Ambtenaar Lopik krijgt 240 uur taakstraf voor hacken rioolinstallatie

Geplaatst op in Regulering, 8 reacties

Een voormalig ambtenaar van de gemeente Lopik heeft een taakstraf van 240 uur gekregen voor het hacken van de gemeentelijke rioolinstallatie, las ik bij Nu.nl. Eind 2017 had hij na een ontslag diverse keren ingelogd op de server van de rioolwatervoorziening van de gemeente, en daar bestanden gewist maar ook bedieningssystemen van de riolering geprobeerd te saboteren. Dat is niet zomaar een beetje boos afreageren op een ex-werkgever, dat is sabotage van de publieke werken. Maar hoe bewijs je dat hij het is geweest?

Uit het vonnis is lastig te halen wat nu precies de beweegredenen van de man waren om dit te doen. Het speelde allemaal maanden na zijn uitdiensttreding. Vanaf zijn eigen IP-adres en dat van zijn ouders werd eind 2017 ingelogd op systemen van de gemeente waarna bestanden werden vernietigd. En in 2018 ging het nog een stap verder, toen werden de pompen van de riolering op afstand uitgeschakeld.

Volgens een monteur die als getuige optrad:

Omdat de pompen op afstand waren aangezet en de aanvoer dicht was gezet kon de vacuümleiding teveel vacuüm trekken waardoor de pompen oververhit raken en stuk gaan of brand vatten. Een eventuele mogelijkheid is dat de leiding als gevolg daarvan implodeert. Gevolg daarvan is weer dat de pompen vervangen moeten worden. Bij brand zouden de aansturing en hardware vervangen moeten worden en bij het imploderen van leidingen moeten deze opnieuw worden aangelegd. Tot die tijd moeten alle putten handmatig worden langsgelopen met een zuigwagen om de leidingen van de bewoners te kunnen afvoeren. De leidingen lopen vol en bewoners en bedrijven kunnen hiervan overlast ondervinden.

Dit kan dus behoorlijk zwaar uitpakken, vandaar dat het OM “vernieling met gemeen gevaar” ten laste had gelegd. Het vernielen of veroorzaken van storingen in de infrastructuur is apart strafbaar gesteld, en wanneer daar gevaar voor openbare dienstverlening (of nog erger, voor mensen) in ontstaat kan de gevangenisstraf in theorie tot 15 jaar oplopen. In dit geval had het gevaar zich op zich nog niet verwezenlijkt, de gemeente was er snel bij. Maar voor de strafbaarheid maakt dat niet uit.

Discussie ontstond toen nog over de vraag of wel bewezen was dat de verdachte dit had gedaan. De handelingen vereisten specifieke kennis en kunde, die maar weinig mensen bezitten. Daar komt bij dat de gebruikte IP-adressen aan de man te herleiden waren (hemzelf en zijn ouders), waarbij ook nog eens een laptop werd gebruikt die overeen kwam met het type laptop dat de gemeente kwijt was na het ontslag van de man. Verbindingen vanaf deze laptop werden gemaakt in het tijdsbestek dat de inbraak en sabotage plaatsvonden. Deze omstandigheden bij elkaar maken dat voor de rechtbank vaststaat dat de man de dader is.

Het was echter de eerste wetsovertreding van de man, en een gevangenisstraf zou hem zwaar duperen omdat zijn gezin met jonge kinderen dan in de problemen komt. Daarom legt de rechtbank een werkstraf van 240 uur op.

Arnoud

‘Klantje-pik’ met hulp van mobiele gegevens, mag dat?

Geplaatst op in Ondernemingsvrijheid, Privacy, 14 reacties

Verschillende grootwinkelbedrijven gebruiken telefoongegevens om te zien wie bij hun concurrenten over de vloer komt. Dat meldde het FD onlangs. De achterliggende techniek staat bekend als ‘geo-conquesting’ en komt erop neer dat je op basis van iemands locatie – specifiek, hij is bij de concurrent – een advertentie toont die bedoeld is om hem weg te lokken bij de concurrent. Dit matchen gebeurt op basis van IMEI- en dergelijke nummers uit de telefoon, of profielen van dienstverleners zoals Facebook of Google. En het zou niet in strijd zijn met de AVG. Wishful thinking, als je het mij vraagt.

