkprocessen, en is daarmee juridisch geen probleem.

Het is ook niet verboden onder de AVG (die ook geldt bij grenscontroles, omdat hij geldt voor alle verwerkingen die in Europa gebeuren, en de dienst van het pre-screenen gebeurt in Europa). Weliswaar mag een computer geen besluiten nemen, maar een aanwijzing of iemand gecontroleerd moet worden, telt niet als besluitvorming in de zin van de AVG. Deze actie raakt je niet “in aanzienlijke mate”, zoals de wettelijke formulering is.

Inhoudelijk is dit natuurlijk behoorlijk problematisch. Natuurlijk is het geen robot die je bij de grens tegenhoudt. Er gaat een rood lampje branden bij de menselijke douanecontroleur, maar die moet vervolgens nog wel iets van bewijs te voorschijn krijgen. Alleen, in mijn ervaring is er altijd wel iets als je goed zoekt, in bureaucratische en voor gebruikers onbekende situaties. Zeker wanneer de controleur het onderzoek in gaat met “er is iets aan de hand”. Je krijgt dan een heel andere insteek van het gesprek en de doorzoeking dan bij een “Persoon geselecteerd voor willekeurige controle”. Dat vind ik ernstig.

In het paper van het onderzoek lees ik dat de insteek is dat van 32 participanten datasets op basis van beelddata werden gemaakt (die fameuze micro-expressies); een webcam van 640×480 pixels op 30 fps, elk frame is een data-vector. Koppel de beelden aan een vraag (“Wat zit er in uw koffer” of “Wat is de naam van iemand die uw verhaal kan bevestigen”) en je hebt je dataset. Het lijkt een standaard neural network met 20 verborgen lagen, waarbij inderdaad accuratesse van 76% werd gerapporteerd op de test-set. Nou is dat al niet hoog, maar het is dus gebaseerd op twee-en-dertig mensen. Dat vind ik bizar weinig. Ik ken natuurlijk de training voor douanebeambten niet, maar ik mag hopen dat die meer dan 32 trainingssituaties krijgen voordat ze ‘los’ mogen aan de grens?

Vervolgens vind ik deze Powerpoint (met wat zorgelijke dingen, zoals dat in de lijst van risicofacturen op slide 16 mensen hun Twitter(???) genoemd wordt. En wat ik volledig mis is hoe het systeem uitlegt waarom je in de verhoogdrisicorij terecht gekomen bent, een AVG eis. Ik denk dat ze denken dat dat niet hoeft omdat het systeem rule-based is, maar dat is onterecht.

Daar komt dan bij dat microexpressies helemaal niets zeggen, aldus UvA-professor Bruno Verschuere. Dus zelfs als je wel een representatief model hebt, dan slaat het aan op features die niets zeggen over de werkelijkheid. Effectief heb je daarmee een hele dure (4,5 miljoen Euro) random nummer generator gebouwd, maar met de pretentie dat het iets zegt dat het lampje rood werd. Dat lijkt me bepaald niet de bedoeling.

Arnoud

ISP Bahnhof blokkeert toegang tot Elsevier uit protest, mag dat?

Geplaatst op in Ondernemingsvrijheid, 4 reacties

Een rechtbank heeft de Zweedse provider Bahnhof bevolen enkele internetdomeinen te blokkeren na claims van uitgever Elsevier van inbreuk op auteursrechten. Dat meldde Tweakers maandag. In antwoord daarop blokkeert Bahnhof de toegang tot de sites van de uitgever zelf, en bezoekers van deze uitgever mogen de site van de ISP niet meer bekijken. Dit als ludiek protest nu men hoger beroep te duur en te weinig kansrijk acht. Niet dat er veel medewerkers van Elsevier vanaf hun werk een abonnement bij een Zweedse internetprovider willen nemen, maar toch. Het gaat om het principe. Maar dan krijg je altijd van die principiële mensen terug die dan roepen, maar ho ho mag dat wel van netneutraliteit?

