Als een security onderzoeker een datalek ontdekt, is dat dan een datalek?

Geplaatst op in Privacy, Security, 13 reacties

Een vraag via Twitter:

Suppose during a contracted test a security testers stumbles upon a number of personal data… Is that a data breach? #gdpr – no clue yet…

Van een datalek is onder de AVG/GDPR sprake bij “een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens” (artikel 4 definitie 12). Kernwoorden hierbij zijn dat de beveiliging geschonden is en dat die persoonsgegevens vervolgens per ongeluk of onrechtmatig zijn verwerkt.

Je kunt als security-onderzoeker bij een opdracht ontdekken dat persoonsgegevens kwetsbaar zijn voor zulk onrechtmatig verwerken. Dat kan per toeval of door gericht onderzoek naar security-kwetsbaarheden. Een simpel voorbeeld is dat je een standaardwachtwoord gebruikt (het bekende admin/admin voorbeeld) of een trucje uithaalt om een beveiliging te omzeilen, dat is immers deel van security onderzoek bij een bedrijf.

Met zulk handelen wordt dan een beveiliging geschonden, en vervolgens krijg je toegang tot persoonsgegevens die niet voor jou bestemd zijn. Dat zou volgens de letter dan een datalek zijn.

Alleen, gezien de aard van het onderzoek zou ik het raar vinden om deze toegang als “onrechtmatig” te kwalificeren. Het is deel van je werk, het kan gebeuren dat je dit tegenkomt. Daar is dan niets onrechtmatigs (of per ongeluks) bij. Ook zou ik dit geen ‘inbreuk’ in de zin van de wet noemen – die term heeft een ondertoon van illegaal gedrag, en een ingehuurde security onderzoeker handelt natuurlijk niet illegaal in zijn werk.

Natuurlijk moet je als onderzoeker wel gebonden zijn aan geheimhouding, het is immers niet de bedoeling dat je die gegevens vervolgens ergens anders voor gaat gebruiken. Maar dat staat standaard in de algemene voorwaarden (of apart getekende NDA) lijkt me zo.

Belangrijk is wel dat deze constatering door de security onderzoeker moet leiden tot een nader onderzoek. Want als de onderzoeker erbij kon, dan konden anderen dat misschien ook. En dát zou dan wel een datalek opleveren.

Arnoud

Zou Apple bezitters van slechte iPhones een notificatie voor het reparatieprogramma mogen sturen?

Geplaatst op in Ondernemingsvrijheid, 7 reacties

Een lezer vroeg me:

Ik las dat Apple heeft een reparatieprogramma opgezet voor de iPhone 8. Op hun site kunnen gebruikers het serienummer van hun iPhone 8 invoeren, waarna verteld wordt of een toestel in aanmerking komt. Waarom doen ze dat niet automatisch? Ze weten met dat serienummer al wie je bent, je moet immers je Apple-apparaat registreren.

Volgens Apple gaat het om toestellen die tussen september 2017 en maart 2018 verkocht zijn in Australië, China, Hong Kong, India, Japan, Macau, Nieuw-Zeeland en de VS. Een fabricagefout in het moederbord zorgt voor problemen zoals spontane reboots of opstartweigeringen. Iets waarvoor je als koper zeker de winkel aan kunt spreken, en waarbij reparatie of vervanging zeker gerechtvaardigd is. Netjes dus dat Apple zo’n recall uitvoert.

Het programma vereist echter dat je als consument zelf actie onderneemt. Je moet naar die site en je serienummer invullen (of het IMEI). Wie dat niet doet, of wie het bericht in de media gemist heeft, zal dus langer dan nodig door blijven lopen met zo’n problematische telefoon. Een brief in de brievenbus of nog interessanter een pushbericht naar de telefoon “Deze telefoon is mogelijk defect, klik hier voor aanmelding reparatieprogramma” zou veel proactiever zijn. (Ik moet nu denken aan Samsung’s drastische actie bij ontploffende Note 7s die men een verplichte update pushte waarmee het opladen van de batterij uitgeschakeld werd.)

Apple heeft inderdaad de NAW-gegevens van veel kopers, want je moet je telefoon registreren. Dat segment koper kun je dus bereiken met een brief, hoewel de kosten daarvan aanzienlijk kunnen zijn. Dat zie ik dus niet direct gebeuren.

