Hoe strafbaar is het om met nepnieuws de verkiezingen te beïnvloeden?

Geplaatst op in Regulering, 28 reacties

Uit onderzoek van het KRO-NCRV-programma Brandpunt blijkt dat Facebook Nederlandse advertenties goedkeurt die onjuiste informatie over de Provinciale Statenverkiezingen verspreiden. Dat meldde Tweakers vorige week. De advertenties bevatten onjuiste informatie, variërend van een schreeuwerige kop dat CDA-voorman Buma uit eigen gewin de huizenprijzen zou hebben opgedreven tot een zakelijk klinkende mededeling dat de stembussen ‘vandaag’ eerder sluiten vanwege overlast voor de deur. Het journalistieke punt was dat Facebook dit niet controleert, en zo toelaat dat onze verkiezingen gemanipuleerd kunnen worden. Maar als jurist ga ik me dan afvragen, is dat op een gegeven moment toch niet stiekem strafbaar, zo verkiezingen beïnvloeden?

In het algemeen is nepnieuws niet strafbaar. Probeer maar eens een definitie te geven van het fenomeen. (Wie Trump citeert, is af.) Vaak komt het neer op een variant op “er staat onware informatie in”, maar in het algemeen is het erg moeilijk om de (on-)waarheid van een bericht vast te stellen. Auteurs hebben bovendien een arsenaal aan trucjes, van het aloude vraagteken achter de meest onware koppen tot “Disclaimer: dit is satire hahaha” onderaan de site. En op de achtergrond speelt dan ook nog eens de dreiging dat de overheid een strafbaarstelling van nepnieuws zou aangrijpen om onwelgevallig nieuws offline te krijgen.

Specifiek bij de verkiezingen voelt het echter iets urgenter dat er ingegrepen kan worden wanneer foutieve informatie opduikt. Ik kan geen harde grens trekken, maar die ga je wel voorbij met een bericht “De verkiezingen zijn verzet naar morgen” aan tienduizenden mensen aanbieden. Politiek gemotiveerde leugens (“Buma dreef huizenmarkt op” / “Gert-Jan Segers bekeerde zich stiekem tot de islam”) zijn voor mij van een iets andere categorie.

Er zijn een aantal zogeheten kiesrechtdelicten (wat is recht soms een heerlijk talig vakgebied). De meesten gaan over het stemmen zelf, meestal gefocust op het ronselen van machtigingen of het namaken van stembiljetten. Maar er is er ook eentje die kan slaan op die categorie nepnieuws, artikel 127 Strafrecht:

Hij die bij gelegenheid van een krachtens wettelijk voorschrift uitgeschreven verkiezing, enige bedrieglijke handeling pleegt waardoor een stem van onwaarde wordt of een ander dan de bij het uitbrengen van de stem bedoelde persoon wordt aangewezen, wordt gestraft met gevangenisstraf van ten hoogste zes maanden of geldboete van de derde categorie.

Kort gezegd: er voor zorgen dat de kiezer wordt misleid waardoor hij niet de door hem gewenste stem uitbrengt. Dit gaat primair over misleiding en bedrog rondom het stemhokje, mensen bijvoorbeeld vals uitleggen waar ze moeten stemmen of zeggen dat ze alle niet-gewenste vakjes moeten doorstrepen zodat de stem ongeldig wordt. Met enige fantasie kun je dit ook lezen als dat het strafbaar is om mensen met valse informatie weg te houden bij het stemhokje. Maar “met enige fantasie” is in het strafrecht geen compliment, dus ik denk dat je er hiermee niet snel komt.

Een andere mogelijkheid is valsheid in geschrifte – een document maken dat pretendeert echt te zijn, en een elektronische tekst valt daar ook onder. Dan zeg je dus, die advertentie met “u moet morgen stemmen” pretendeert een overheidsmededeling te zijn, maar is dat niet, en is dus een valselijk opgemaakt document. Ik zou daar alleen wat in zien als er expliciet iets in staat van het logo van de Rijksoverheid of gemeente, of iets anders waar je uit moet halen dat dit een overheidsmededeling is. En dat is er meestal niet. Het lijkt me een hele toer om te zeggen, de tekst klínkt officieel dus is hij officieel bedoeld.

Arnoud

Hoe moeten wij omgaan als ICT-bedrijf met AVG-schendende opdrachten van klanten?

