Mag je als bedrijf vingerafdrukken voor je prikklok gebruiken?

Geplaatst op in Privacy, 12 reacties

Bedrijven trotseren de nieuwe privacywet door gewoon te blijven werken met prikklokken met vingerafdrukken. Dat meldde het FD afgelopen vrijdag. Uitzendbureau Tempo Team is gestopt, maar supermarkt Dirk ziet er vooralsnog geen probleem in. De AVG verklaart vingerafdrukken tot biometrische en daarmee bijzondere persoonsgegevens, die in principe niet mogen worden gebruikt. De zorg is nu of de AVG een uitzonderingsgrond biedt voor deze categorie verwerkingen. Dat komt met name door een fout antwoord van de minister op Kamervragen hierover.

Biometrische gegevens zoals vingerafdrukken worden onder de AVG aangemerkt als bijzondere persoonsgegevens, waarmee ze in beginsel helemaal niet mogen worden gebruikt. Alleen als de AVG daar een aparte grondslag voor biedt, kan dat toegestaan zijn. Naast uitdrukkelijke vrijwillige toestemming -die werknemers niet kunnen geven- is voor biometrie eigenlijk de enige optie dat je je beroept op een nationale regeling die het onder voorwaarden toelaat (art. 9 lid 2 AVG). De politieke achtergrond hiervan is namelijk dat de lidstaten het niet eens konden worden over de toelaatbaarheid en risico’s van biometrie, zodat iedereen het maar zelf in zijn eigen wet moet regelen.

In Nederland is er sinds 25 mei de Uitvoeringswet AVG, waarin een aantal nationale regels zijn opgenomen die de AVG nader uitwerken of aanvullen, waaronder op het punt van biometrie. In artikel 29 daarvan wordt het verbod op gebruik van biometrie opgeheven wanneer

de verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden.

Opvallend daarbij is dat bij de invoering alleen over beveiligingsnoodzaak is gesproken. Biometrie is natuurlijk primair bedoeld voor de veiligheid, zeker weten dat je de juiste persoon binnen of buiten laat. In de zeer korte behandeling van dit wetsartikel komt men dan ook niet verder dan de inzet voor toegangscontrole.

In de beantwoording van de Kamervragen uit februari gaat de minister ook niet verder dan dat:

Het criterium van de regeling in de UAVG betekent dat het gebruik van vingerafdrukken noodzakelijk moet zijn voor de beveiliging van de toegang van gebouwen of ICT systemen. Het vastleggen van de biometrische gegevens moet voorts proportioneel zijn en noodzakelijk voor de toegangscontrole.

En bij het antwoord op vraag 3 (mag een werknemer straffeloos weigeren zich met vingerafdruk in de prikklok te registreren) is men nog stelliger: Ja. Dat wekt natuurlijk wel héél erg de indruk dat biometrie voor prikklokken niet de bedoeling is – het is geen toegangscontrole, en de werknemer mag niet worden gestraft met niet-uitbetaling van gewerkte uren als hij er niet aan wil meewerken. Daar zou ik ook wat zenuwachtig door worden als werkgever.

Het klopt natuurlijk niet. “Authenticatie” is een veel breder begrip dan enkel “toegangscontrole”. Authenticatie is algemeen gesteld het proces waarbij iemand nagaat of een gebruiker, een andere computer of applicatie daadwerkelijk is wie hij beweert te zijn. Er is geen enkele reden om dat te lezen als beperkt tot nagaan in de context van toegang tot controle of bijvoorbeeld een ict-systeem. De Uitvoeringswet noemt in de tekst ook nergens die beperking.

Relevant is natuurlijk wel of de inzet van biometrie noodzakelijk is voor het goed functioneren van de prikklok. Er zijn immers alternatieven, zoals authenticatie met een persoonlijk pasje. De vraag wordt dan of die alternatieven onwerkbaar zijn, bijvoorbeeld omdat er te makkelijk mee kan worden gefraudeerd. Je kunt immers het pasje van je collega meenemen en scannen, om zo fictief zijn uren op te hogen. In de praktijk gaat het vooral om gemak, zo lees ik in het FD:

‘De praktijk leert echter dat veel medewerkers de voorkeur hebben voor het gemak van de vingerscan boven het gedoe van een pasje. We hebben dan ook diverse klanten gehad die een groot deel van hun passen hebben teruggestuurd’, aldus Matthijs van den Ende van [prikklok-leverancier] Dyflexis.