Een pushbericht naar de telefoon kost daarentegen niets. Ik weet niet of dit technisch mogelijk is, maar je zou zeggen dat als je het serienummer kunt vertalen naar een Apple ID dat je dan ook een bericht naar die telefoon kunt sturen als daar infrastructuur voor is. Als die er niet is, dan houdt het op.

Ongevraagd berichten sturen naar een telefoon valt in principe onder het spamverbod. Het spamverbod lijkt me specifiek in dit geval niet relevant, omdat het hier niet gaat om reclame van welke aard dan ook. Dit lijkt me hét voorbeeld van wat in dit verband een servicebericht heet, een relevante zakelijke mededeling die de ontvanger niet leuk vindt om te horen. Dus ik denk dat het wel zou mogen.

Je kunt je natuurlijk afvragen of het handig is. In dit specifieke geval lijkt er geen nadeel te zijn, maar waar trek je dan de grens? Bij welke categorie problemen mag je verwachten dat de leverancier je gaat pushen om langs te komen voor een herstel? En hoe voorkom je dat anderen misbruik gaan maken van deze actie door nep-popups te maken met phishing-acties?

Arnoud

Nederlandse staat is aansprakelijk voor uitlatingen over illegaal downloaden

Geplaatst op in Intellectuele rechten, Regulering, 11 reacties

De Nederlandse staat is aansprakelijk voor uitlatingen die bewindslieden hebben gedaan over downloaden uit illegale bron. Dat meldde Tweakers gisteren. De rechtbank Den Haag heeft in een principezaak bepaald dat wanneer bewindslieden uitspraken doen die in strijd zijn met Europees recht, je als burger de staat mag aanspreken voor schade die daaruit het gevolg is. Ook als de bewindslieden te goeder trouw dachten dat de uitspraak waar was en de einduitspraak van het Hof van Justitie best wel een verrassing was. Zoals dus met illegaal downloaden. Het is overigens nog maar zeer de vraag welke schade de Staat nu concreet moet gaan vergoeden.

De uitspraak is een gevolg van het downloadverbod dat het Hof van Justitie in 2014 uitsprak. In deze zaak (ACI Adam geheten, onder juristen) bepaalde de hoogste Europese rechter dat de Nederlandse thuiskopieregeling in strijd was met Europees recht. Dat recht eist namelijk dat uitzonderingen op het auteursrecht beperkt worden uitgelegd, en Nederland had juist een brede thuiskopieregeling – volgens de Staat zelfs zó breed dat downloaden uit illegale bron er onder viel.

Door deze gezaghebbende opvattingen, die breed in de media werden uitgedragen (kuch en in mijn thuiskopie-artikel met liefde geciteerd werden kuch) ontstond een breed gedragen beeld dat downloaden uit illegale bron écht mocht, zolang je maar niet uploadde. Vele Nederlanders hebben daarnaar gehandeld, mag je veronderstellen, en hebben dus dingen gedaan die achteraf gezien eigenlijk gewoon onrechtmatig waren tegen de rechthebbenden.

Dat kun je die mensen moeilijk verwijten, want de wet wás nu eenmaal zo geformuleerd en als de staatssecretaris dan ook nog zégt dat dat zo is, dan mag je als burger daar op af gaan. Maar blijkt het niet te kloppen, dan mag je als slachtoffer de Staat aanspreken voor die onjuiste opvatting. Dit is in algemene zin allemaal standaardjurisprudentie. Je mag als burger vertrouwen op de overheid, en blijkt het niet te kloppen dan is de Staat aansprakelijk en niet de burger die de overheid volgde.

De rechtbank snijdt wel flink in de uitlatingen waarvoor men concreet aansprakelijk is. Een groot deel van de gewraakte uitlatingen kwamen namelijk uit het parlementaire debat, en daarvoor hebben Kamerleden en bewindslieden volledige immuniteit (artikel 71 Grondwet). Als dus in Kamerstukken komt te staan dat downloaden uit illegale bron mag, dan is daar niets tegen te doen.

Uitlatingen tegenover de pers zijn wél problematisch als ze niet blijken te kloppen. Ook als daarin exact hetzelfde staat als in zo’n parlementaire uiting. En ook – zo bepaalt de rechtbank – als het gaat om een uitlating die verdedigbaar was binnen het Nederlands recht, en waarvan helemaal niet uitgemaakt was dat die in strijd was met Europees recht. Enkel dat achteraf het Hof zegt dat Nederland altijd fout zat, maakt de uiting verwijtbaar.

