Hoe groot mag een beeldcitaat anno 2018 zijn?

Geplaatst op in Intellectuele rechten, 8 reacties

Een lezer vroeg me:

Bij een nieuw project wil ik afbeeldingen en stukjes tekst van andere websites gebruiken. Ik wil dat graag netjes als citaat doen, maar klopt het echt dat je anno 2018 nog steeds aan die grens van 194×145 pixels zit? Dat is toch vandaag de dag te bizar voor woorden, dat is kleiner dan zelfs een Facebook-thumbnail!

Volgens de Auteurswet mag je inderdaad afbeeldingen of tekst van een ander overnemen binnen de grenzen van het citaatrecht. Denk aan het tonen van een screenshot bij een bespreking van een website, of een stukje tekst met een “lees meer bij” link bij wijze van aankondiging wat je bij die bron kunt gaan lezen. Of het overnemen van teksten om daarop te kunnen reageren.

Het citaatrecht geldt ook voor beeld. Je mag dus ook een foto of zelfs bewegend beeld overnemen zonder toestemming (maar met bronvermelding) wanneer je dat binnen de grenzen van het citaatrecht kunt rechtvaardigen. Belangrijkste daarbij is de inhoudelijke reden, waarom neem je dat beeld over? Bespreken van het beeld is een evidente reden, maar ook aankondigen of bespreken van iets dat direct aan het beeld gerelateerd is, is een reden. Dat screenshot van de website bijvoorbeeld illustreert de website die je gaat behandelen. Dat mag.

De eis is wel dat je niet meer dan nodig mag overnemen. En dat is waar die 194×145 een rol speelt: dat is in 2007 ooit goedgekeurd als “nodig” voor een huizenzoekmachine. Die liet op Funda te koop staande huizen zien inclusief een overgenomen afbeelding van dat formaat. De rechter vond het een geldig beroep op citaatrecht om die foto te laten zien, want zo krijg je snel een indruk van het te koop staande huis en kun je beslissen naar de bron te gaan. Dat is dan aankondigen van de bron.

Die 194×145 was echter nooit bedoeld als algemene grens. De rechter wilde alleen bevestigen dat de gekozen omvang van het thumbnailtje in orde was, en noemde daarom letterlijk de omvang van de duimnagel. Maar de wet blijft functioneel: niet meer dan nodig voor het beoogde gebruik.

Als je dus zegt, anno 2018 is het echt nodig om een huizenfoto van 640×480 te tonen anders lukt het niet, dan is een beeldcitaat van 640×480 dus legaal. Meen je dat bij jouw doelgroep een fullscreen-afbeelding van 1920×1080 pixels nodig is, dan kun je dat inzetten. Natuurlijk heb je wel een héél stevig verhaal nodig waarom dat dan nodig is, want de wederpartij zal erop wijzen dat er genoeg sites zijn met 200×200 pixel thumbnails zodat dat dus kennelijk de norm is. Zelf zou ik geen argument weten om boven de zeg 640×480 pixels uit te komen.

Arnoud

Een domeinnaamhouder kan worden aangesproken op gedrag van de website-eigenaar

Geplaatst op in Intellectuele rechten, 42 reacties

Het is uitzonderlijk, maar het kan: als domeinnaamhouder aansprakelijk gesteld worden voor wat de gebruiker van je domeinnaam doet. Dat maak ik op uit een recent vonnis van de rechtbank Midden-Nederland. Zoals eigenlijk altijd in het recht is niets absoluut, ook niet de regel dat je als domeinnaamhouder geen bemoeienis en dus geen aansprakelijkheid hebt met wat de beheerder van de daaraan gekoppelde site vervolgens doet. Alles hangt af van de omstandigheden van het geval – een ergerlijke omschrijving, maar wel eentje waar we het mee moeten doen.

De eisers in deze zaak waren ondernemers, die op een website achter een specifieke domeinnaam ineens artikelen lazen waarin zij in verband werden gebracht met ernstige misdrijven, waaronder moord. In de artikelen stonden hun namen en adressen en hun onderneming en er werden foto’s van ze getoond. Als je zoiets gebeurt, dan is het logisch dat je allereerst kijkt op de site zelf – maar daar stonden geen duidelijke contactgegevens.