Gemak zou ik zien als een te zwak argument om de noodzaak te ondersteunen. Als mensen liever met vingerafdrukken werken vanwege het gemak, dan zou je dat kunnen zien als een uitdrukkelijke toestemming. Dan kom je uit bij een prikkloksysteem dat én met vingerafdruk én met pasje werkt, zodat de werknemer de keuze heeft. Dat lost het probleem dan op, zij het dat je nog blijft zitten met de mogelijkheid van pasjesfraude. Maar dat is een al bekend probleem waar -neem ik aan- ook al oplossingen voor zijn.

Arnoud

Groningse telecomprovider weigert klantenbestand preventief aan politie te geven

Geplaatst op in Regulering, 10 reacties

Telecomproviders zijn verplicht om preventief de persoonlijke gegevens van alle klanten te overhandigen aan de politie, maar het Groningse Voys weigert dat. Dat las ik bij de NOS. Dit is ingegeven door eerder nieuws dat het zogeheten Centraal Informatiepunt Onderzoek Telecommunicatie (CIOT) niet altijd zorgvuldig omgaat met deze gegevens. Er is veel onduidelijkheid over de regels voor politie en Justitie, en de beveiliging ligt ook niet helemaal lekker. Maar het is ondertussen wel wettelijk verplicht.

Het CIOT is in 2000 ingesteld onder het Besluit verstrekking gegevens telecommunicatie. De kern is dat internetproviders elke dag basisgegevens over hun abonnees uploaden naar een centrale databank beheerd door dat Informatiepunt, waarna Justitie daar makkelijk centraal in kan graven bij een vermoeden van een misdrijf. De basisgegevens zijn kort gezegd naam en adres, IP-adressen en eventuele accountinformatie behorend bij een mailbox van de provider zelf.

Hiermee is het sneller schakelen voor de politie dan wanneer men elke keer een individueel bevel aan de provider moet geven, die dan moeilijk gaat doen en roepen dat er een gerechtelijk bevel moet komen. Dat is niet zo -iedere agent mag zonder bevel of machtiging dergelijke gegevens opvragen als dat in het belang van het onderzoek is- maar dat kost natuurlijk tijd en die wil je als politieagent niet hieraan verspillen.

Aanname achter het CIOT was natuurlijk wel dat de toegang goed geregeld wordt. Dit staat ook zo in het Besluit:

Een verzoek van de bevoegde autoriteit, bedoeld in artikel 3, tweede lid, kan slechts in het systeem worden ingevoerd door een door Onze Minister van Veiligheid en Justitie geautoriseerde ambtenaar die daartoe gebruik maakt van een hem toegekende toegangscode.

In de praktijk valt dat tegen. Er is ‘onduidelijkheid’ over de procedures, informatie wordt te lang bewaard en aan die toegangscontrole schort het nogal. Daarmee snap ik wel dat Voys besluit (en al zes jaar lang, volgens de NOS) om geen gegevens te verstrekken vanuit het privacybelang van haar klanten. Wat zeer loffelijk is.

Tegelijk, je bent wettelijk verplicht om aan het CIOT mee te werken. Doe je dat niet, dan kun je bestuursrechtelijk worden vervolgd met mogelijk hoge boetes in het vooruitzicht. Gezien de periode van zes jaar waarin Voys al niet meewerkt, lijkt het onwaarschijnlijk dat dit er nu van gaat komen. Jammer, het zou een interessante vraag zijn wat er wint: de plicht om te doen wat de wet zegt, of de onredelijkheid van een wet die de verplichtingen voor de overheid niet waarmaakt.

Arnoud

Privacywet schiet tekort bij hulp tegen computer

Geplaatst op in Innovatie, 13 reacties

De nieuwe Europese privacyregeling, die moet voorkomen dat computers ongecontroleerd belangrijke beslissingen nemen over mensen, helpt niemand. Dat zeggen privacy-experts aan verschillende universiteiten in het FD vorige week. De AVG – want daar hebben we het natuurlijk over – bepaalt dat mensen niet onderworpen mogen worden aan geautomatiseerde beslissingen. De beslissing moet menselijk zijn, een computer of algoritme mag slechts ondersteunen en adviseren. Bovendien moet het geautomatiseerde proces uitlegbaar zijn, een onderwerp waar we vaker over hebben gediscussieerd. Maar het helpt niet, omdat – zo luidt de cynische conclusie – organisaties gewoon een mens “computer says no” laten zeggen en dan onder de wet uit denken te komen.