Daarmee is de Staat echter niet aansprakelijk voor de gederfde winst van iedere legale aanschaf die men in theorie tegenover een illegale download kan stellen. Het aansprakelijkheidsrecht eist namelijk dat er een causaal verband is tussen de gewraakte handeling en de schade die wordt geclaimd. In deze procedure werd nog geen concrete schade geëist, het was namelijk een principezaak om vast te stellen of überhaupt aansprakelijkheid bestond. Dat wordt dus erkend, maar niet algemeen:

Vanwege deze specifieke omstandigheden van het geval, zijn de onder 4.53 bedoelde uitingen van de staatssecretaris van justitie in het persbericht van Rijksoverheid.nl van 11 april 2011 (het in 2.7 weergegeven citaat) en het interview op diezelfde dag, dat is gepubliceerd op de website van de NOS (het in 2.8 weergegeven citaat) en in het nieuwsbericht van de NOS van 21 december 2012 (het in 2.10 weergegeven citaat) onrechtmatig jegens [eisers].

Voor schade die het gevolg is van deze concrete uitingen, kunnen de eisers dus een claim indienen. Ik ben heel erg benieuwd tot welke berekening men komt, want ik ken geen onderzoek dat op basis van deze (en alléén deze) persberichten/nieuwsitems veranderingen in downloadgedrag kon aantonen.

Arnoud

Een openbaar toegankelijk script manipuleren is ook gewoon computervredebreuk

Geplaatst op in Security, 20 reacties

De rechtbank Den Haag heeft geen straf opgelegd aan een 45-jarige it’er die een datalek had ontdekt en aan de grote klok had gehangen. Dat las ik bij Tweakers vorige week. De man was met een script binnengedrongen in een databank. De beveiliging daarvan was minimaal, maar dat was genoeg voor de rechtbank om van computervredebreuk te spreken. Het ethisch karakter van de computerkraak was echter reden om geen straf op te leggen.

In 2015 ontdekte de it’er hoe hij toegang kon krijgen tot donateursgegevens van een stichting. In het robots.txt-bestand van de webserver was een script vermeld dat op basis van een ID donateursgegevens teruggaf. Het script kende een gebrekkige beveiliging, waardoor de man simpelweg 80.000 ID’s kon doorlopen en de bijbehorende gegevens kon verkrijgen.

Uit het vonnis blijkt dat de man digitaal was gaan rammelen aan de deur nadat hij in de robots.txt dit script ontdekte. Hij wilde gebreken in de beveiliging van vertrouwelijke persoons- en betalingsgegevens aantonen, en daarvoor achtte hij het nodig om uitgebreid te testen om de omvang van het probleem vast te stellen. Daarna stapte hij naar klokkenluidersite Publeaks, waarna onder meer Tweakers erover berichtte. Opmerkelijk genoeg koos hij er niet voor de stichting zelf in te lichten. En dat wordt hem zwaar aangerekend.

Allereerst kijkt de rechtbank echter naar de vraag of überhaupt sprake is van computervredebreuk. Het script was niet met een wachtwoord beveiligd, maar bij artikel 138ab Strafrecht is dat ook geen vereiste. Enkel willens en wetens binnengaan waar je niet mag zijn, is een strafbaar feit. Analogieën zijn altijd gevaarlijk, maar in dit geval zou de analogie zijn dat je iemands achtertuin betreedt door een per ongeluk opengelaten tuinhekje. Dat is erfvredebreuk, ook als je niets kapotgemaakt hebt.

In dit geval komt de rechtbank tot de conclusie dat sprake is van ‘valse signalen’, een specifieke vorm van computervredebreuk:

De webserver is zo ontworpen, dat een record werd geretourneerd aan wie pictura.php opvroeg en daarna een geldig ID invoerde. De veronderstelling van de beheerder daarbij was dat alleen rechthebbenden dat konden en zouden doen. Door als niet-rechthebbende het pictura.php script op te vragen en een geldig ID in te voeren – en daarmee de webserver “enig teken” te geven –, heeft verdachte een gevolg uitgelokt – het retourneren van een record aan een niet-rechthebbende – waartoe de webserver weliswaar de mogelijkheid bood, maar waarmee de beheerder geen rekening had gehouden. Daarmee is sprake van het geven van valse signalen.
Dit betekent dus inderdaad dat je een strafbaar feit begaat door URL’s te raden. Ik zou wel zeggen, pas vanaf het moment dat je denkt “hé dat is raar, krijg ik echt hiermee gegevens die ik niet behoor te krijgen” en dan gaat doorvragen. Een URL overtypen en dan een typefout maken, waarna je andermans records krijgt, is natuurlijk een heel ander verhaal.