In Europa hebben we sinds 2015 netneutraliteit verankerd in een Verordening, een Europese wet. De hoofdregel uit deze Verordening is vrij simpel:

Aanbieders van internettoegangsdiensten behandelen bij het aanbieden van internettoegangsdiensten alle verkeer op gelijke wijze, zonder discriminatie, beperking of interferentie, en ongeacht de verzender en de ontvanger, de inhoud waartoe toegang wordt verleend of die wordt verspreid, de gebruikte of aangeboden toepassingen of diensten, of de gebruikte eindapparatuur.

Daar is weinig juridisch aan, je mag als ISP dus geen enkele discriminatie of blokkade instellen tegen iemands internetgebruik. Niet bij je klanten, en niet bij derden. Ook niet als ze jou net bij de rechter tot een blokkade hebben gedwongen.

Zo’n blokkade mag dan op zich weer wel:

Aanbieders van internettoegangsdiensten treffen geen verkeersbeheersmaatregelen die verder gaan dan de in de tweede alinea bedoelde maatregelen, en gaan met name niet over tot het blokkeren, vertragen, wijzigen, beperken of degraderen van, interfereren met of discrimineren tussen specifieke inhoud, toepassingen of diensten, of specifieke categorieën daarvan, behalve indien — en slechts zolang — dit nodig is om:
a) te voldoen aan de wetgevingshandelingen van de Unie of de nationale wetgeving die in overeenstemming is met het Unierecht, waar de aanbieder van de internettoegangsdiensten onder valt, of aan de met het Unierecht in overeenstemming zijnde maatregelen ter uitvoering van dergelijke wetgevingshandelingen van de Unie of dergelijke nationale wetgeving, met inbegrip van beslissingen van rechters of overheidsinstanties die ter zake bevoegd zijn;

Als het moet van de wet, of van de rechter die de wet heeft toegepast, dan is een blokkade of beperkende maatregel dus wel mogelijk binnen netneutraliteit. Elsevier heeft dus het recht aan haar zijde. Formeel zou Bahnhof dus op de vingers getikt kunnen worden voor haar tegenactie, hoewel ik het gezien de achtergrond en deze zeer beperkte scope (en het feit dat ze alleen haar eigen klanten dupeert, wat zich vanzelf oplost na wat klachten bij de helpdesk lijkt me) niet kan voorstellen dat de Zweedse telecomtoezichthouder hier wat van gaat vinden.

Arnoud

Hoe illegaal is het om andermans elektrische auto op te laden bij de IKEA?

Geplaatst op in Informatiemaatschappij, 60 reacties

De ‘valsspelers’ bij Ikea, zo opende een column van Maarten Hachmang bij E-driving.com. Maarten geniet ervan om naar Ikea te gaan, omdat hij dan op vol vermogen met zijn elektrische auto kan rijden – bij Ikea kun je lekker rustig weer snelladen namelijk terwijl je winkelt. Alleen viel dat deze keer tegen: alle plekken bezet, waaronder door een benzineauto en een elektrische auto die niet daadwerkelijk aan het laden was. Heel ergerlijk, in het bijzonder die laatste:

Is eigenlijk nog een stapje erger dan een foutgeparkeerde benzinebak. Hij hoort immers de problemen te kennen die E-rijders ervaren, en tóch zet ’ie bewust zijn auto neer en sluit zélfs de kabel aan. Maar vervolgens is ‘ie te krenterig om twee euro voor een volle batterij te betalen. … Ik besloot de ‘imitatie ev-rijder’ wat stroom cadeau te doen door mijn laadpas langs de paal te swipen. Met een luide ‘piep’ blokkeerde de laadpaal zijn laadkabel en de auto startte met laden. De laadkabel kan alleen maar losgemaakt worden door mijn pasje langs de paal te swipen óf door de paal stroomloos te maken.

Creatief gevonden, en de eigenaar (“een kalende man van middelmatige leeftijd”) stond inderdaad luid klagend bij de klantenservice. Maar als ict-jurist ga ik me dan toch afvragen, dit voelt als iets dat niet moet kunnen maar hoe zou het strafbaar kunnen zijn?