Op papier is het verbod natuurlijk streng genoeg om dit soort trucjes eenvoudig te dwarsbomen. Het hele idee van dit verbod is te voorkomen dat een ijzerenheinige computer een rood lampje laat branden waartegen je niets kunt doen. Een mens er naast die met veel sympathie de schouders ophaalt en “het spijt me, het mag écht niet” zegt, is dan natuurlijk geen wezenlijke verbetering. En als je die computer onder het bureau verstopt dan blijft het natuurlijk evenzo hetzelfde.

Praktisch gezien geloof ik onmiddellijk dat bedrijven deze oplossing kiezen en kijken of er iemand komt piepen. De kracht van de AVG zit hem net zoals alle andere wetten in de handhaving. Laten we dit gaan, dan blijft alles zoals het is. Bovendien zitten mensen vaak niet te wachten op uitleg of menselijke tussenkomst, ze hebben een bezwaar en willen dat iemand daar wat mee doet. Zoals Stefan Kulk het zegt:

‘Mensen willen dat een beslissing wordt teruggedraaid. Het kan ze misschien weinig schelen dat het een computer is geweest. Bovendien is de drempel voor een klacht erg hoog. Je moet weten dat jouw persoonsgegevens zijn gebruikt voor een volledige computerbeslissing. Dat weet bijna niemand.’

Dit suggereert alleen wel dat wanneer een mens handmatig (of gevoelsmatig?) het besluit neemt, je géén recht hebt om uitleg te krijgen over die beslissing. Dan zou je daar niet zomaar bezwaar tegen kunnen maken.

Hébben we eigenlijk wel recht op uitleg van een besluit? Die rechtsfilosofische vraag zag ik laatst besproken bij filosofisch blog Bij Nader Inzien. Daar kwam ook dit GDPR-artikel aan de orde:

Wat opvalt aan deze benadering is dat er sprake is van ‘normatieve asymmetrie’. Dat wil zeggen: geautomatiseerde beslissingen zijn in normatief opzicht anders of speciaal vergeleken met menselijke beslissingen. Kort gezegd: voor het hebben van een ‘recht op uitleg’ maakt het alles uit of je kredietonwaardig wordt bevonden door de persoon Ralph van de bank versus een algoritme van diezelfde bank.

Ralph mag dus gewoon zeggen, uw aanvraag voelt niet goed dus helaas geen hypotheek. Maar RalphCom de op IBM Watson gebaseerde Artifical Intelligence hypotheekbetrouwbaarheidsvoorspeller moet met een uitleg komen: “variabele t_lastpay is hoger dan 86400 en in uw uitgavenpatroon is een sterke correlatie gevonden met notoire wanbetalers. PHP Error: Apology not found.”

Wat we feitelijk doen wanneer we van ons recht op uitleg gebruik maken, is te eisen om de mens achter de machine te spreken te krijgen, aldus BNI. Mensen kun je overtuigen met rede en argumenten, vragen om alternatieven, heroverwegingen of nieuwe pogingen. Als ik nu een extra jaarrekening laat zien, denkt u dan wél dat ik een betrouwbare ondernemer ben? Ik bankier hier al twintig jaar, heeft u dat wel meegewogen?

De conclusie die BNI vervolgens trekt – nee, geen fundamenteel recht op uitleg – deel ik echter niet. Ik denk dat je wél dat fundamentele recht hebt, maar dat dit recht eigenlijk zo vanzelfsprekend is dat het niet genoemd wordt. Wie iets belangrijks vraagt en “nee” te horen krijgt, zal altijd vragen “hoezo, waarom dan”. En we worden boos als er dan “tsja, dat is nu eenmaal een gevoel dat ik heb” of vergelijkbare onzinpraat uit komt. Er moet een uitleg komen, en wel zo eentje dat we er bezwaar tegen kunnen maken – of vrede met de beslissing kunnen zoeken.

Arnoud

Wanneer kun je juridisch spreken van een cyberoorlog?

Geplaatst op in Informatiemaatschappij, 25 reacties

Nederland is in een “cyberoorlog” met de Russen verwikkeld, zegt minister Ank Bijleveld van Defensie. Dat meldde Nu.NL onlangs. De aanval op het het wifi-netwerk van de OPCW in Den Haag door vier GRU-agenten zou deel zijn van een grotere hoeveelheid cyberaanvallen van Rusland op Nederlandse infrastructuur, waarbij de minister het desgevraagd aanduidde als een “cyberoorlog”. Enkele dagen later werd dat genuanceerd, de uitspraak was “vanzelfsprekend niet letterlijk bedoeld”. Wat een paar lezers ertoe bracht me te vragen, wanneer spreek je wél letterlijk van een cyberoorlog? Is dat juridisch een begrip?