Geplaatst op in Ondernemingsvrijheid, Privacy, 5 reacties

Een lezer vroeg me:

Wij staan als ICT leverancier vaak tussen de werkgever (onze klant) en hun werknemers in. Als bijvoorbeeld een werkgever toegang tot meerdere inboxen wil van werknemers, dan doen wij dit niet zomaar. We krijgen dan een beetje een adviserende rol. Maar tot hoever gaan we? Is het genoeg om een klant schriftelijk te adviseren eerst toestemming te vragen of een acceptable use policy op te stellen?

De beste manier om hiermee om te gaan, is voor jezelf duidelijke regels te maken: hoe willen jullie werken, waar voel je je nog prettig bij en wanneer wordt het echt onacceptabel voor jullie als dienstverlener? Bedrijfsculturen kunnen verschillen natuurlijk, en soms is er gewoon een noodzaak om bij berichten te kunnen.

Dat protocol maak je onderdeel van de opdrachten met de klant, bijvoorbeeld als bijlage bij de SLA of als annex aan je verwerkersovereenkomst. (Je hébt toch een verwerkersovereenkomst met al je klanten? Dat ben je verplicht sinds de AVG gezien het soort dienstverlening.)

Vervolgens zeg je, wij hebben een zorgplicht en afspraken in het protocol en daar werken we onder. Je doet wat er is afgesproken, maar afspraken mogen niet tegen de AVG zijn. De AVG zegt, heb je gerede twijfel dan leg je het werk neer totdat het is opgehelderd. En “volgens ons is het legaal, doe het!!1!” is daarbij niet genoeg, er moet een inhoudelijke argumentatie komen.

Dat protocol mededelen doe je aan de klant, de werkgever in dit geval dus. Die heeft vervolgens de taak om het aan zijn personeel uit te leggen. Jullie hoeven dus niet de werknemers van de klant uit te leggen wat jullie precies wel of niet doen en waarom. En je hoeft al helemaal niet de werknemers akkoord te laten gaan met jullie privacy policies, acceptable use policies en ga zo maar door. Je sluit contracten met je klanten, niet met hun personeel.

Arnoud

Mag je als bedrijf vingerafdrukken voor je prikklok gebruiken?

Geplaatst op in Privacy, 12 reacties

Bedrijven trotseren de nieuwe privacywet door gewoon te blijven werken met prikklokken met vingerafdrukken. Dat meldde het FD afgelopen vrijdag. Uitzendbureau Tempo Team is gestopt, maar supermarkt Dirk ziet er vooralsnog geen probleem in. De AVG verklaart vingerafdrukken tot biometrische en daarmee bijzondere persoonsgegevens, die in principe niet mogen worden gebruikt. De zorg is nu of de AVG een uitzonderingsgrond biedt voor deze categorie verwerkingen. Dat komt met name door een fout antwoord van de minister op Kamervragen hierover.

Biometrische gegevens zoals vingerafdrukken worden onder de AVG aangemerkt als bijzondere persoonsgegevens, waarmee ze in beginsel helemaal niet mogen worden gebruikt. Alleen als de AVG daar een aparte grondslag voor biedt, kan dat toegestaan zijn. Naast uitdrukkelijke vrijwillige toestemming -die werknemers niet kunnen geven- is voor biometrie eigenlijk de enige optie dat je je beroept op een nationale regeling die het onder voorwaarden toelaat (art. 9 lid 2 AVG). De politieke achtergrond hiervan is namelijk dat de lidstaten het niet eens konden worden over de toelaatbaarheid en risico’s van biometrie, zodat iedereen het maar zelf in zijn eigen wet moet regelen.

In Nederland is er sinds 25 mei de Uitvoeringswet AVG, waarin een aantal nationale regels zijn opgenomen die de AVG nader uitwerken of aanvullen, waaronder op het punt van biometrie. In artikel 29 daarvan wordt het verbod op gebruik van biometrie opgeheven wanneer

de verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden.

Opvallend daarbij is dat bij de invoering alleen over beveiligingsnoodzaak is gesproken. Biometrie is natuurlijk primair bedoeld voor de veiligheid, zeker weten dat je de juiste persoon binnen of buiten laat. In de zeer korte behandeling van dit wetsartikel komt men dan ook niet verder dan de inzet voor toegangscontrole.