Juridisch is het mogelijk dat je een strafbaar feit begaat zonder zelf strafbaar te zijn. Dat kan bijvoorbeeld wanneer sprake is van ethisch hacken – vanuit een wezenlijk maatschappelijk belang handelen. Dat belang weegt dan zwaarder dan de achterliggende norm die het gedrag strafbaar verklaart. Wel is vereist dat je dan proportioneel en subsidiair handelt.

Proportioneel wil zeggen dat je niet meer doet dan nodig is voor dat belang. In dit geval ging het erom vast te stellen dat er inderdaad persoonsgegevens opvraagbaar waren zonder beveiliging. Daarvoor was het in dit geval niet nodig om 80.000 gegevens te downloaden, met een handjevol kom je ook al een heel eind. Hier ging de man dus veel verder dan nodig.

Subsidiair wil zeggen dat je bij de uitvoering van het feit zo zorgvuldig mogelijk te werk gaat. Dat betekent bij ethisch hacken dat je het ontdekte meldt aan de organisatie. Natuurlijk is het mogelijk dat een organisatie je negeert, maar het is gewoon een verplicht nummer. Het feit dat hij dit niet heeft gedaan, maar direct de publiciteit zocht, wordt hem dan ook zwaar aangerekend.

Omdat de man dus niet aan de eisen van proportionaliteit en subsidiariteit heeft voldaan, wordt zijn handelen strafbaar verklaard. Echter, vanwege zijn nobele doel, het feit dat hij steeds meewerkte en dat hij geen strafblad had, wordt hem uiteindelijk geen straf opgelegd.

Voor mij is de uitspraak vooral van belang omdat hij onderstreept dat ethisch hacken wel degelijk een goede grond kan zijn om computervredebreuk te ‘mogen’ plegen. Je moet daarbij wel héél netjes te werk gaan, én natuurlijk de organisatie altijd inlichten.

Arnoud

Mag ik vanaf de openbare weg mensen op een buurtfeest fotograferen?

Geplaatst op in Informatiemaatschappij, Privacy, 49 reacties

Een lezer vroeg me:

Recent liep ik door de buurt en zag ik een buurtfeest met mooie sfeer. Weliswaar achter een afzetting maar op een straat met plein, dus openbare weg volgens mij. Ik maakte vanaf de straat aan de overkant foto’s, en werd toen aangesproken door twee deelnemers dat dat niet mocht, mede omdat er kinderen op de waterglijbaan speelden. Achteraf hoorde ik dat een heleboel ouders wel zelf foto’s van het feest (én de kinderen) op internet hadden gezet. Mag dit nu wel of niet, foto’s maken van zo’n situatie?

Vanaf de openbare weg mag je in principe fotograferen wat en wie je wilt. Dat was altijd het devies voor fotografen en andere nieuwsjagers. Pas bij publicatie moet je rekening houden met privacy, dat bepaalde het portretrecht.

Echter, de AVG heeft daar enige verandering in gebracht. Weliswaar kent die net als het portretrecht een belangenafweging (en dus géén absoluut verbodsrecht), maar de AVG geldt op iedere vorm van verwerking. En het máken van foto’s is al een verwerking, zodat je al op het moment van indrukken van de sluiter onder de wet valt. Sinds 25 mei kun je dus al bezwaar maken tegen het máken van een foto, niet pas tegen publicatie.

In principe blijft voor mij overeind staan dat een gebeurtenis op de openbare weg weinig privacyverwachting heeft. Een hekje er omheen maakt daarbij niet uit. (Een afzetting met blindering of een rij zeecontainers natuurlijk wel.) Maar als je daar van afstand gaat fotograferen, dan zie ik wel hoe mensen daar toch enige moeite mee hebben. Die fotografie is dan geen deel van het feest, en breekt in op de privacyverwachting die men heeft.