Het korte antwoord: nee, dat is geen juridisch gedefinieerde term. De meer algemene term ‘oorlog’ is dat soort van wel – een gewapend conflict tussen staten, heel algemeen gezegd. Daar zijn allerlei variaties op, waarvan de meest symbolische denk ik wel is artikel 2 United Nations Charter, dat simpelweg het voeren van (en dreigen met) oorlog verbiedt. Klinkt mooi, maar oorlog is een dusdanige uitzonderingstoestand dat de wettelijke theorie al heel snel zal wijken voor de brute praktijk.

Je zou natuurlijk kunnen zeggen, vanwege de prefix cyber- is een cyberoorlog dan een oorlog die al cyberend wordt uitgevoerd. Oftewel, de middelen van oorlogvoering zijn ICT-middelen in plaats van bommen en granaten. Maar ik zie echter een paar belangrijke verschillen tussen cyberaanvallen zoals die vandaag de dag gebeuren, en wat we klassiek onder “oorlog” verstaan.

Bij een oorlog is meestal sprake van gerichte aanvallen: een stuk land veroveren, defensie platleggen, industrie of hulpbronnen veroveren. Cyberaanvallen zijn echter meer ongericht: eens zien wat we plat kunnen leggen, hoe we het land kunnen destabiliseren. Een hoop dingen proberen en zien waar je succes hebt. Dat vind ik nauwelijks te vergelijken met een militaire invasie of een luchtbombardement. Daarbij komt dat dit soort aanvallen vaak worden ondernomen door losse hackersgroepen, die weliswaar vaak gelieerd zijn aan de staat maar geen militaire eenheden zijn. Dat hoeft ook helemaal niet bij dit soort aanvallen.

Ik zou dan zelf ook eerder spreken van cyberterrorisme of cyberguerrilla, ook daar zie je vaak een hoop probeersels waarbij de successen beklijven en de mislukkingen nauwelijks opvallen. Maar ik geef meteen toe dat dat een stuk minder spannend klinkt dan ‘oorlog’.

Arnoud

Nu ga ik aan mezelf twijfelen, is de GPLv2 eigenlijk wel een contract?

Geplaatst op in Intellectuele rechten, 48 reacties

Heibel in de Linuxtent, blogde ik vorige week. Ontwikkelaars aan het besturingssysteem lagen in de clinch over een Code of Conduct die ongepast gedrag vastlegt, met de nodige interpretatieproblemen tot gevolg. Dat leidde tot een oproep om je GPL-licentie in te trekken en zo je stem te laten horen. Waarop ik me afvroeg, kan dat wel, een contract opzeggen in zo’n situatie? Maar nu ga ik zelfs twijfelen of er wel een contract ís.

Dat de GPL naar Europees recht een contract is, is al een hele lange aanname. De standaardlicentie komt uit de VS, en daar is de twijfel wel iets serieuzer: voor een overeenkomst is onder de common law het specifieke concept ‘consideration’ nodig, oftewel een tegenprestatie. Een schenking is dus géén overeenkomst daar, maar een eenzijdige rechtshandeling. In Europa waar de civil law geldt (zeg maar heel Europa behalve Ierland, Engeland en Wales) is het goed mogelijk een overeenkomst te hebben met maar één prestatie.

De GPL kent geen tegenprestatie, en kan daarmee dus geen contract zijn onder common law principes. In Europa is dat geen beletsel, dus kun je hier prima spreken van een GPL contract. (Bijkomstig voordeel is dat het Amerikaanse juristen irriteert zonder dat ze er wat aan kunnen doen.) Voor een contract is niet meer nodig dan een aanbod (dit mag je doen, onder deze voorwaarden) dat wordt aanvaard (lijkt me leuk, ik ga typen en verspreiden).

Hoe meer ik er echter over nadenk, hoe meer ik twijfel of dit eigenlijk wel goed gaat. Want die aanvaarding past niet goed in het systeem van de wet, dat er vanuit gaat dat je akkoord zegt tegen de aanbiedende partij. Als die aanvaarding niet daadwerkelijk aankomt, dan gaat er van alles schuiven. Het belangrijkste is dat de aanbieder dan het aanbod mag intrekken, waarmee het vervalt. Oftewel, zolang niemand jou daadwerkelijk meldt “ik aanvaard de GPL op jouw software, dank je” dan kun je gewoon roepen “licentieaanbod ingetrokken, sorry” en kan niemand meer wat met je software.