Door met de eigen laadpas het laadproces te activeren, wordt de laadkabel vergrendeld totdat het laadproces is afgerond of totdat de pashouder deze opnieuw langs de paal houdt. Daarmee is de auto dus niet meer mee te nemen. Juridisch gezien heet dat vernieling, art. 350 Strafrecht:

Hij die opzettelijk en wederrechtelijk enig goed dat geheel of ten dele aan een ander toebehoort, vernielt, beschadigt, onbruikbaar maakt of wegmaakt, wordt gestraft met gevangenisstraf van ten hoogste twee jaren of geldboete van de vierde categorie.

De reden is dat je met deze tankpas-actie de auto tijdelijk ‘onbruikbaar’ maakt, de eigenaar kan er immers niet mee wegrijden. Dat je dat doet met een technische truc in plaats van een wielklem of hem klemzetten met je Tesla, doet voor het misdrijf niet ter zake. In de praktijk verwacht ik er niet veel van, omdat dit als delict te ‘klein’ is om wat mee te kunnen. Binnen de Richtlijnen van het OM over vernieling kom ik eigenlijk niet eens bij de kleinste boete uit.

Het blijft me wel verbazen, de creativiteit van mensen in hoe je nieuwe systemen kunt gebruiken.

Arnoud

Kun je bij de rechter afdwingen dat Twitter iemands account opheft?

Geplaatst op in Ondernemingsvrijheid, Uitingsvrijheid, 18 reacties

Een federatie van 144 moskeeën in Nederland eist dat Twitter het account van Geert Wilders verbiedt. Zijn uitspraken zouden in strijd zijn met de gebruiksvoorwaarden van het platform. Dat meldde RTL maandag. De organisatie overweegt de gang naar de rechter als het medium niet zelf ingrijpt. In het AD lees ik iets meer over de beweegredenen, dat sprake zou zijn van systematisch de wet overtreden met extreme uitingen.

Allereerst is er het probleem dat Twitter in haar voorwaarden Amerikaans recht van toepassing verklaart, ook als je als klant uit Europa komt. Een rechtszaak bij de Nederlandse rechter moet daar dus allereerst doorheen breken. Dat is een tikje ingewikkeld; hoofdregel bij een internationale overeenkomst is dat de gemaakte afspraak voor de wet gaat. Bij consumentenrecht kun je daar van afwijken, maar dit lijkt me geen consumentenzaak. Dat is dus hobbel nummer één.

Ten tweede zit je met de uitdaging dat de TOS van Twitter gewoon algemene voorwaarden zijn bij de dienstenovereenkomst die je met ze hebt gesloten. Als derde partij deze voorwaarden inroepen is eigenlijk niet mogelijk, vanwege het simpele feit dat je geen partij bent bij die overeenkomst. (Er zijn wel zogeheten derdenbedingen maar die moeten apart zijn afgesproken, en ik zie dat niet bij Twitter.) Daarbij komt dat de voorwaarden weinig hard en specifiek zijn, zodat het moeilijk is te onderbouwen wat nu concreet de precieze overtreding is.

En als derde zit je met het probleem dat je als spreker in het politiek debat héél veel mag zeggen, ook dingen die ver op het randje zitten of daar soms overheen gaan. Dat is een onvermijdelijk deel van een vrij politiek debat. Natuurlijk kun je ook als politicus tot de orde worden geroepen als je echt strafbare zaken zegt, maar dat staat helemaal los van de gebruiksvoorwaarden en hoe Twitter die moet interpreteren. Je komt dan waarschijnlijk eerder uit bij de conclusie dat bepaalde Tweets tegen de regels zijn en dat Twitter die moet verwijderen.

Een paar stevige hobbels om te nemen dus. Ik zit zelf nog te twijfelen of het goed zou zijn als je als buitenstaander de TOS van een dienst kunt inroepen tegen een andere gebruiker. Het creëert wel een groter gevoel van eerlijkheid: iedereen krijgt dezelfde regels, dus waarom mag de handhaving dan zo willekeurig zijn? Als ik duidelijk last heb van een overtreding, moet ik dan niet kunnen verlangen dat men ingrijpt? Is dat niet óók deel van de voorwaarden van zo’n dienst?

Arnoud