Contactgegevens vind je vaak wel bij de domeinnaam, omdat daar een openbaar register van is waar dat in staat. In dit geval ging het om een .nl domeinnaam, zodat men via het SIDN register uitkwam bij de gedaagde partij. Die verweerde zich met het argument dat hij niet aansprakelijk is, omdat hij de inhoud niet zelf had geplaatst en niet aansprakelijk gehouden kan worden voor wat zijn klanten (de domeinnaam-huurder in dit geval) doen met websites achter die domeinnaam.

Dat principe gaat inderdaad op als hoofdregel, maar zoals elke hoofdregel in het recht zijn daar uitzonderingen op. In dit geval is dat het feit dat je als hostingprovider (wat een DNS-aanbieder kennelijk is, de rechter oordeelt dat vrij makkelijk) gehouden bent een effectieve notice/takedown procedure te voeren. Bij klachten over inhoud als deze zul je als hoster op zijn minst verhaal bij je klant moeten gaan halen. De klacht naast je neerleggen en een video terugmailen met een sketch uit de serie “Little Britain” met het thema “computer says no” terugsturen lijkt me op geen enkele manier een redelijke NTD procedure te noemen.

Omdat de hoster geen effectieve NTD voerde, is hij aansprakelijk voor de schade als gevolg van de onrechtmatige publicatie vanaf het moment dat hij daarop werd gewezen. Zeker nu er geen werkelijke auteur in beeld is, is dat ook niet meer dan redelijk wat mij betreft. De domeinnaambeheerder moet nu zorgen dat de betreffende artikelen ontoegankelijk wordt (regel het maar met je klant, je hebt er een zootje van gemaakt, maar dan in juridische taal) en als dat niet gebeurt dan moet hij de gehele website offline halen (en dan schadeclaims over en weer over wanprestatie met zijn klant gaan oplossen, zijn probleem).

En mocht dat alles geen effect hebben, zelfs niet met dwangsommen, dan wordt het vonnis aangemerkt als een verzoek door de domeinnaamhouder om deze offline te halen. Daarmee kunnen de eisers dan terecht bij SIDN, die dat vervolgens uit zal voeren. (Dit is de Nederlandse vertaling van “een gerechtelijk bevel”.)

Arnoud

Politie en FBI geven elkaar toegang tot databank met vingerafdrukken

Geplaatst op in Privacy, Regulering, 38 reacties

De Nederlandse politie krijgt toegang tot databanken met daarin vingerafdrukken van miljoenen Amerikanen, las ik bij Tweakers. Omgekeerd kan de FBI de Nederlandse strafdatabank met vingerafdrukken van 1,3 miljoen veroordeelden en verdachten benaderen. Zo moeten beide politiediensten makkelijker vingerafdrukken kunnen matchen aan bekende daders (of verdachten) uit eerdere onderzoeken. Een nogal opmerkelijke stap, die veel vragen opriep bij lezers, maar ik moet zelf zeggen dat ik het niet meteen de grootste inbreuk van 2018 vindt. Nee, een vingerafdrukdatabank, dát is eng.

Voor de duidelijkheid: de bedoeling is nadrukkelijk niet dat het gehele vingerafdrukbestand met naam en rugnummer als zipfile naar de VS gaat. De organisatorische opzet komt erop neer dat de FBI een vingerafdruk van een person of interest heeft, ze die opsturen naar onze politie die kijkt of er een match is. Het antwoord gaat als “nee” dan wel “ja” terug, in het geval “ja” voorzien van een willekeurig gekozen identificatienummer. Dat nummer neemt de FBI dan op in een ouderwets rechtshulpverzoek “graag ontvangen wij wat u weet over deze persoon”.

Door deze dubbele slag voorkom je dat er al te makkelijk gespit wordt zonder dat het opvalt. Er wordt niets verstrekt zonder rechtshulpverzoek, iets dat al tijden de procedure is. En zo’n verzoek wordt alleen toegewezen bij ernstige misdrijven. Het enige nieuwe is dus feitelijk dat je voorheen als FBI iets van een naam moest hebben om aan te geven wie je zocht, en dat je nu op basis van een vingerafdruk kunt aangeven wie je waarschijnlijk bedoelt. Dat is op zich wel een mooie privacyconstructie.