De praktijk is natuurlijk dat iedereen gewoon zoekt naar de regel “GPL” in de hoofddirectory van de software en concludeert dat het wel goed zit. Maar je moet je best wel in juridische bochten wringen om dan tot een juridisch perfecte aanvaarding te komen. Een mogelijkheid is bijvoorbeeld dat je zegt, de aanvaardingshandeling (het gebruik van de software) bereikt de aanbieder niet maar dat is de aanbieder zijn eigen probleem (art. 3:37 lid 3 BW), had hij maar meer moeten opletten wie zijn software gebruikt.

Maar wat is het dan wel? De Amerikaanse constructie is een “toestemming onder voorwaarden”, analoog aan een bordje bij je erfgrens. Wie zijn landgoed openstelt met een bordje “Vrije toegang dagelijks tussen zonsopgang en zonsondergang” sluit dan geen overeenkomst, maar verleent eenzijdig toestemming onder een voorwaarde (namelijk dat het overdag is). Zolang die voorwaarde wordt gerespecteerd, mag je er zijn. Schend je de voorwaarde of vervalt deze, dan pleeg je erfvredebreuk en moet je dus wegwezen. Vertaal je dat naar softwareland, dan krijg je toestemming onder het auteursrecht om te handelen maar zodra je de voorwaarden schendt, eindigt de toestemming en heb je een probleem.

Het mooie van deze oplossing is, het maakt niet uit of je de voorwaarden aanvaardt of niet. Negeer ze en je pleegt sowieso inbreuk. Dus je hoeft helemaal niets te zeggen tegen de rechthebbende. De toestemming is ook niet zomaar intrekbaar: gezegd is gezegd, zeker gezien de constructie in de aanhef van de GPL dat het krijgen van een kopie van de software tevens toestemming inhoudt.

Het grote nadeel is natuurlijk, het is nog nooit getest bij de rechter. En ik weet ook niet op welke plek in het Burgerlijk Wetboek ik deze constructie zou moeten duiden. Maar het past beter bij mijn rechtsgevoel anno 2018.

Arnoud

Wanneer is een uitlating vanuit een bedrijfsaccount bindend op het bedrijf?

Geplaatst op in Ondernemingsvrijheid, 23 reacties

Een lezer vroeg me:

Ik vroeg mij af in hoeverre uitlatingen van bedrijfsaccounts op forums ‘bindend’ zijn, in de zin dat consumenten bedrijven kunnen houden aan hun uitlatingen op forums, zoals bijvoorbeeld Tweakers. Bijvoorbeeld op Tweakers zie je wel eens de melding ‘Bedrijfsaccount’. Stel dat men vanaf zo’n account bijvoorbeeld zegt dat iets gratis is, zonder overleg met de bevoegde directie. Is dat dan bindend, zo’n informeel bericht?

Mensen denken nog wel eens dat iets alleen bindend is wanneer het officieel door een bij de KVK aangewezen bevoegd persoon is gedaan. Dat is niet waar. Wat zo’n persoon zegt binnen zijn bevoegdheid is zeker bindend, maar uitingen daarbuiten kunnen ook bindend zijn. Tot een toezegging van een stagiair aan toe, die eigenlijk helemaal niets mag zeggen.

De hoofdregel over bindendheid is artikel 3:35 BW, dat bepaalt dat de wederpartij een uitlating als bindend kan beschouwen als hij dat onder de gegeven omstandigheden redelijkerwijze mocht doen. Specifiek over spreken namens een ander is artikel 3:61 BW, dat bepaalt dat

Is een rechtshandeling in naam van een ander verricht, dan kan tegen de wederpartij, indien zij op grond van een verklaring of gedraging van die ander heeft aangenomen en onder de gegeven omstandigheden redelijkerwijze mocht aannemen dat een toereikende volmacht was verleend, op de onjuistheid van deze veronderstelling geen beroep worden gedaan.

Oftewel: als de ‘ander’ – het bedrijf dus – de indruk heeft geschapen dat deze persoon namens het bedrijf dit mocht zeggen, dan mócht hij dit en dan is het bindend voor het bedrijf. Ongeacht wat de KVK zegt of wat er intern is afgesproken.