Commercieel is het een best slimme truc, om mensen een aanbieding te doen om naar jou te komen terwijl ze net bij de concurrent dat wilden kopen. Het voorbeeld uit de FD is koffieketen Dunkin’ Donuts dat kortingscoupons voor koffie stuurt als je bij de Starbucks in de buurt bent. Google weet dat je daar bent, en kan dan die advertentie op dat moment vertonen. Veel relevanter en daardoor effectiever dan wanneer je in de trein zit of ’s avonds na het diner nog even wat nazoekt.

Twee dingen vallen daarbij op. Allereerst wordt gezegd dat dit niet in strijd is met de AVG, omdat er geen naam of adres nodig is, “ze hebben genoeg aan anonieme gebruikerscodes – user id’s – van telefoons”. Maar dat is geen argument. Onder de AVG is ieder gegeven een persoonsgegeven zodra het gekoppeld is aan een identificator, en dat begrip is veel breder dan iemands naam of adres. Een online identificator zoals een cookie of een uit de telefoon uitgelezen IMEI is gewoon een persoonsgegeven.

Opvallender vind ik deze passage:

Klanten geven er, al zullen ze het niet doorhebben, zelf toestemming voor dat adverteerders die data verzamelen. Wie commerciële app’s gebruikt, geeft toestemming om gebruiksinformatie te delen of te verkopen.

Dit is vanuit AVG-perspectief de grootst mogelijke onzin. Toestemming onder de AVG moet immers een vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting zijn. Je kunt dus niet op voorhand voor van alles en nog wat toestemming vragen in algemene zin. Wie dus een spelletje installeert, en op basis daarvan wordt geprofileerd als een koffiedrinker zodat hij bij de Starbucks een bon voor de concurrent gaat krijgen, heeft daar geen toestemming voor gegeven. Ook al staat het honderd keer in de privacyverklaring en weet iedereen dat appbouwers ook geld moeten verdienen.

Wat wél kan, is dat deze advertenties op basis van de grondslag “eigen gerechtvaardigd belang” worden verstuurd. Dan is er geen toestemming nodig. Wel moet je informeren dat je dit doet en waarom jouw belang opweegt tegen de privacy van mensen. Ook moet er een opt-out mogelijkheid zijn (recht van bezwaar).

Het argument wordt dan, waarom weegt jouw commercieel belang op tegen de privacy. Direct marketing kunnen doen is een legitiem belang onder de AVG, het gaat er dus om hoe ver je mag gaan met welke reclame je stuurt en wanneer. Dat gaat hier best ver, het voelt nogal indringend dat je weet waar ik ben en daar een gericht aanbod op doet. En dat maakt dat het privacybelang erg zwaar zal wegen. Ik denk dus niet dat je het onder deze grondslag rond krijgt.

Arnoud

Geef me je algemene voorwaarden en ik zeg welke juridische problemen je hebt gehad

Geplaatst op in Ondernemingsvrijheid, 7 reacties

Jaren terug sprak ik een ondernemer die zonder algemene voorwaarden werkte. Nergens voor nodig, zei hij; de wet biedt al een mooi kader en bovendien als je inzet op kwaliteit en klanttevredenheid dan is er geen reëel risico. Die paar keer dat het misgaat, geef je mensen hun geld terug en dan is het verder opgelost. Was ik zeer van onder de indruk. Maar toen ik hem vorige maand weer sprak, gaf hij me toch een aardig documentje voorwaarden dat “naar aanleiding van enkele aanvaringen” toch wel even fijn voelde. En het leuke was: ik kon aan het document zien wat die aanvaringen waren geweest.

Niet alle ondernemers beginnen zo blanco als deze, maar vrijwel alle ondernemers bouwen op zeker moment algemene voorwaarden. Vaak vanuit de gedachte om algemene regeltjes te stellen, zoals betalingsvoorwaarden, aansprakelijkheid en hoe lang je offerte geldig is. Bij levering van producten zijn garantie-afspraken wel zo fijn, en je wilt als ICT-ondernemer ook niet per klant in discussie hoe laat je helpdesk open is en wie de licenties inkoopt.