Zo ongeveer de enige vorm van misbruik die ik kan bedenken, is dat je met een vingerafdruk van een betrekkelijk onschuldige nu kunt gaan vissen in de FBI databank (of de FBI bij ons) of er in die databank iets bekend is. Je zou als FBI dan dus bijvoorbeeld irritante toeristen (die met vingerafdruk zich moeten registreren bij bezoek aan de VS) kunnen matchen, en als er een “ja, 481” terugkomt dan gooi je ze het land uit omdat ze op het inreisformulier hebben gezegd “nooit met Justitie in aanraking geweest”. Maar in die situatie heb je de namen ook al, dus of dat nu veel toevoegt?

Enger vind ik de opmerkingen in Trouw dat men bij de politie liever een nationale vingerafdrukdatabase zou hebben (gekoppeld aan het paspoort) waar alle Nederlanders in moeten zitten. Dat idee is al in 2011 afgeschoten, “Een ingrijpend besluit, waar we wekelijks ongemak van ondervinden” aldus de initiatiefnemers van dit databankdelen. De redenen voor afschaffen waren technische problemen, zoals twijfel over de veiligheid van de opslag maar ook onbetrouwbare matching.

Met name dat laatste zou voor mij genoeg reden zijn dit niet te willen: ik schrik te lezen dat bij vingerafdrukken 1 op 10.000 gevallen vals positieven geven. Bij een databank met zelfs maar 1,3 miljoen mensen heb je dus 130 matches voor elke vingerafdruk, bij een databank met 17 miljoen Nederlanders zijn dat er dan 1.700. Hoe kun je daar überhaupt nog in zoeken als politie? Waar filter je dan op, zonder bias te introduceren zoals “nu iedereen met een zwaar strafblad, en de 5 die overblijven maar even ophalen”? Hoe meer ik er over nadenk, hoe enger ik dat vind.

Arnoud

Mag de Belastingdienst op je social media kijken om je aangifte te controleren?

Geplaatst op in Informatiemaatschappij, 14 reacties

De belastingdienst in Frankrijk gaat accounts op sociale media inspecteren om fraudeurs op te sporen, las ik bij Nu.nl. Het betreft een proef, waarmee de Franse Belastingdienst hoopt belastingontduikers op te sporen. Het idee is dat een Instagram-foto van jezelf met een dure auto tot een audit kan leiden: leg maar even uit hoe u aan deze auto komt, anders slaan we u aan voor ongedeclareerde inkomsten en/of bezit. Of zoiets. Het bericht is vrij kort op details, ik hoop de proef niet. Maar het roept de vraag op: zou dat in Nederland ook kunnen?

Het komt wel eens voor, en al geruime tijd ook. Zo lees ik dat al in 2008 social media accounts van mensen werden bekeken in het kader van een onderzoek door de Dienst. Heel raar is dat niet, het is een openbare bron en die kan relevante informatie geven, dus daar mag een bestuursorgaan als de Belastingdienst in kijken.

Een wetstechnisch bezwaar tegen zoeken op social media door de Belastingdienst zie ik zo niet. Je bent verplicht juiste informatie te verschaffen, en het raadplegen van openbare bronnen om dat na te gaan lijkt me een legitieme controlestap daarop. Ook onder de AVG; dit valt binnen de grondslag van een overheidstaak.

De voornaamste reden dat het weinig gebeurt, is volgens mij dat het behoorlijk arbeidsintensief is en zelden een duidelijk geval oplevert. Neem die auto. Leuk zo’n foto, maar “die heb ik voor de foto geleend” is een niet te verifiëren excuus. Dan is het wat handiger om bij de RDW na te gaan hoe veel auto’s iemand op de naam heeft. Dat is allereerst veel betrouwbaarder, en ten tweede kun je dat meer in bulk doen.

En dat lijkt me dan ook het bezwaar bij deze Franse pilot, het voelt meer als een publiciteitsstunt dan iets dat werkelijk winst voor de Franse schatkist gaat opleveren.