En zeker bij foto’s van kinderen op een evenement dat alleen besloten toegankelijk is, is de privacywaarde erg hoog. De ouders verwachten een ontspannen sfeer waarin kinderen vrijelijk kunnen spelen. Bij dergelijke foto’s zie ik dan ook de belangenafweging onder de AVG echt uitvallen in het voordeel van de kinderen.

Ik ben er nog niet uit wie er moet winnen als er alleen volwassenen feest vieren, maar begrijp wel dat daar aanwezige mensen er boos over worden en de vraagsteller sommeren te stoppen.

Arnoud

Heb ik onder de AVG recht op beelden van de diefstal van mijn motorfiets?

Geplaatst op in Privacy, 21 reacties

Een lezer vroeg me:

Enkele dagen geleden is mijn motor gestolen die voor mijn huis geparkeerd stond. De plaatselijke supermarkt heeft dit feit opgenomen met één van hun beveiligingscamera’s. Heb ik recht op inzage?

Het recht op inzage in camerabeelden komt uit de Algemene Verordening Gegevensbescherming, en geldt dus alleen voor camerabeelden waar jouw persoonsgegevens in opgenomen zijn. Kort gezegd: alleen als je in beeld bent, heb je recht op de beelden.

Een afbeelding van een huis of motorfiets is als zodanig geen persoonsgegeven, omdat die objecten niet tot jou te herleiden zijn. Alleen heel indirect, als het adres van het huis zichtbaar is dan zou je via het Kadaster bij jou als eigenaar uit kunnen komen. En voor een motorfiets zou hetzelfde gelden via het nummerbord en de RDW. Maar of dat genoeg is voor inzage van die beelden, betwijfel ik zeer.

Zelfs als je de beelden ter inzage krijgt, dan nog zit je met een probleem. De beelden van de daders van de diefstal zijn hún persoonsgegevens, en jij hebt daar in principe geen recht op. De supermarkt zou die beelden dus moeten pixelen voordat jij ze krijgt, onder je recht van inzage.

De AVG biedt echter een escape: het “verwerken van persoonsgegevens”, hier dus het afgeven van de beelden, mag als er een eigen legitiem belang is bij jou als ontvanger. Aangifte kunnen doen van de diefstal lijkt me evident zo’n belang. Dan kom je in de belangenafweging van de AVG terecht, en die zou best in jouw voordeel uit kunnen vallen als de beelden inderdaad overtuigend zijn.

Een risico voor de supermarkt is dat jij de beelden voor andere doeleinden gaat gebruiken, bijvoorbeeld op internet publiceren met een “Wie deze motor buitengerechtelijk terughaalt, krijgt 1000 euro van me” tekstje er bij. Dat is een probleem want dat is geen legitiem doel, en zij zijn dan aansprakelijk voor de schade bij de huidige houder van de motorfiets. Ik vermoed dat zij dat risico niet willen lopen. Praktisch gezien kom je dan ook uit bij dat ze de beelden niet aan jou mogen geven, maar dat je ze wel moet kunnen bewegen tot aangifte. Of dat jij aangifte doet en meldt dat de supermarkt beelden heeft, die de politie dan kan vorderen.

Arnoud

De rechtspraak en de bedrijfsgeheime bewijsanalyse

Geplaatst op in Innovatie, 28 reacties

Steeds meer bedrijven leunen zwaar op de wettelijke bescherming voor bedrijfsgeheimen, en dat heeft grote impact op de strafrechtspraak. Dat las ik bij Boing Boing een tijdje terug. Het gaat om software die analyses doet op data gebruikt als bewijs, of inschattingen van vluchtgevaar of recidive. Wie als verdachte de bevindingen van die software wil aanvechten, moet eigenlijk wel de broncode en/of brondata er bij hebben. En dat mag dus niet, omdat die bedrijven zich beroepen op de bescherming van handelsgeheimen. Een erg zorgelijke ontwikkeling.

Software in de rechtspraak is de laatste paar jaar aan een forse opmars bezig. Steeds vaker wordt software daarbij ingezet die adviezen of analyses doet waar rechters, advocaten en officieren op kunnen werken. Een bekend (berucht?) voorbeeld is COMPAS, dat recidivisme voorspelt. Daarmee kan een rechter makkelijker bepalen of iemand op vrije voeten gesteld moet worden of liever toch niet.