Daarnaast kennen vrijwel alle algemene voorwaarden de echte juridische standaarddingen, zoals toepasselijk recht, definities van overmacht en aanbod en aanvaarding. Dat geeft het wat meer body, is volgens mij de gedachte. Of: dat staat er bij iedereen in dus het zal wel moeten. Is niet zo, maar het kan ook geen kwaad.

Interessanter wordt het als je naar specifiekere onderwerpen gaat zoeken. Denk aan een recht klanten af te sluiten bij een internetdienst, een aansprakelijkheidsbeperking voor gemiste notificaties in een app of een uitgebreid beschreven proces van eerste concept, review, nieuw concept en hoe te handelen bij hardnekkig zeurende klanten. Dat komt niet uit de bekende modellen, maar is door de ondernemer zelf toegevoegd. Vaak herkenbaar aan net iets ander taalgebruik, een onlogische locatie of een veel langer artikellid dan de rest.

Waarom gaan mensen zelf dingen aan hun voorwaarden toevoegen? Simpel: er is iets misgegaan en dat zal ze niet nog een keer gebeuren. Verbieden die hap! Strak trekken die regels! Weg met die misbruikte flexibliteit!

Heel terecht natuurlijk, maar als je dat al te vaak doet dan kunnen je voorwaarden nogal groot worden. De leesbaarheid komt het ook niet ten goede. En komt het écht zo vaak voor als je denkt, dat een klant twaalf revisies wil terwijl jij rekent op twee à drie?

Ga dus in ieder geval eens per jaar eens door je voorwaarden heen. Klopt het nog, zoals het daar staat? Bleek het achteraf toch een eenmalig incident? Is het ondertussen algemener te trekken? Heb je echt nog steeds die hele gedetailleerde regeling nodig over misbruik van je credits of wanbetaling op een gedeeltelijk betwiste factuur?

Arnoud

Politie test koppelen cameradata tegen dieven in Roermond

Geplaatst op in Informatiemaatschappij, 41 reacties

De politie en de TU Eindhoven testen een systeem om data uit verschillende bronnen, met name camera’s, te koppelen en te analyseren, om winkeldieven uit Oost-Europa in een vroeg stadium te herkennen. Dat meldde Tweakers afgelopen maandag. De camera’s zijn die uit de anpr-nummerplaatherkenning, gekoppeld aan een database die de politie heeft over voertuigen die Oost-Europese bendes mogelijk gebruiken. Op basis van punten – vier mannen met Roemeens kenteken en een Duitse auto, honderd punten – wordt dan een signaal afgegeven aan de politie om deze auto eens nader te bekijken. Het klinkt leuk, maar riekt toch een beetje gevaarlijk.

Roermond heeft veel last van dit soort criminaliteit, las ik bij de NOS, omdat het dicht bij de grens ligt én een grote trekpleister heeft, namelijk winkelcentrum de Designer Outlet. De grote hoeveelheid overlast was de aanleiding om eens te kijken wat men met techniek kan doen.

In de kern komt het erop neer dat van iedere bezoeker richting het winkelcentrum op diverse punten wordt geclassificeerd. Van de auto wordt het kenteken uitgelezen, wat informatie geeft zoals land waar de auto geregistreerd staat en ouderdom/type. Speciale camera’s tellen het aantal inzittenden, middels antennes wordt vastgelegd uit welk land de telefoons (simkaarten) in de auto komen en zo nog een aantal slimmigheden. Van elk van die aspecten wordt een score vastgesteld, die bij elkaar opgeteld een totaalscore Verdacht Gedrag oplevert. En wie daarin te hoog scoort, mag even aan de kant en uitleggen wat hij komt doen in Roermond.