Arnoud

Windows 10 Enterprise en Office zijn risico voor privacy ambtenaren

Geplaatst op in Ondernemingsvrijheid, Privacy, 29 reacties

Via Windows 10 Enterprise en Microsoft Office verzamelt Microsoft gebruikersgegevens die het bedrijf in de VS opslaat. Dat meldde Tweakers op basis van onderzoek bij het ministerie. Deze opslag geeft een inbreuk op de privacy van de ambtenaren, plus een ieder wiens gegevens door die ambtenaren worden verwerkt. Het onderzoek werd uitgevoerd als een DPIA onder de AVG, waarbij werd gekeken naar de zogeheten telemetriedata die Windows- en Office-installaties verzamlen bij de gebruiker en doorsturen naar Microsoft in de USA. Bij Office gaat het mis: deze verzamelt een enorme hoeveelheid data, en dat is niet uit te schakelen.

Het is natuurlijk leuk en aardig dat Microsoft “telemetrie” oftewel statistieken verzamelt, maar dat is in de EU best problematisch omdat dat al héél snel onder de noemer van persoonsgegevens valt. Informatie over wat gebruiker thx1138 doet met zijn Office is een persoonsgegeven, ook al heb je niet de naam van die gebruiker of enig contactgegeven. Zelfs wanneer je aan die meetgegevens een eigen willekeurig toegekende ID hangt, val je nog onder de AVG. Dat voelt als nogal een ontwerpfout.

Met name dat “het kan niet uit” verbaast me hogelijk. Je zou zeggen dat je als bedrijf weet dat het verzamelen van gegevens over wat je gebruikers doen gevoelig kan liggen, zeker in enterprise-omgevingen (en daar hebben we het hier over). Dat is niet iets dat je met een vinkje in de EULA oplost, de belangen zijn daarvoor te groot. Dit mag gewoon niet.

Natuurlijk zal Microsoft vast ergens in de licentievoorwaarden hebben gezegd dat toestemming wordt verleend. Maar dat werkt niet op dit niveau. Software wordt ingekocht onder een groot contract, en deze afspraak moet dáár dan worden gemaakt.

Bovendien: een bedrijf of instelling mag die afspraak alleen maken als ze dat vervolgens aan haar personeel (en/of klanten) kan rechtvaardigen, en dat zie ik hier niet opgaan. Welke noodzaak binnen de arbeidsovereenkomst (aanstelling, het is ambtenarenrecht) is er om deze telemetrie aan Microsoft te verstrekken die het voor eigen doeleinden gaat gebruiken? Welk belang van Microsoft is zo dringend dat de privacy van het personeel mag worden gepasseerd? En heeft de OR wel ingestemd met die telemetrieverstrekking, dat is immers een apart recht onder de Wet OR?

Beloofd wordt om een en ander aan te passen om binnen de Europese regels te blijven, maar dat zal tot ergens in 2019 gaan duren. Dat is nogal lang, dus ik hoop dat er in de tussentijd een firewall of iets tussengezet kan worden zodat de privacy van de ambtenaren gewaarborgd blijft.

Arnoud

Mag Rijkswaterstaat je flitsen en dan een enquete opsturen?

Geplaatst op in Privacy, 19 reacties

Wie volgende week op de A12 bij Zoetermeer of op de A4 bij Delft-Zuid rijdt, heeft de kans te worden ‘geflitst’. Niet voor te hard rijden maar vanwege een onderzoek van Rijkswaterstaat. Dat meldde Omroep West onlangs. De wegbeheerder wil meer inzicht krijgen in de ontwikkelingen op de autosnelwegen in de Randstad. Met camera’s langs de weg worden kentekens gescand (met welke criteria je wordt geselecteerd, is me niet duidelijk) en gelukkigen krijgen dan die enquête thuisgestuurd. Toestemming wordt niet gevraagd, wat diverse lezers geërgerd deed mailen of dit wel mocht.

In het kader van direct marketing mogen bedrijven post met reclame sturen zonder toestemming te vragen. De grondslag daarvoor heet het eigen legitiem belang, en die vereist wel een privacy-afweging maar geen voorafgaande instemming of verzoek van de betrokkene. Een enquête zou je binnen datzelfde kader kunnen rechtvaardigen.