In de beantwoording van de Kamervragen uit februari gaat de minister ook niet verder dan dat:

Het criterium van de regeling in de UAVG betekent dat het gebruik van vingerafdrukken noodzakelijk moet zijn voor de beveiliging van de toegang van gebouwen of ICT systemen. Het vastleggen van de biometrische gegevens moet voorts proportioneel zijn en noodzakelijk voor de toegangscontrole.

En bij het antwoord op vraag 3 (mag een werknemer straffeloos weigeren zich met vingerafdruk in de prikklok te registreren) is men nog stelliger: Ja. Dat wekt natuurlijk wel héél erg de indruk dat biometrie voor prikklokken niet de bedoeling is – het is geen toegangscontrole, en de werknemer mag niet worden gestraft met niet-uitbetaling van gewerkte uren als hij er niet aan wil meewerken. Daar zou ik ook wat zenuwachtig door worden als werkgever.

Het klopt natuurlijk niet. “Authenticatie” is een veel breder begrip dan enkel “toegangscontrole”. Authenticatie is algemeen gesteld het proces waarbij iemand nagaat of een gebruiker, een andere computer of applicatie daadwerkelijk is wie hij beweert te zijn. Er is geen enkele reden om dat te lezen als beperkt tot nagaan in de context van toegang tot controle of bijvoorbeeld een ict-systeem. De Uitvoeringswet noemt in de tekst ook nergens die beperking.

Relevant is natuurlijk wel of de inzet van biometrie noodzakelijk is voor het goed functioneren van de prikklok. Er zijn immers alternatieven, zoals authenticatie met een persoonlijk pasje. De vraag wordt dan of die alternatieven onwerkbaar zijn, bijvoorbeeld omdat er te makkelijk mee kan worden gefraudeerd. Je kunt immers het pasje van je collega meenemen en scannen, om zo fictief zijn uren op te hogen. In de praktijk gaat het vooral om gemak, zo lees ik in het FD:

‘De praktijk leert echter dat veel medewerkers de voorkeur hebben voor het gemak van de vingerscan boven het gedoe van een pasje. We hebben dan ook diverse klanten gehad die een groot deel van hun passen hebben teruggestuurd’, aldus Matthijs van den Ende van [prikklok-leverancier] Dyflexis.

Gemak zou ik zien als een te zwak argument om de noodzaak te ondersteunen. Als mensen liever met vingerafdrukken werken vanwege het gemak, dan zou je dat kunnen zien als een uitdrukkelijke toestemming. Dan kom je uit bij een prikkloksysteem dat én met vingerafdruk én met pasje werkt, zodat de werknemer de keuze heeft. Dat lost het probleem dan op, zij het dat je nog blijft zitten met de mogelijkheid van pasjesfraude. Maar dat is een al bekend probleem waar -neem ik aan- ook al oplossingen voor zijn.

Arnoud

Groningse telecomprovider weigert klantenbestand preventief aan politie te geven

Geplaatst op in Regulering, 10 reacties

Telecomproviders zijn verplicht om preventief de persoonlijke gegevens van alle klanten te overhandigen aan de politie, maar het Groningse Voys weigert dat. Dat las ik bij de NOS. Dit is ingegeven door eerder nieuws dat het zogeheten Centraal Informatiepunt Onderzoek Telecommunicatie (CIOT) niet altijd zorgvuldig omgaat met deze gegevens. Er is veel onduidelijkheid over de regels voor politie en Justitie, en de beveiliging ligt ook niet helemaal lekker. Maar het is ondertussen wel wettelijk verplicht.

Het CIOT is in 2000 ingesteld onder het Besluit verstrekking gegevens telecommunicatie. De kern is dat internetproviders elke dag basisgegevens over hun abonnees uploaden naar een centrale databank beheerd door dat Informatiepunt, waarna Justitie daar makkelijk centraal in kan graven bij een vermoeden van een misdrijf. De basisgegevens zijn kort gezegd naam en adres, IP-adressen en eventuele accountinformatie behorend bij een mailbox van de provider zelf.

Hiermee is het sneller schakelen voor de politie dan wanneer men elke keer een individueel bevel aan de provider moet geven, die dan moeilijk gaat doen en roepen dat er een gerechtelijk bevel moet komen. Dat is niet zo -iedere agent mag zonder bevel of machtiging dergelijke gegevens opvragen als dat in het belang van het onderzoek is- maar dat kost natuurlijk tijd en die wil je als politieagent niet hieraan verspillen.