In theorie kan dus een stagiair een bedrijfsaccount maken zonder overleg en allerlei toezeggingen gaan doen die bindend zijn, terwijl het bedrijf daar geen weet van heeft. De enige bescherming voor het bedrijf is dat dit pas geldt als zij iets gedaan hebben waardoor de indruk werd gewekt dat de stagiair het mocht zeggen. Maar volgens mij zit je daar al snel aan: als iemand een als zodanig aangewezen bedrijfsaccount neemt (dit is een aparte categorie accounts bij Tweakers.net), daar een logo et cetera op zet en dan in taal en uitingen communiceert als het bedrijf, dan denk ik dat je als bedrijf er wel aan hangt. Ook als je er feitelijk niets van wist.

Begin augustus werd een vonnis gewezen over dit onderwerp in het kader van telefonische acquisitie. De Nationale Zorggids had gebeld met een psychologie-praktijk, waar een stagiair had opgenomen en zich had voorgesteld als assistent van de psycholoog. De verkoper smeerde haar een vermelding in de gids aan, waarna zij bevestigde dat de psycholoog dit wilde en akkoord was. Dat bleek bij de rechter bindend op de praktijk, ook al mocht de stagiair zich helemaal niet zo voorstellen en was er niet eens overleg geweest over de wenselijkheid van de vermelding. De zakelijke telefoon van het bedrijf opnemen en dan zeggen dat je bevoegd bent, is dus al een heel eind genoeg om je werkgever te binden aan van alles en nog wat.

Dat biedt natuurlijk ruimte voor allerlei misbruik. (Ik hoor Wim ten Brink nu al in de comments voorstellen een ICTRecht bedrijfsaccount te openen bij Tweakers en dan namens mij kortingen geven op allerlei producten.) Uiteindelijk komt het dan neer op een afweging van de omstandigheden, hoe geloofwaardig was dit bedrijfsaccount, en hadden mensen kunnen zien dat dit een neppert met een gevonden logo was?

Arnoud

Veel Nederlanders sturen werkbestanden naar privémailadres, mag dat?

Geplaatst op in Informatiemaatschappij, 16 reacties

Veel Nederlandse werknemers versturen weleens werkbestanden vanuit hun zakelijke mailbox door naar hun privémailadres, las ik bij Security.nl. Dat baseert zich op het recent verschenen Cybersecurity bewustzijnsonderzoek van Alert Online dat onder meer dan duizend Nederlanders werd uitgevoerd. Volgens het onderzoek zegt 15 procent van de respondenten dat ze dit “altijd of meestal” wel doen. 29 procent zegt soms wel, soms niet of meestal niet. Het onderzoek werd uitgevoerd door Motivaction in opdracht van Omnicom Public Relations Group (OPRG), dat de NCTV-campagne Alert Online organiseert. Ik kreeg van diverse mensen de vraag, kun je dit niet beter gewoon verbieden als werkgever?

Het kan natuurlijk een risico zijn om werkbestanden naar jezelf te mailen. Ik vermoed dat in de enquête vooral werd gedacht aan risico’s rondom de slechter beveiligde thuiscomputer, waardoor virussen er met de data vandoor kunnen gaan of deze door een foutje gemaild of geupload wordt naar een plek waar hij niet hoort. Idem voor privémailboxen die minder goed beveiligd zijn. Daarnaast zit je als bedrijf nog met AVG issues, een bestand met persoonsgegevens dat op deze manier mee naar huis gaat, kan best een datalek opleveren.

Vanwege deze risico’s kan ik me goed voorstellen dat een bedrijf haar medewerkers verbiedt om bestanden naar privéadressen te mailen en/of op sticks en dergelijke mee naar huis te nemen. Wel moet je als bedrijf dan goed hebben nagedacht hoe je het wil doen met thuiswerken, iets dat vaak de facto zeer zeker verwacht wordt van medewerkers. (Ze nemen die informatie immers niet voor niets mee naar huis.) Je kunt als goed werkgever niet enerzijds thuiswerken verlangen en anderzijds geen middel bieden om de benodigde data thuis te hebben.

In de comments zag ik nog de suggestie om werknemers aansprakelijk te stellen als ze zo’n verbod overtreden of een datalek veroorzaken door slechte beveiliging thuis. Dat gaat ‘m niet worden: juridisch gezien kun je werknemers gewoon niet privé aansprakelijk houden voor fouten die ze op het werk maken. En data meenemen naar huis om daar onveilig te werken, is gewoon een werkgerelateerde fout. Ook als het expliciet verboden is. Het arbeidsrecht is hier zeer op de hand van het personeel.