Natuurlijk is het uiteindelijk altijd een agent die de feitelijke controle uitvoert, en eventueel kan besluiten de auto toch niet staande te houden omdat het vier Roemeense omaatjes zijn die een auto geleend hadden in Hamburg. Alleen krijg ik bij systemen als deze niet het gevoel dat de hoofdregel zal zijn dat er geen controle nodig is wanneer de computer zegt van wel. Zelfs het toch niet als rabiaat links bekend staande GeenStijl fulmineert dat het hier gaat om een truc: “Het lijkt alsof de popo al precies weet wie ze hebben moeten, maar dat ze dus nu een hoogtechnologische smoes nodig hebben om preventief op te treden tegen de import die de rottigheid veroorzaakt.”

Het vervelende is, je komt dan vrijwel direct in een hellend-vlakargument terecht. Nu gaat het goed, maar wat als straks massaal alle Oosteuropeanen staande gehouden worden? Of als -zoals de NOS meldt- het geluid van dikke snelle auto’s een trigger geeft waardoor je voor ramkraker aangezien wordt, en door een arrestatieteam klemgereden wordt? Dat zou ernstig zijn, maar zo ver is het nog niet. Wat is dan wijsheid? Nu ageren en als overdreven weggezet worden? Of wachten tot we daar zijn, en dan horen “maar vandaag de dag is het doodnormaal”?

Arnoud

Mag een camera op de openbare weg de buren filmen of niet?

Geplaatst op in Privacy, 16 reacties

Gerda en Michel uit Scheemda hebben al jaren prima contact met de buren, zo begon een recente aflevering van De Rijdende Rechter. Dat liep scheef na wat geflikflooi op WhatsApp en escaleerde behoorlijk. Maar dat moet u zelf bekeken hebben om er een mening over te hebben. Nee, wat mij vanuit ICT-juridisch punt trof: de buren hadden een camera in de vensterbank gezet, zogezegd om haar auto te bewaken. En dat mocht niet, zo merkte Mr. Reid, John Reid, even in een terzijde op, want dat raakt aan de openbare weg. Eh wacht, zo makkelijk is het niet.

De vraag of je als particulier de openbare weg mag filmen met je beveiligingscamera, is eentje die al lang de gemoederen bezig houdt in juristenland. Het wetboek van strafrecht zegt niet meer dan dat het niet mag als je mensen niet goed waarschuwt. Dat kan problematisch zijn voor een particulier, want waar hang je dan het bordje op zodat iedereen het ziet? Je mag immers niet aan een lantaarnpaal een bordje ophangen, dat is niet jouw eigendom. Vanuit dat perspectief adviseer ik altijd de camera zo te hangen dat hij niet te missen is en niet meer filmt van de weg dan onvermijdelijk is om naar jouw terrein te komen.

Complexer wordt het als je vanuit privacyperspectief gaat kijken. De AVG is erg streng immers: iedere digitale registratie van de werkelijkheid valt onder de AVG als er mensen herkenbaar in beeld zijn, ook bij simpele camera’s die niet vastleggen. Het verzenden van persoonsgegevens valt er ook onder, tenslotte.

En als je dan denkt, maar ik ben een particulier die voor eigen veiligheid mijn eigendommen filmt, dan kom je bedrogen uit: ook dan val je onder de AVG. Er is weliswaar een uitzondering voor strikt huishoudelijk verwerken van persoonsgegevens, maar die houdt op zodra je de openbare weg filmt. Dat raakt aan anderen hun privacy en dan mag het niet meer, aldus het HvJ EU in de Rynes-zaak.

Wat velen volgens mij concludeerden uit deze uitspraak is dat het dus niet mág, het filmen van de openbare weg met een bewakingscamera. Maar dat is volstrekt onjuist. Het mag wel, alleen moet je het rechtvaardigen via een beroep op het “eigen gerechtvaardigd belang” (artikel 6 sub f AVG) van jouw veiligheid en toezicht, en dat vervolgens afwegen tegen de privacy van mensen die over de openbare weg lopen.

Eenvoudig zal dat niet zijn, want hoezo is een passant op de weg een bedreiging voor jouw veiligheid? Er zal dus meer moeten zijn dan alleen “ik wil weten wie er in de buurt is”. In 2007 vond het Hof Leeuwarden het legaal om met een camera op afstand te kijken naar je auto voor de deur. Deze camera legde niets vast, zodat je niet meer zag dan wanneer je zelf voor het raam ging zitten. Dat zou ik wel zien werken binnen de AVG, omdat er niet wordt opgeslagen en je dus niets grootschaligs binnenhaalt of structureel registreert.