Aanname achter het CIOT was natuurlijk wel dat de toegang goed geregeld wordt. Dit staat ook zo in het Besluit:

Een verzoek van de bevoegde autoriteit, bedoeld in artikel 3, tweede lid, kan slechts in het systeem worden ingevoerd door een door Onze Minister van Veiligheid en Justitie geautoriseerde ambtenaar die daartoe gebruik maakt van een hem toegekende toegangscode.

In de praktijk valt dat tegen. Er is ‘onduidelijkheid’ over de procedures, informatie wordt te lang bewaard en aan die toegangscontrole schort het nogal. Daarmee snap ik wel dat Voys besluit (en al zes jaar lang, volgens de NOS) om geen gegevens te verstrekken vanuit het privacybelang van haar klanten. Wat zeer loffelijk is.

Tegelijk, je bent wettelijk verplicht om aan het CIOT mee te werken. Doe je dat niet, dan kun je bestuursrechtelijk worden vervolgd met mogelijk hoge boetes in het vooruitzicht. Gezien de periode van zes jaar waarin Voys al niet meewerkt, lijkt het onwaarschijnlijk dat dit er nu van gaat komen. Jammer, het zou een interessante vraag zijn wat er wint: de plicht om te doen wat de wet zegt, of de onredelijkheid van een wet die de verplichtingen voor de overheid niet waarmaakt.

Arnoud

Privacywet schiet tekort bij hulp tegen computer

Geplaatst op in Innovatie, 13 reacties

De nieuwe Europese privacyregeling, die moet voorkomen dat computers ongecontroleerd belangrijke beslissingen nemen over mensen, helpt niemand. Dat zeggen privacy-experts aan verschillende universiteiten in het FD vorige week. De AVG – want daar hebben we het natuurlijk over – bepaalt dat mensen niet onderworpen mogen worden aan geautomatiseerde beslissingen. De beslissing moet menselijk zijn, een computer of algoritme mag slechts ondersteunen en adviseren. Bovendien moet het geautomatiseerde proces uitlegbaar zijn, een onderwerp waar we vaker over hebben gediscussieerd. Maar het helpt niet, omdat – zo luidt de cynische conclusie – organisaties gewoon een mens “computer says no” laten zeggen en dan onder de wet uit denken te komen.

Op papier is het verbod natuurlijk streng genoeg om dit soort trucjes eenvoudig te dwarsbomen. Het hele idee van dit verbod is te voorkomen dat een ijzerenheinige computer een rood lampje laat branden waartegen je niets kunt doen. Een mens er naast die met veel sympathie de schouders ophaalt en “het spijt me, het mag écht niet” zegt, is dan natuurlijk geen wezenlijke verbetering. En als je die computer onder het bureau verstopt dan blijft het natuurlijk evenzo hetzelfde.

Praktisch gezien geloof ik onmiddellijk dat bedrijven deze oplossing kiezen en kijken of er iemand komt piepen. De kracht van de AVG zit hem net zoals alle andere wetten in de handhaving. Laten we dit gaan, dan blijft alles zoals het is. Bovendien zitten mensen vaak niet te wachten op uitleg of menselijke tussenkomst, ze hebben een bezwaar en willen dat iemand daar wat mee doet. Zoals Stefan Kulk het zegt:

‘Mensen willen dat een beslissing wordt teruggedraaid. Het kan ze misschien weinig schelen dat het een computer is geweest. Bovendien is de drempel voor een klacht erg hoog. Je moet weten dat jouw persoonsgegevens zijn gebruikt voor een volledige computerbeslissing. Dat weet bijna niemand.’

Dit suggereert alleen wel dat wanneer een mens handmatig (of gevoelsmatig?) het besluit neemt, je géén recht hebt om uitleg te krijgen over die beslissing. Dan zou je daar niet zomaar bezwaar tegen kunnen maken.

Hébben we eigenlijk wel recht op uitleg van een besluit? Die rechtsfilosofische vraag zag ik laatst besproken bij filosofisch blog Bij Nader Inzien. Daar kwam ook dit GDPR-artikel aan de orde:

Wat opvalt aan deze benadering is dat er sprake is van ‘normatieve asymmetrie’. Dat wil zeggen: geautomatiseerde beslissingen zijn in normatief opzicht anders of speciaal vergeleken met menselijke beslissingen. Kort gezegd: voor het hebben van een ‘recht op uitleg’ maakt het alles uit of je kredietonwaardig wordt bevonden door de persoon Ralph van de bank versus een algoritme van diezelfde bank.