Alleen: een overheidsdienst kan zich niet op deze grondslag beroepen, zo staat in de AVG (artikel 6 lid 1 sub f laatste zin). Zij moeten het dus op een van de andere gronden doen, en ik kom dan uit bij sub e:

de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;

Kort gezegd, de overheid mag wat ze redelijkerwijs nodig vindt binnen de uitvoering van de overheidstaak. Zonder het expliciet te noemen, is dat ook wat de Autoriteit Persoonsgegevens erover zegt:

Het gebruik van uw persoonsgegevens door Rijkswaterstaat is alleen toegestaan als dit noodzakelijk is. Dat wil zeggen dat Rijkswaterstaat het doel niet op een andere manier kan bereiken. Is er geen andere mogelijkheid, die minder ingrijpend is voor de privacy van automobilisten?

Ik moet zeggen, ik zie ook weinig andere manieren om dit doel te bereiken. Als je een representatieve enquête wilt houden onder automobilisten op de A4 bij Delft-Zuid, dan zul je een populatie van automobilisten op de A4 aldaar moeten aanschrijven. Die gegevens zijn eigenlijk nergens anders te krijgen dan door aan de A4 aldaar te gaan staan en op basis van kenteken automobilisten te identificeren, zodat je brieven gericht eruit kunnen.

Het enige alternatief dat ik kan bedenken, is een oproep “Wie rijdt er vaak op de A4 bij Delft-Zuid” maar ik vrees dat je dan geen representatieve reacties krijgt. Daarmee zou denk ik de noodzaak redelijkerwijs wel gegeven zijn.

Wat wel nieuw is onder de AVG, is dat de overheidstaak in kwestie (en het bijbehorende noodzakelijke gebruik van persoonsgegevens) wel uitgewerkt moet zijn in een wet, zo staat in artikel 6 lid 3. Of er moet worden aangetoond dat de verwerking noodzakelijk is voor een bij wet geregelde verwerking. Wat die hier is, komt niet precies uit de verf maar gezien de aard van dit gebruik lijkt het me prima te passen binnen de taak van Rijkswaterstaat, meer specifiek het gebruik van het wegennet in kaart brengen en stappen voor verbetering nemen.

Natuurlijk is het vervelend dat mensen ongevraagd deze enquête krijgen, maar het gaat om één envelop met een verzoek. Zelfs automobilisten die daar dagelijks rijden, zullen niet vaak zo’n brief krijgen verwacht ik. Je kunt verder nog aangeven dat je geen herinneringen of andere uitnodigingen voor het specifieke onderzoek wilt hebben, maar niet algemeen dat je nóóit meer uitgenodigd wordt. Dat is overigens in dit geval ook geen recht onder de AVG – het recht van bezwaar geldt niet bij de overheidstaak.

Arnoud

Mag een webwinkel een geboortedatum vragen of moet een meerderjarigheidsvinkje genoeg zijn?

Geplaatst op in Ondernemingsvrijheid, Privacy, 24 reacties

Een lezer vroeg me:

Bij veel webwinkels wordt je gevraagd om je geboortedatum. Bij navraag is dat dan meestal omdat ze bestellingen van minderjarigen uit willen sluiten (die kunnen immers niet rechtsgeldig tot betaling gedwongen worden). Maar mag dat wel van de AVG? Je moet immers de minst privacyschendende oplossing kiezen. Dat zou hier dan toch zijn een aanvinkvakje met “Ik verklaar meerderjarig te zijn dan wel toestemming van mijn ouders/voogd te hebben”?

Je ziet inderdaad regelmatig bij webwinkels (maar ook wel bij registratie voor online diensten zoals spellen) dat je je geboortedatum moet opgeven. Meestal wordt niet expliciet gezegd waarom, en als je de privacyverklaring er op naslaat dan kom je ook maar zelden een motivatie tegen.