Ook zou ik wat zien in het filmen van het stukje openbare weg dat direct naar jouw oprit of carport gaat. Een juwelier die reële vrees heeft voor ramkraken, zou een camera naar de weg kunnen richten om zo kentekens en/of gezichten van aanrijdende krakers te kunnen filmen (bij voorkeur dan met live opslag ergens extern, en natuurlijk afgeschermd voor iedereen behalve de politie). Die kan op geen enkele andere manier dit bewijs verkrijgen. Als de auto eenmaal ‘binnen’ is, dan zal iedere camera-installatie in de ruimte ook defect zijn of uit het lood geslagen, op zijn minst.

In de situatie van de Rijdende Rechter leek de camera me er meer te staan om te pesten. De gestelde angst voor krassen op de auto leek me niet heel realistisch (maar ik was er natuurlijk niet bij) en dan voelt het wat zwaar, meteen een camera te voorschijn halen.

Arnoud

Mag je een League of Legends skin krijgen als je bloed doneert?

Geplaatst op in Informatiemaatschappij, 23 reacties

Een campagne waarbij bloeddonoren een League of Legends-skin kunnen krijgen in ruil voor hun donatie heeft tot nu toe 300 nieuwe donoren opgeleverd. Dat las ik bij Tweakers, dat zich baseert op bloedbank Sanquin die de actie heeft georganiseerd. De campagne draagt de naam #myfirstblood en was een succes: in de beoogde doelgroep van 18 tot 35-jarige mannen werd een behoorlijk deel bereikt. Het riep wel de vraag op, mag dat eigenlijk, zo’n skin cadeau geven als je bloed komt doneren? Het riekt naar betalen om bloed te geven, en dat is wettelijk verboden.

Het verbod op betaald doneren van bloed komt uit artikel 4 Wet inzake bloedvoorziening. Je mag niet meer doen dan werkelijke kosten (bv. reis- of maaltijdkosten) vergoeden. Doel hiervan is te voorkomen dat mensen vanuit geldelijk motief de keuze maken om bloed te doneren en zo lichamelijk in de problemen komen.

Al langer kun je een symbolisch cadeautje krijgen als je bloed doneert. Dat is dan een item zonder waarde als geste voor een vrijwillige actie. Ik verwacht niet dat er mensen zijn die werkelijk vanwege dat cadeautje kiezen voor bloed doneren, ook niet als ze heel hard geld nodig hebben: het is immers niet verkoopbaar.

Dan kom je dus bij de vraag of het geven van een cadeau zoals zo’n skin telt als een beloning. Als Sanquin een cadeaubon van 25 euro zou uitreiken na donatie, dan zouden we dat denk ik vrij snel als een verboden beloning zien. Maar een tshirt met “Ik ben donor” meegeven, dat lijkt me gevoelsmatig geen ‘beloning’. Ook al zou je dat kunnen doorverkopen. En dat lijkt mij uiteindelijk ook het criterium om van “beloning” te spreken – het item dat je krijgt, moet een geldswaarde vertegenwoordigen.

Skins in dit spel zijn niet overdraagbaar, dus ook als je zegt, deze items zijn heel waardevol vanwege hun zeldzaamheid dan zit er nog niet direct een geldswaarde aan vast. Je zou je hele personage/account moeten verkopen om die skin over te dragen, en dat staat voor mij te ver af van de skin zelf om deze nog als ‘beloning’ aan te merken.

Arnoud

Vijf EULA-clausules waar je je koffie van tegen het scherm zult spugen

Geplaatst op in Informatiemaatschappij, 16 reacties

1. Geen iTunes voor jou, Kim Jong-Il
Ik begin met een klassieker: Apple verbiedt in de iTunes voorwaarden het gebruik van de software bij de productie of ontwikkeling van massavernietigingswapens:

You also agree that you will not use these products for any purposes prohibited by United States law, including, without limitation, the development, design, manufacture or production of nuclear, missiles, or chemical or biological weapons.