Ralph mag dus gewoon zeggen, uw aanvraag voelt niet goed dus helaas geen hypotheek. Maar RalphCom de op IBM Watson gebaseerde Artifical Intelligence hypotheekbetrouwbaarheidsvoorspeller moet met een uitleg komen: “variabele t_lastpay is hoger dan 86400 en in uw uitgavenpatroon is een sterke correlatie gevonden met notoire wanbetalers. PHP Error: Apology not found.”

Wat we feitelijk doen wanneer we van ons recht op uitleg gebruik maken, is te eisen om de mens achter de machine te spreken te krijgen, aldus BNI. Mensen kun je overtuigen met rede en argumenten, vragen om alternatieven, heroverwegingen of nieuwe pogingen. Als ik nu een extra jaarrekening laat zien, denkt u dan wél dat ik een betrouwbare ondernemer ben? Ik bankier hier al twintig jaar, heeft u dat wel meegewogen?

De conclusie die BNI vervolgens trekt – nee, geen fundamenteel recht op uitleg – deel ik echter niet. Ik denk dat je wél dat fundamentele recht hebt, maar dat dit recht eigenlijk zo vanzelfsprekend is dat het niet genoemd wordt. Wie iets belangrijks vraagt en “nee” te horen krijgt, zal altijd vragen “hoezo, waarom dan”. En we worden boos als er dan “tsja, dat is nu eenmaal een gevoel dat ik heb” of vergelijkbare onzinpraat uit komt. Er moet een uitleg komen, en wel zo eentje dat we er bezwaar tegen kunnen maken – of vrede met de beslissing kunnen zoeken.

Arnoud

Wanneer kun je juridisch spreken van een cyberoorlog?

Geplaatst op in Informatiemaatschappij, 25 reacties

Nederland is in een “cyberoorlog” met de Russen verwikkeld, zegt minister Ank Bijleveld van Defensie. Dat meldde Nu.NL onlangs. De aanval op het het wifi-netwerk van de OPCW in Den Haag door vier GRU-agenten zou deel zijn van een grotere hoeveelheid cyberaanvallen van Rusland op Nederlandse infrastructuur, waarbij de minister het desgevraagd aanduidde als een “cyberoorlog”. Enkele dagen later werd dat genuanceerd, de uitspraak was “vanzelfsprekend niet letterlijk bedoeld”. Wat een paar lezers ertoe bracht me te vragen, wanneer spreek je wél letterlijk van een cyberoorlog? Is dat juridisch een begrip?

Het korte antwoord: nee, dat is geen juridisch gedefinieerde term. De meer algemene term ‘oorlog’ is dat soort van wel – een gewapend conflict tussen staten, heel algemeen gezegd. Daar zijn allerlei variaties op, waarvan de meest symbolische denk ik wel is artikel 2 United Nations Charter, dat simpelweg het voeren van (en dreigen met) oorlog verbiedt. Klinkt mooi, maar oorlog is een dusdanige uitzonderingstoestand dat de wettelijke theorie al heel snel zal wijken voor de brute praktijk.

Je zou natuurlijk kunnen zeggen, vanwege de prefix cyber- is een cyberoorlog dan een oorlog die al cyberend wordt uitgevoerd. Oftewel, de middelen van oorlogvoering zijn ICT-middelen in plaats van bommen en granaten. Maar ik zie echter een paar belangrijke verschillen tussen cyberaanvallen zoals die vandaag de dag gebeuren, en wat we klassiek onder “oorlog” verstaan.

Bij een oorlog is meestal sprake van gerichte aanvallen: een stuk land veroveren, defensie platleggen, industrie of hulpbronnen veroveren. Cyberaanvallen zijn echter meer ongericht: eens zien wat we plat kunnen leggen, hoe we het land kunnen destabiliseren. Een hoop dingen proberen en zien waar je succes hebt. Dat vind ik nauwelijks te vergelijken met een militaire invasie of een luchtbombardement. Daarbij komt dat dit soort aanvallen vaak worden ondernomen door losse hackersgroepen, die weliswaar vaak gelieerd zijn aan de staat maar geen militaire eenheden zijn. Dat hoeft ook helemaal niet bij dit soort aanvallen.

Ik zou dan zelf ook eerder spreken van cyberterrorisme of cyberguerrilla, ook daar zie je vaak een hoop probeersels waarbij de successen beklijven en de mislukkingen nauwelijks opvallen. Maar ik geef meteen toe dat dat een stuk minder spannend klinkt dan ‘oorlog’.