Het grote probleem met al deze software is dat ze vaak moeilijk (of gewoon helemaal niet) aangeven hoe ze tot hun analyse komen. Steeds vaker proberen gedaagden dan ook inzage te krijgen in de broncodes en achterliggende algoritmes. En dat lukt dus niet, omdat de leveranciers zich kunnen beroepen op bescherming van handelsgeheimen. De definitie van een handelsgeheim is immers dat iets waarde heeft omdat het geheim is, en dat past goed bij zo’n algoritme.

Het wringt natuurlijk enorm met het vereiste van transparantie in de rechtspraak. Wat mij betreft zou het dus een goede zaak worden als het verboden wordt software-analyses als bewijsondersteunend middel te gebruiken tenzij de werking transparant is en er een externe analyse op eventuele bias geweest is.

Arnoud

Over deze drie detailpunten kunnen advocaten wekenlang steggelen

Geplaatst op in Informatiemaatschappij, 6 reacties

Onderhandelen over een deal vereist aandacht voor alle punten, van groot tot klein. Niet alleen de prijs is van belang, ook schijnbare details zoals wanneer sprake is van overmacht moet gewoon goed geregeld zijn. Ik noem mezelf bij onderhandelingen altijd een beroepspessimist of professioneel doemdenker: ik ga bedenken waar jij en je wederpartij ruzie over krijgen over vijf jaar, en daar dan alvast een oplossing voor opnemen in het contract. Het is logisch dat je bij grote issues zoals te laat betalen of het afsluiten van de dienst even bezig bent. Toch zijn er ook genoeg kleine details die aanleiding geven tot wéken onderhandelen.

Ontbinden of opzeggen<br/> In geval van wanprestatie mag de wederpartij ontbinden. Dat staat in de wet, en vaak ook in het contract zelf. (Voor de zekerheid de wet overschrijven, het is een juristengewoonte.) En dat lijkt ook logisch, als iemand slecht presteert dan moet je van hem af kunnen. Maar ontbinden is meer dan dat: volgens de wet moeten alle verplichtingen dan ongedaan gemaakt worden, het hele contract moet teruggedraaid worden.

Dat was vast een logische gedachte in 1951 toen dit in het Wetboek van Koophandel kwam, maar bij een complex ICT-project met maanden Agile sprints, een hybride cloudinfrastructuur en duizenden uren consultancy moet ik er niet aan denken dat allemaal ongedaan te gaan zitten maken. Tenzij ik het op uurtje-factuurtje mag doen, maar daar moet jij dan weer niet aan denken. Iets logischer is dan ook om gewoon op te nemen dat je mag opzeggen bij een wanprestatie. Je geeft elkaar een hand en gaat uit elkaar, natuurlijk met een schadeclaim voor de wanprestatie zelf.

Opzegrecht bij bedrijfsverkoop<br/> Gebruikelijk is in een contract op te nemen dat de ene partij mag opzeggen als de andere partij failliet gaat, surseance krijgt of dergelijke rampspoed overkomt. In die situaties zal de dienstverlening (of de betaling, als we het over de klant hebben) niet al te best meer zijn, dus dan kan ik me voorstellen dat je als wederpartij weg wilt. Vaak duikt in dat rijtje ook op de bedrijfsverkoop, of dat nu is door nieuwe meerderheidsaandeelhouders dan wel een fusie of bedrijfsopvolging. Maar dat is iets heel anders. Een bedrijf wordt meestal niet verkocht omdat het slecht gaat, maar juist omdat het goed gaat. De reden dat men dan weg wil kunnen, is dan ook een andere: men is bang dat de kopende partij een concurrent is, of slecht bekend staat. En dan hang je aan een contract met zo’n partij.

Voor de andere partij is deze clausule eigenlijk heel erg vervelend. Immers, een kopende partij zal vooraf willen weten wat je waard bent. En de te verwachten inkomsten onder alle contracten is daarbij een belangrijke factor. Contracten met zo’n opzegrecht worden daarbij eenvoudigweg op nul gezet, want de wederpartij kan immers weggaan. Daar mag je dan niet op rekenen. Tegelijkertijd begrijp ik ook de angst van de andere partij, dat je ineens vastzit aan een partij die je helemaal niet kent of die je juist veel te goed kent van dat giga-project dat mislukte vorig jaar. Daar moet dus stevig over onderhandeld worden.