Dit is een mooi stukje cargo culting: high-end software kan onder exportverboden of dual use regelingen rondom wapenhandel en -ontwikkeling vallen. Om te voorkomen dat je software in die categorie komt, kun je maar beter je klant verbieden Dus komt er een verbod daarop in de licenties voor die software. En dat komt dan ook in de voorwaarden voor gewone software.

2. Dit verbod vervalt bij de Zombie Apocalyps
Maar deze kende je nog niet: ga je via de Amazon marketplace in hout handelen, dan geldt ook zo’n verbod tegen gebruik of handel met militaire doeleinden. Echter, dit vervalt wanneer de Zombie Apocalyps zich voor zal doen:

However, this restriction will not apply in the event of the occurrence (certified by the United States Centers for Disease Control or successor body) of a widespread viral infection transmitted via bites or contact with bodily fluids that causes human corpses to reanimate and seek to consume living human flesh, blood, brain or nerve tissue and is likely to result in the fall of organized civilization.

3. Jouw testresultaten zijn van mij
Je zou zeggen dat als je kijkt hoe software werkt, dat dan jouw toegenomen kennis is. Sommige EULA’s – zoals die van analyticspakket Crobox – denken daar anders over:

10.5 The Customer acknowledges that details of the Product, and the results of any performance tests of the Product, constitute Crobox’s Confidential Information.

Dit is juridisch bindend maar natuurlijk wel heel vervelend.

4. Tot de dood van de Koningin ons opzegt
Een Engelse softwarelicentie – die ik helaas niet mag publiceren – bevatte een wel heel aparte einddatum:

This license shall be in force for the period ending at the expiry of 21 years from the death of the last survivor of all the lineal descendants of her Majesty Queen Elisabeth II who have been born on the date of this agreement, whichever comes later.

Dit blijkt dus een in Engeland niet ongebruikelijke clausule. Onder Engels recht zijn eeuwigdurende overeenkomsten problematisch, maar door het op te hangen aan een gebeurtenis die technisch niet eeuwig hóeft te zijn zou je dat dan omzeilen.

5. Op voorwaarde van persoonlijke groei en het nemen van maatschappelijke verantwoordelijkheid De “Replace Tekst” softwarelicentie eist een zoektocht naar zingeving:

You agree to admit your own fallibility and to embrace personal growth to the benefit of yourself, and those around you.
You agree to act responsibly towards the environment and to help improve the environment however you see fit.
You agree to treat all people with respect and to help other people in whatever way you are most passionate about.

In een zakelijke context minder gek; menig inkoopcontract bij een groot bedrijf eist dat je maatschappelijk verantwoord onderneemt, geen kinderarbeid toepast, milieuvriendelijk werkt en je bedrijfsprocessen continu verbetert. Waarom dan niet je persoonlijke mentale processen?

Arnoud

Mag een bedrijf mijn mail tracken vanwege een wettelijke plicht?

Geplaatst op in Ondernemingsvrijheid, Privacy, 22 reacties

Een lezer vroeg me:

Mag een bedrijf via email zonder toestemming tracken of je de email opent en of op een link klikt om te voldoen aan een wettelijke verplichting die op het bedrijf rust?

Het klinkt als een makkelijke vraag: als een bedrijf iets moet van de wet, dan mag men dat ook van de AVG. De AVG is als ‘algemene’ wet namelijk in principe altijd ondergeschikt aan andere wetten.

Het punt is alleen, er is bij mijn weten geen enkele wet die eist dat een bedrijf nagaat of een werknemer (of een klant) een mail geopend heeft. Ik kan de opmerking van “wettelijke verplichting” dus niet plaatsen.

Ik denk dat het bedrijf dit zo zegt omdat ze moeten bewijzen dat een bericht is aangekomen. Denk aan een aanzegging voor een niet-verlengd arbeidscontract, een bevestiging van een online aankoop of een formele waarschuwing. Het tracken van de e-mail en loggen dat een daarin opgenomen link is aangeklikt, geeft daarvoor voldoende bewijs.