Mijn eerste gedachte is dan dat de ontwerper van het formulier dit logisch vond, of zelfs dat het standaard in de webshopsoftware staat en niemand het nodig vond het eruit te halen. Dat zou niet heel AVG compliant zijn: elke vraag om een gegeven moet je kunnen rechtvaardigen. Vraag je om gegevens zonder dat je kunt uitleggen waarom, dan ben je in overtreding van artikel 5 AVG.

Natuurlijk zijn er enige inhoudelijke argumenten te bedenken. Een webwinkel kan bijvoorbeeld minderjarigen willen weren, omdat die geen rechtsgeldige bestelling kunnen plaatsen zonder ouderlijke toestemming (tenzij de bestelling gebruikelijk is voor minderjarigen). Dan is een geboortedatum nuttig, omdat je dan kunt uitrekenen hoe oud deze persoon is en daarmee de inschatting maken of het normaal is dat iemand van die leeftijd dit product koopt. Bij een jongen van vijftien zou een scheerapparaat bijvoorbeeld een logische en rechtsgeldige aanschaf kunnen zijn, bij een meisje van 11 zou ik de bestelling annuleren. Maar dan moet je wel weten of iemand 11 of 15 is.

Andere redenen kunnen zijn dat je producten verkoopt die niet onder een zekere leeftijd mogen worden geleverd, zoals alcohol of games. Ook dan is een leeftijdscheck nodig, maar of je dan specifiek een leeftijd moet hebben (deze persoon is 11) of alleen een toets aan je ondergrens (deze persoon is geen 18 dus geen alcohol) dat zou voor mij meer de vraag zijn.

Het alternatief is dat je een vinkje laat zetten bij een tekst als “Ik verklaar meerderjarig te zijn dan wel toestemming van mijn ouders/voogd te hebben” werkt dan ook primair bij dit soort binaire beslissingen. Bij de “mag deze persoon dit bestellen gezien zijn leeftijd” problemen moet je echt een leeftijd hebben.

Bijkomend voordeel van een geboortedatum is dat je mensen kunt feliciteren op hun verjaardag of ze zelfs een cadeautje geven (nog bedankt vorig jaar, Coolblue). Dat mag, maar dat moet je wel even melden in de privacyverklaring.

Arnoud

Overheidsdienst nam duizenden gesprekken van advocaten op door softwarefout

Geplaatst op in Regulering, 16 reacties

De Nederlandse Dienst Justitiële Inrichtingen heeft drieduizend gesprekken van advocaten opgenomen door een softwarefout. Dat las ik bij Tweakers. De bron is een brief van de staatssecretaris waarin hij meldt van een incident: gesprekken van advocaten wiens nummer meerdere malen in de lijst met niet-opnemen-nummers stonden, werden wél opgenomen. Dit kwam uit nadat een advocaat het ontdekte (maar hoe dan?) en erover klaagde. De fout is nu opgelost.

Gezien het “van advocaten die meerdere malen voorkomen” zie ik het nog wel als reëel dat het echt een programmeerfout was. Een simpele verklaring is dat de te matchen nummers normaal als tekststring binnenkomen en nu als lijst met de meerdere nummers. Vergelijken van een string met een array zal nooit een match opleveren, dus dan komt dit gesprek door de check heen en wordt het alsnog opgenomen.

De grotere vraag is waarom de DJI dit nooit merkte bij het terugluisteren van de taps. Mogelijk doen ze dat alleen steekproefsgewijs, en het aantal advocaten met twee geregistreerde nummers zal klein zijn dus in theorie is het altijd toevallig goed gegaan. Maar het is natuurlijk ook goed denkbaar dat er DJI-mensen waren die wél meeluisterden. Ik zou het dan wel héél riskant vinden om er wat mee te doen, want als je wordt betrapt heb je geen enkel excuus.

Idem als je het doorbrieft aan een agent die bezig is met een onderzoek. Die kan er niets mee in het dossier, want leg eens uit waar dat bewijs vandaan komt? Natuurlijk is softe informatie handig om te hebben maar dit kan je hele onderzoek besmetten omdat de overtreding dermate ernstig is. Dus ja, het is denkbaar maar zelfs agenten die de wet willen breken, zullen denk ik even twee keer nadenken bij deze bron van informatie.