Arnoud

Nu ga ik aan mezelf twijfelen, is de GPLv2 eigenlijk wel een contract?

Geplaatst op in Intellectuele rechten, 48 reacties

Heibel in de Linuxtent, blogde ik vorige week. Ontwikkelaars aan het besturingssysteem lagen in de clinch over een Code of Conduct die ongepast gedrag vastlegt, met de nodige interpretatieproblemen tot gevolg. Dat leidde tot een oproep om je GPL-licentie in te trekken en zo je stem te laten horen. Waarop ik me afvroeg, kan dat wel, een contract opzeggen in zo’n situatie? Maar nu ga ik zelfs twijfelen of er wel een contract ís.

Dat de GPL naar Europees recht een contract is, is al een hele lange aanname. De standaardlicentie komt uit de VS, en daar is de twijfel wel iets serieuzer: voor een overeenkomst is onder de common law het specifieke concept ‘consideration’ nodig, oftewel een tegenprestatie. Een schenking is dus géén overeenkomst daar, maar een eenzijdige rechtshandeling. In Europa waar de civil law geldt (zeg maar heel Europa behalve Ierland, Engeland en Wales) is het goed mogelijk een overeenkomst te hebben met maar één prestatie.

De GPL kent geen tegenprestatie, en kan daarmee dus geen contract zijn onder common law principes. In Europa is dat geen beletsel, dus kun je hier prima spreken van een GPL contract. (Bijkomstig voordeel is dat het Amerikaanse juristen irriteert zonder dat ze er wat aan kunnen doen.) Voor een contract is niet meer nodig dan een aanbod (dit mag je doen, onder deze voorwaarden) dat wordt aanvaard (lijkt me leuk, ik ga typen en verspreiden).

Hoe meer ik er echter over nadenk, hoe meer ik twijfel of dit eigenlijk wel goed gaat. Want die aanvaarding past niet goed in het systeem van de wet, dat er vanuit gaat dat je akkoord zegt tegen de aanbiedende partij. Als die aanvaarding niet daadwerkelijk aankomt, dan gaat er van alles schuiven. Het belangrijkste is dat de aanbieder dan het aanbod mag intrekken, waarmee het vervalt. Oftewel, zolang niemand jou daadwerkelijk meldt “ik aanvaard de GPL op jouw software, dank je” dan kun je gewoon roepen “licentieaanbod ingetrokken, sorry” en kan niemand meer wat met je software.

De praktijk is natuurlijk dat iedereen gewoon zoekt naar de regel “GPL” in de hoofddirectory van de software en concludeert dat het wel goed zit. Maar je moet je best wel in juridische bochten wringen om dan tot een juridisch perfecte aanvaarding te komen. Een mogelijkheid is bijvoorbeeld dat je zegt, de aanvaardingshandeling (het gebruik van de software) bereikt de aanbieder niet maar dat is de aanbieder zijn eigen probleem (art. 3:37 lid 3 BW), had hij maar meer moeten opletten wie zijn software gebruikt.

Maar wat is het dan wel? De Amerikaanse constructie is een “toestemming onder voorwaarden”, analoog aan een bordje bij je erfgrens. Wie zijn landgoed openstelt met een bordje “Vrije toegang dagelijks tussen zonsopgang en zonsondergang” sluit dan geen overeenkomst, maar verleent eenzijdig toestemming onder een voorwaarde (namelijk dat het overdag is). Zolang die voorwaarde wordt gerespecteerd, mag je er zijn. Schend je de voorwaarde of vervalt deze, dan pleeg je erfvredebreuk en moet je dus wegwezen. Vertaal je dat naar softwareland, dan krijg je toestemming onder het auteursrecht om te handelen maar zodra je de voorwaarden schendt, eindigt de toestemming en heb je een probleem.

Het mooie van deze oplossing is, het maakt niet uit of je de voorwaarden aanvaardt of niet. Negeer ze en je pleegt sowieso inbreuk. Dus je hoeft helemaal niets te zeggen tegen de rechthebbende. De toestemming is ook niet zomaar intrekbaar: gezegd is gezegd, zeker gezien de constructie in de aanhef van de GPL dat het krijgen van een kopie van de software tevens toestemming inhoudt.

Het grote nadeel is natuurlijk, het is nog nooit getest bij de rechter. En ik weet ook niet op welke plek in het Burgerlijk Wetboek ik deze constructie zou moeten duiden. Maar het past beter bij mijn rechtsgevoel anno 2018.