Ik ken werkgevers die om deze reden USB-poorten fysiek onbruikbaar maken en Gmail en consorten blokkeren. Dat is wat radicaal maar voorkomt een hoop ongewenste datatransporten. Je maakt het mensen dan weer wel moeilijker om hun werk te doen, dus daar moet je dan wat anders op verzinnen.

Arnoud

Mag een webwinkel me verplichten mijn geboortedatum in te vullen?

Geplaatst op in Ondernemingsvrijheid, 55 reacties

Een lezer vroeg me:

Mag een bedrijf een klant verplichten om zijn geboortedatum te geven?

Onder de AVG geldt het principe van dataminimalisatie: je mag niet meer persoonsgegevens gebruiken dan je strikt nodig hebt om je doel te halen. Vanuit dat principe mag je dus ook niet meer vragen dan wat je nodig hebt.

Veel bestelformulieren zijn van voor de AVG en vragen dus van alles en nog wat, ongeacht of het nu echt nodig is. De geboortedatum van de klant is typisch zo’n element. Hoe belangrijk is het dat je weet wanneer je klant jarig is, of dat je weet hoe oud deze is?

Ik kan eigenlijk nauwelijks een scenario bedenken waarin je dat móet weten. Misschien bij producten die alleen voor volwassenen zijn, zoals drank. Vragen om de geboortedatum is dan deel van een procedure om leeftijden te checken. Maar bij zo ongeveer alle andere bestellingen zeg ik: nee, je kunt me niet verplichten mijn geboortedatum in te vullen.

En op het gevaar af om politiek correct te klinken, ik denk dat hetzelfde geldt voor de vraag of ik de heer dan wel mevrouw ben. (Over mejuffrouw hebben we het al helemaal niet meer.) Dat zou ook een optionele vraag moeten zijn, of in ieder geval de optie “wil ik niet zeggen/gaat je niets aan”. Want dat je een correcte aanhef wilt hanteren in de correspondentie, is volgens mij óók geen noodzaak.

Arnoud

Kunnen Linux-ontwikkelaars de GPLv2 intrekken als ze het met de Code of Conduct oneens zijn?

Geplaatst op in Informatiemaatschappij, 58 reacties

Herrie in de Linux-tent: een nieuwe Code of Conduct in het project heeft veel ophef veroorzaakt, inclusief dreigementen dat men bijdragen aan de kernel gaat intrekken. Deze zijn door vrijwilligers ingebracht onder de GPLv2 open source licentie, maar volgens partijen die het oneens zijn met de Code is het nu mogelijk deze licentie weer in te trekken. Daarmee zou Linux en al haar afgeleide projecten – waaronder Android, dat het fundament vormt voor de meerderheid van alle smartphones en dergelijke devices – op losse schroeven komen te staan. Maar zo heet wordt die soep niet gegeten.

De herrie begon vlak nadat oprichter en eindbaas Linus Torvalds besloot zich tijdelijk terug te trekken “to take some time to learn how empathy works”. Op dat moment was er ook net een nieuwe Code of Conduct aangenomen voor het project, in lijn met vele andere open source projecten die proberen meer diversiteit aan boord te krijgen en verwijten van toxic culture het hoofd te bieden. Dat was tegen het zere been van een vocale groep ontwikkelaars, die dit zien als een aanval op de waarden van open source, met name het principe dat het gaat om de inhoud en kwaliteit, niet om vorm, afzender of wat dan ook. Ik breng het maar zo neutraal mogelijk, en wie even googelt op social justice warrior en toxic culture zal begrijpen waarom.

Een recente oproep in de vorm van een open brief gooide olie op het vuur. Deze stelde namelijk dat iedereen die het oneens was met de Code of Conduct, dit moest laten merken door zijn (of in theorie: haar) bijdragen aan Linux terug te trekken. Dit zou kunnen via de juridische figuur van rescission, in het Nederlands ontbinding geheten. Daarmee vervalt de licentie en mag de Linux kernel, maar ook Android en consorten, die code niet meer gebruiken.

Leuk bedacht, maar ik denk niet dat het stand houdt. Het concept van rescission of ontbinding is een contractuele figuur, en zeker in Amerika is altijd gesteld dat de GPLv2 geen contract is. Het lijkt me dan niet haalbaar om de ontbinding daarvan in te roepen. In Europa ligt dat anders, ik weet 99% zeker dat de GPL hier een contract is. En inderdaad kun je een contract dan ontbinden.