Echter, dat iets effectief is onder wet A betekent nu net nog niet dat het onder de AVG ineens mag. De AVG is dus ondergeschikt, maar een gekozen maatregel om een andere wet na te leven moet wel noodzakelijk zijn om die wet na te leven. De vraag is dus altijd: is dit echt de enige manier, kan het niet een onsje minder privacyonvriendelijk?

Er zijn vele manieren om een bericht te doen aankomen en daar bewijs van te krijgen. Daarmee is “ik moet bewijzen dat je dit bericht hebt gehad” op zich dus géén excuus voor privacyonvriendelijke tracking. Grofweg zou dit alleen kunnen als dit de énige reële manier is om te bewijzen dat het bericht is ontvangen. Maar ik moet de eerste situatie nog tegenkomen waarin dat werkelijk zo is.

Arnoud

Kan ik onder de AVG mijn Nintendo-landkeuze aanpassen?

Geplaatst op in Ondernemingsvrijheid, Privacy, 19 reacties

Een lezer vroeg me:

Recent ben ik verhuisd van Denemarken naar Noorwegen. Na het uitpakken van mijn Nintendo Wii U bleek deze echter niet te werken, omdat het Nintendo Network ID in Denemarken was geregistreerd en volgens de EULA niet overgezet kan worden naar een ander land. Mijn beroep op het correctierecht uit de AVG – ik woon nu immers in Noorwegen – werd afgewezen omdat ik akkoord was gegaan met de EULA. Maar EULA’s gaan toch niet boven de wet?

Het klopt dat een EULA niet boven de wet kan gaan. Althans niet boven wat juristen “dwingend recht” noemen, want er is ook “regelend recht” en dat is nadrukkelijk bedoeld om contractueel anders te mogen doen. Dat je een internetbestelling binnen 14 dagen retour mag melden is dwingend recht. Dat een langlopend contract op ieder moment opgezegd mag worden is regelend recht – je kunt afspreken dat je er een jaar aan vastzit.

De AVG is dwingend recht, althans de delen die burgers rechten geven, dus een EULA kan geen bepalingen bevatten die in strijd zijn met de AVG. Doen ze dat toch, dan zal de rechter die clausule negeren.

De Nintendo Wii U EULA vermeldt dat je een ID krijgt dat gekoppeld is aan je “country of residence”, het land waar je op dat moment woont. De EULA vermeldt ook dat deze niet kan worden gewijzigd:

The Nintendo Network ID is linked to your country of residence that you indicated during the registration. If you move to another country, you may not be able to use your Nintendo Network ID (including Digital Products) and you may have to create another Nintendo Network ID if you want to enjoy Nintendo Network in this new country. If you move back to the country, in which your Nintendo Network ID was registered, you will be able to use your original Nintendo Network ID again.

Op grond van de AVG heb je het recht om onjuiste gegevens te laten rectificeren (art. 16 AVG). Als je van Denemarken naar Noorwegen verhuist, dan is een registratie “Country of residence: Denmark” vervolgens onjuist, zodat je die mag laten corrigeren. Hiervoor mogen overigens geen kosten worden gevraagd (artikel 12 AVG).

Echter, ik vraag me dan af of dit wel de informatie is die men opslaat. Gezien de tekst van de EULA gaat het om een keuze, in welk land wil ik dat mijn landgebonden Nintendo-dienst werkt. Die keuze is en blijft dan Denemarken. Het zou net zoiets zijn als vergeten je betaaldparkeren af te melden in je app en vervolgens een AVG-correctie eisen naar de werkelijke wegrijtijd. De geregistreerde eindtijd is geen fout, dat was de tijd dat je áángaf weg te rijden. Dat je feitelijk eerder wegreed en vergat de parkeeractie te stoppen in de app, is iets heel anders.

Omdat de Nintendo-dienst landgebonden is, lijkt het me legitiem dat die landkeuze niet onder de AVG aangepast kan worden. Dan forceer je langs oneigenlijke weg dat de dienst ineens EU-breed geleverd moet worden op dezelfde voorwaarden. Natuurlijk kun je erover twisten of dat laatste niet behoort de werkelijkheid te zijn, maar dat los je niet op door de AVG in te zetten.

Arnoud