Arnoud

Wanneer is een uitlating vanuit een bedrijfsaccount bindend op het bedrijf?

Geplaatst op in Ondernemingsvrijheid, 23 reacties

Een lezer vroeg me:

Ik vroeg mij af in hoeverre uitlatingen van bedrijfsaccounts op forums ‘bindend’ zijn, in de zin dat consumenten bedrijven kunnen houden aan hun uitlatingen op forums, zoals bijvoorbeeld Tweakers. Bijvoorbeeld op Tweakers zie je wel eens de melding ‘Bedrijfsaccount’. Stel dat men vanaf zo’n account bijvoorbeeld zegt dat iets gratis is, zonder overleg met de bevoegde directie. Is dat dan bindend, zo’n informeel bericht?

Mensen denken nog wel eens dat iets alleen bindend is wanneer het officieel door een bij de KVK aangewezen bevoegd persoon is gedaan. Dat is niet waar. Wat zo’n persoon zegt binnen zijn bevoegdheid is zeker bindend, maar uitingen daarbuiten kunnen ook bindend zijn. Tot een toezegging van een stagiair aan toe, die eigenlijk helemaal niets mag zeggen.

De hoofdregel over bindendheid is artikel 3:35 BW, dat bepaalt dat de wederpartij een uitlating als bindend kan beschouwen als hij dat onder de gegeven omstandigheden redelijkerwijze mocht doen. Specifiek over spreken namens een ander is artikel 3:61 BW, dat bepaalt dat

Is een rechtshandeling in naam van een ander verricht, dan kan tegen de wederpartij, indien zij op grond van een verklaring of gedraging van die ander heeft aangenomen en onder de gegeven omstandigheden redelijkerwijze mocht aannemen dat een toereikende volmacht was verleend, op de onjuistheid van deze veronderstelling geen beroep worden gedaan.

Oftewel: als de ‘ander’ – het bedrijf dus – de indruk heeft geschapen dat deze persoon namens het bedrijf dit mocht zeggen, dan mócht hij dit en dan is het bindend voor het bedrijf. Ongeacht wat de KVK zegt of wat er intern is afgesproken.

In theorie kan dus een stagiair een bedrijfsaccount maken zonder overleg en allerlei toezeggingen gaan doen die bindend zijn, terwijl het bedrijf daar geen weet van heeft. De enige bescherming voor het bedrijf is dat dit pas geldt als zij iets gedaan hebben waardoor de indruk werd gewekt dat de stagiair het mocht zeggen. Maar volgens mij zit je daar al snel aan: als iemand een als zodanig aangewezen bedrijfsaccount neemt (dit is een aparte categorie accounts bij Tweakers.net), daar een logo et cetera op zet en dan in taal en uitingen communiceert als het bedrijf, dan denk ik dat je als bedrijf er wel aan hangt. Ook als je er feitelijk niets van wist.

Begin augustus werd een vonnis gewezen over dit onderwerp in het kader van telefonische acquisitie. De Nationale Zorggids had gebeld met een psychologie-praktijk, waar een stagiair had opgenomen en zich had voorgesteld als assistent van de psycholoog. De verkoper smeerde haar een vermelding in de gids aan, waarna zij bevestigde dat de psycholoog dit wilde en akkoord was. Dat bleek bij de rechter bindend op de praktijk, ook al mocht de stagiair zich helemaal niet zo voorstellen en was er niet eens overleg geweest over de wenselijkheid van de vermelding. De zakelijke telefoon van het bedrijf opnemen en dan zeggen dat je bevoegd bent, is dus al een heel eind genoeg om je werkgever te binden aan van alles en nog wat.

Dat biedt natuurlijk ruimte voor allerlei misbruik. (Ik hoor Wim ten Brink nu al in de comments voorstellen een ICTRecht bedrijfsaccount te openen bij Tweakers en dan namens mij kortingen geven op allerlei producten.) Uiteindelijk komt het dan neer op een afweging van de omstandigheden, hoe geloofwaardig was dit bedrijfsaccount, en hadden mensen kunnen zien dat dit een neppert met een gevonden logo was?

Arnoud

Veel Nederlanders sturen werkbestanden naar privémailadres, mag dat?