Arnoud

EU test nepwetenschappelijke leugendetector bij grenscontroles

Geplaatst op in Regulering, 16 reacties

Wat bizar: in Griekenland, Hongarije en Letland begint een test van de Europese Unie met een leugendetector bij de grenscontrole, las ik bij Tweakers. Het iBorderCtrl-systeem analyseert ‘microgezichtsuitdrukkingen’ van reizigers om te controleren of ze de waarheid vertellen. Niet alleen is deze test gebaseerd op onderzoek waarbij slechts 32 vrijwilligers betrokken waren als proefpersonen, er is ook geen wetenschappelijke onderbouwing dat microexpressies überhaupt iets zeggen over leugenachtigheid. Maar ja, er zit een Artificial Intelligence in en uiteindelijk zegt het systeem alleen maar dat iemand verder moet worden gecontroleerd, dus niets aan de hand toch? Nou, dus wel.

In de kern komt het erop neer dat je als potentiële bezoeker online een aanvraag doet om de EU in te mogen. Je uploadt dan een foto van je paspoort en doet een intake met een virtuele douanebeambte in jouw taal, waarbij je wordt gefilmd met je eigen webcam. Software bij de douane analyseert die beelden (van 640×480 pixels bij 30 frames per seconde) op ‘microexpressies’, zeer kleine veranderingen in het gelaat die worden gekoppeld aan emotionele reacties. Een Machine Learning model (“een AI”) trekt daar statistische gegevens uit en legt deze langs een berg met proefpersoondata om zo te bepalen of je waarschijnlijk een leugenaar bent. Je komt dan in aanmerking voor extra controle.

Bedoeling van het systeem is natuurlijk om de douanebeambten aan de grens te ontlasten. Als een AI kan filteren op de verdachte personen, dan kan de douane daar haar aandacht op richten en de ‘gewone’ bezoekers doorlaten. Dat concept (dat ik eerder besprak) ondersteunt slechts de werkprocessen, en is daarmee juridisch geen probleem.

Het is ook niet verboden onder de AVG (die ook geldt bij grenscontroles, omdat hij geldt voor alle verwerkingen die in Europa gebeuren, en de dienst van het pre-screenen gebeurt in Europa). Weliswaar mag een computer geen besluiten nemen, maar een aanwijzing of iemand gecontroleerd moet worden, telt niet als besluitvorming in de zin van de AVG. Deze actie raakt je niet “in aanzienlijke mate”, zoals de wettelijke formulering is.

Inhoudelijk is dit natuurlijk behoorlijk problematisch. Natuurlijk is het geen robot die je bij de grens tegenhoudt. Er gaat een rood lampje branden bij de menselijke douanecontroleur, maar die moet vervolgens nog wel iets van bewijs te voorschijn krijgen. Alleen, in mijn ervaring is er altijd wel iets als je goed zoekt, in bureaucratische en voor gebruikers onbekende situaties. Zeker wanneer de controleur het onderzoek in gaat met “er is iets aan de hand”. Je krijgt dan een heel andere insteek van het gesprek en de doorzoeking dan bij een “Persoon geselecteerd voor willekeurige controle”. Dat vind ik ernstig.

In het paper van het onderzoek lees ik dat de insteek is dat van 32 participanten datasets op basis van beelddata werden gemaakt (die fameuze micro-expressies); een webcam van 640×480 pixels op 30 fps, elk frame is een data-vector. Koppel de beelden aan een vraag (“Wat zit er in uw koffer” of “Wat is de naam van iemand die uw verhaal kan bevestigen”) en je hebt je dataset. Het lijkt een standaard neural network met 20 verborgen lagen, waarbij inderdaad accuratesse van 76% werd gerapporteerd op de test-set. Nou is dat al niet hoog, maar het is dus gebaseerd op twee-en-dertig mensen. Dat vind ik bizar weinig. Ik ken natuurlijk de training voor douanebeambten niet, maar ik mag hopen dat die meer dan 32 trainingssituaties krijgen voordat ze ‘los’ mogen aan de grens?