Voor ontbinding zijn wel argumenten nodig. Je bedenken of geen zin meer hebben in de sfeer van de club is nadrukkelijk geen argument. Dat moet je maar vooraf in het contract opnemen (contractsjuristen spreken dan van termination at will). Ontbinden onder de wet kan eigenlijk alleen bij wanprestatie, schendingen van de overeenkomst door de wederpartij, of in zeer uitzonderlijke situaties die maken dat je redelijkerwijs écht niet meer gehouden kan worden aan dat contract.

Van een wanprestatie onder de GPL lijkt me geen sprake als iemand nieuwe gedragsregels binnen het project introduceert. De software wordt nog steeds onder precies dezelfde voorwaarden aangeboden, daar verandert welke gedragsregel dan ook niets aan. Ook je beroepen op gedane beloften over sfeer en werkwijze zie ik niet als wanprestatie. De GPL gaat over de software en wat daarmee mag gebeuren – namelijk alles, mits onder de gelijk-delen clausule uit die licentie. Ik zie niet hoe je dan achteraf kunt zeggen, ik vind deze nieuwe huisregels van project Linux onaardig dus de GPL wordt geschonden.

Natuurlijk kun je er wel voor kiezen om niet meer mee te doen aan het project, maar je bestaande licentie intrekken gaat ‘m niet worden.

Arnoud

FBI verkreeg toegang tot iPhone X door ontgrendeling met gezicht via Face ID

Geplaatst op in Regulering, 14 reacties

De FBI heeft in een Amerikaans kinderporno-onderzoek het gezicht van een verdachte gebruikt om via Face ID toegang te krijgen tot zijn iPhone X. Dat meldde Tweakers onlangs. Het zou de eerste zaak zijn waarin deze methode is gebruikt. In eerdere zaken werd al wel gebruikgemaakt van vingerafdrukken. In een online beschikbaar rechtbankdocument staat dat de verdachte op het moment van het doorzoeken van zijn woning thuis was en dat ‘hij op basis van het verleende doorzoekingsbevel zijn gezicht voor de iPhone X moest houden bij de uitvoering van het bevel’. Wat natuurlijk de vraag oproept, hoe kun je nu worden gedwongen om op die manier mee te werken aan je eigen veroordeling?

Dat je als verdachte niet tegen jezelf hoeft te getuigen, is een basisprincipe uit het strafrecht. De belangrijkste gedachte erachter is om oneigenlijke dwanguitoefening – wat klinkt als een eufemisme voor marteling maar dat terzijde – op de verdachte te voorkomen. Je kunt dus niet worden gedwongen om te vertellen waar je het lijk verstopt hebt. Daar staat tegenover dat de politie wél je achtertuin mag omploegen als ze vermoeden dat ze het daar kunnen aantreffen. Dat is immers geen getuigen tegen jezelf meer.

Als algemene regel geldt dat je kunt worden gedwongen om dingen te doen, maar niet om dingen te vertellen. Voor de camera staan voor je mugshot of je vinger op een inktkussentje en dan op een papiertje, dat ben je gewoon verplicht. Jezelf laten fouilleren zodat met de gevonden sleutel je kluis open kan, ook geen probleem. Maar de codecombinatie van die kluis vertellen, dat kan je niet worden verplicht als je verdachte bent.

Biometrie is daarmee een juridisch makkelijker te doorbreken beveiliging dan wachtwoorden. Want een wachtwoord vertellen mag niet afgedwongen worden, maar een biometrisch kenmerk achterhalen (vingerafdruk nemen, gezicht fotograferen, iris scannen) mag dus in principe wel. Alleen bij invasieve dingen (zoals bloed afnemen) komt het dan weer anders te liggen vanwege de integriteit van het lichaam.

In Nederland staat in artikel 55c Strafvordering dat je als verdachte moet dulden dat er vingerafdrukken en foto’s gemaakt worden “met het oog op het vaststellen van de identiteit van een verdachte”. Die informatie mag tevens worden gebruikt “voor het voorkomen, opsporen, vervolgen en berechten van strafbare feiten”. Het is nog nooit bij de rechter uitgemaakt maar ik denk dat het ontgrendelen van een telefoon met het doel om die te doorzoeken wel als een “opsporen” in de zin van dat wetsartikel aan te merken is.

Ik denk dus dat er geen bezwaar zal zijn bij de rechtbank tegen zo’n ontgrendeling.

Arnoud