Geplaatst op in Informatiemaatschappij, 16 reacties

Veel Nederlandse werknemers versturen weleens werkbestanden vanuit hun zakelijke mailbox door naar hun privémailadres, las ik bij Security.nl. Dat baseert zich op het recent verschenen Cybersecurity bewustzijnsonderzoek van Alert Online dat onder meer dan duizend Nederlanders werd uitgevoerd. Volgens het onderzoek zegt 15 procent van de respondenten dat ze dit “altijd of meestal” wel doen. 29 procent zegt soms wel, soms niet of meestal niet. Het onderzoek werd uitgevoerd door Motivaction in opdracht van Omnicom Public Relations Group (OPRG), dat de NCTV-campagne Alert Online organiseert. Ik kreeg van diverse mensen de vraag, kun je dit niet beter gewoon verbieden als werkgever?

Het kan natuurlijk een risico zijn om werkbestanden naar jezelf te mailen. Ik vermoed dat in de enquête vooral werd gedacht aan risico’s rondom de slechter beveiligde thuiscomputer, waardoor virussen er met de data vandoor kunnen gaan of deze door een foutje gemaild of geupload wordt naar een plek waar hij niet hoort. Idem voor privémailboxen die minder goed beveiligd zijn. Daarnaast zit je als bedrijf nog met AVG issues, een bestand met persoonsgegevens dat op deze manier mee naar huis gaat, kan best een datalek opleveren.

Vanwege deze risico’s kan ik me goed voorstellen dat een bedrijf haar medewerkers verbiedt om bestanden naar privéadressen te mailen en/of op sticks en dergelijke mee naar huis te nemen. Wel moet je als bedrijf dan goed hebben nagedacht hoe je het wil doen met thuiswerken, iets dat vaak de facto zeer zeker verwacht wordt van medewerkers. (Ze nemen die informatie immers niet voor niets mee naar huis.) Je kunt als goed werkgever niet enerzijds thuiswerken verlangen en anderzijds geen middel bieden om de benodigde data thuis te hebben.

In de comments zag ik nog de suggestie om werknemers aansprakelijk te stellen als ze zo’n verbod overtreden of een datalek veroorzaken door slechte beveiliging thuis. Dat gaat ‘m niet worden: juridisch gezien kun je werknemers gewoon niet privé aansprakelijk houden voor fouten die ze op het werk maken. En data meenemen naar huis om daar onveilig te werken, is gewoon een werkgerelateerde fout. Ook als het expliciet verboden is. Het arbeidsrecht is hier zeer op de hand van het personeel.

Ik ken werkgevers die om deze reden USB-poorten fysiek onbruikbaar maken en Gmail en consorten blokkeren. Dat is wat radicaal maar voorkomt een hoop ongewenste datatransporten. Je maakt het mensen dan weer wel moeilijker om hun werk te doen, dus daar moet je dan wat anders op verzinnen.

Arnoud

Mag een webwinkel me verplichten mijn geboortedatum in te vullen?

Geplaatst op in Ondernemingsvrijheid, 55 reacties

Een lezer vroeg me:

Mag een bedrijf een klant verplichten om zijn geboortedatum te geven?

Onder de AVG geldt het principe van dataminimalisatie: je mag niet meer persoonsgegevens gebruiken dan je strikt nodig hebt om je doel te halen. Vanuit dat principe mag je dus ook niet meer vragen dan wat je nodig hebt.

Veel bestelformulieren zijn van voor de AVG en vragen dus van alles en nog wat, ongeacht of het nu echt nodig is. De geboortedatum van de klant is typisch zo’n element. Hoe belangrijk is het dat je weet wanneer je klant jarig is, of dat je weet hoe oud deze is?

Ik kan eigenlijk nauwelijks een scenario bedenken waarin je dat móet weten. Misschien bij producten die alleen voor volwassenen zijn, zoals drank. Vragen om de geboortedatum is dan deel van een procedure om leeftijden te checken. Maar bij zo ongeveer alle andere bestellingen zeg ik: nee, je kunt me niet verplichten mijn geboortedatum in te vullen.

En op het gevaar af om politiek correct te klinken, ik denk dat hetzelfde geldt voor de vraag of ik de heer dan wel mevrouw ben. (Over mejuffrouw hebben we het al helemaal niet meer.) Dat zou ook een optionele vraag moeten zijn, of in ieder geval de optie “wil ik niet zeggen/gaat je niets aan”. Want dat je een correcte aanhef wilt hanteren in de correspondentie, is volgens mij óók geen noodzaak.

Arnoud