Vervolgens vind ik deze Powerpoint (met wat zorgelijke dingen, zoals dat in de lijst van risicofacturen op slide 16 mensen hun Twitter(???) genoemd wordt. En wat ik volledig mis is hoe het systeem uitlegt waarom je in de verhoogdrisicorij terecht gekomen bent, een AVG eis. Ik denk dat ze denken dat dat niet hoeft omdat het systeem rule-based is, maar dat is onterecht.

Daar komt dan bij dat microexpressies helemaal niets zeggen, aldus UvA-professor Bruno Verschuere. Dus zelfs als je wel een representatief model hebt, dan slaat het aan op features die niets zeggen over de werkelijkheid. Effectief heb je daarmee een hele dure (4,5 miljoen Euro) random nummer generator gebouwd, maar met de pretentie dat het iets zegt dat het lampje rood werd. Dat lijkt me bepaald niet de bedoeling.

Arnoud

ISP Bahnhof blokkeert toegang tot Elsevier uit protest, mag dat?

Geplaatst op in Ondernemingsvrijheid, 4 reacties

Een rechtbank heeft de Zweedse provider Bahnhof bevolen enkele internetdomeinen te blokkeren na claims van uitgever Elsevier van inbreuk op auteursrechten. Dat meldde Tweakers maandag. In antwoord daarop blokkeert Bahnhof de toegang tot de sites van de uitgever zelf, en bezoekers van deze uitgever mogen de site van de ISP niet meer bekijken. Dit als ludiek protest nu men hoger beroep te duur en te weinig kansrijk acht. Niet dat er veel medewerkers van Elsevier vanaf hun werk een abonnement bij een Zweedse internetprovider willen nemen, maar toch. Het gaat om het principe. Maar dan krijg je altijd van die principiële mensen terug die dan roepen, maar ho ho mag dat wel van netneutraliteit?

In Europa hebben we sinds 2015 netneutraliteit verankerd in een Verordening, een Europese wet. De hoofdregel uit deze Verordening is vrij simpel:

Aanbieders van internettoegangsdiensten behandelen bij het aanbieden van internettoegangsdiensten alle verkeer op gelijke wijze, zonder discriminatie, beperking of interferentie, en ongeacht de verzender en de ontvanger, de inhoud waartoe toegang wordt verleend of die wordt verspreid, de gebruikte of aangeboden toepassingen of diensten, of de gebruikte eindapparatuur.

Daar is weinig juridisch aan, je mag als ISP dus geen enkele discriminatie of blokkade instellen tegen iemands internetgebruik. Niet bij je klanten, en niet bij derden. Ook niet als ze jou net bij de rechter tot een blokkade hebben gedwongen.

Zo’n blokkade mag dan op zich weer wel:

Aanbieders van internettoegangsdiensten treffen geen verkeersbeheersmaatregelen die verder gaan dan de in de tweede alinea bedoelde maatregelen, en gaan met name niet over tot het blokkeren, vertragen, wijzigen, beperken of degraderen van, interfereren met of discrimineren tussen specifieke inhoud, toepassingen of diensten, of specifieke categorieën daarvan, behalve indien — en slechts zolang — dit nodig is om:
a) te voldoen aan de wetgevingshandelingen van de Unie of de nationale wetgeving die in overeenstemming is met het Unierecht, waar de aanbieder van de internettoegangsdiensten onder valt, of aan de met het Unierecht in overeenstemming zijnde maatregelen ter uitvoering van dergelijke wetgevingshandelingen van de Unie of dergelijke nationale wetgeving, met inbegrip van beslissingen van rechters of overheidsinstanties die ter zake bevoegd zijn;

Als het moet van de wet, of van de rechter die de wet heeft toegepast, dan is een blokkade of beperkende maatregel dus wel mogelijk binnen netneutraliteit. Elsevier heeft dus het recht aan haar zijde. Formeel zou Bahnhof dus op de vingers getikt kunnen worden voor haar tegenactie, hoewel ik het gezien de achtergrond en deze zeer beperkte scope (en het feit dat ze alleen haar eigen klanten dupeert, wat zich vanzelf oplost na wat klachten bij de helpdesk lijkt me) niet kan voorstellen dat de Zweedse telecomtoezichthouder hier wat van gaat vinden.

Arnoud