Rechts- en forumkeuze<br/> De uitsmijter van elk contract: rechtskeuze en forumkeuze. De rechtskeuze bepaalt welk wetboek van toepassing is, en de forumkeuze bepaalt welke rechtbank uitspraken mag doen over conflicten die uit het contract komen. Je zou zeggen dat je daar zakelijk snel uit komt, maar niets is minder waar. Beide partijen willen gewoonlijk hun eigen recht en de rechtbank om de hoek, en zeker bij internationale onderhandelingen kan het wel even duren voor je daar uit bent.

Een argument dat daarbij wel naar voren komt, is dat de jurist het eigen recht het beste kent of dat het lokale recht de beste bescherming biedt. Laat je daardoor niet foppen: ik ken geen jurisdictie waar ook ter wereld die duidelijke regels heeft voor business-to-business ICT contracten. Je moet dus sowieso ongeveer alles expliciet regelen in je contract. De rechtskeuze gaat dus hooguit het verschil maken bij interpretatiekwesties: hoe moet je “zo spoedig mogelijk” opvatten.

Arnoud

Games mogen in Duitsland voortaan hakenkruizen tonen

Geplaatst op in Ondernemingsvrijheid, 8 reacties

Games die in Duitsland worden verkocht mogen voortaan hakenkruizen en andere nazisymboliek in beeld laten zien, meldde Nu.nl net voor mijn vakantie. De Duitse Unterhaltungssoftware Selbstkontrolle (USK, zeg maar de Duitse PEGI) die in Duitsland games van een leeftijdclassificatie voorziet, heeft haar regels bijgesteld, zodat games net als films en andere kunst hakenkruizen mogen laten zien als dat historisch verantwoord is en niet leidt tot promotie van Nazi-gedachtengoed. En wat mij dan intrigeert: “Het Duitse Hooggerechtshof bepaalde in 1998 dat de game Wolfenstein 3D in strijd was met de grondwet door nazisymboliek te tonen.” Ik heb iets gemist, geloof ik want ik dacht dat dat allemaal zelfregulering/angst was.

De Duitse regels omtrent Nazi-symboliek is al heel lang zeer scherp. En inderdaad gaf dat een botsing toen schietspel Wolfenstein 3D twintig jaar geleden op de markt komt (opa Arnoud zegt: 20 jaar geleden is 1970, maar dat terzijde). Daarin waren herkenbare hakenkruizen opgenomen, en ook een aantal portretten van Hitler. Allemaal bedoeld om het spel aankleding (een backdrop, zeggen we nu) te geven. Maar dat mocht niet baten bij de rechter:

Rather, the protective purpose of § 86a StGB (German Criminal Code) calls for symbols of unconstitutional organisations to not be shown in computer games. In this respect it […] does not matter that the prohibited signs and symbols of the game “Wolfenstein 3D” were located in the areas of the game assigned to the enemy. If such a use of prohibited symbols in computer games were permitted, it would hardly be possible to counteract a development towards their increasing use in public, which would run counter to the objective of § 86a StGB.

Dit was overigens het Oberlandesgericht Frankfurt (zeg maar het Gerechtshof) en niet het Bundesgerichtshof/Hooggerechtshof zoals Nu.nl meldt, maar dat terzijde.

Het opmerkelijke aan deze beslissing was met name dat het wetsartikel een uitzondering kende voor historische en artistieke uitingen (zoals films, documentaires en kunst) waarin deze symbolen verwerkt waren. Dat mag wel, mits ze maar niet de vorm aannemen van verheerlijking of promotie van het gedachtengoed. De rechter achtte dat niet van toepassing, want het ging hier ‘maar’ om een computerspel.

De USK is in 2008 opgericht om middels zelfregulering de gamebranche te beschermen. Onderdeel daarvan was dus een eveneens strenge regel rondom Nazi-symboliek, waardoor spellen in Duitsland de facto altijd zonder hakenkruizen en dergelijke op de markt kwamen. En die regel is nu aangepast om rekening te houden met de wettelijke uitzondering voor kunst en geschiedenis.

Arnoud

Omstreden gamewebsite stopt met illegale roms uit angst voor rechtszaken

Geplaatst op in Intellectuele rechten, 31 reacties

De omstreden gamewebsite EmuParadise gaat niet langer roms van oude games aanbieden. De beheerder van de site vreest namelijk voor mogelijke rechtszaken tegen bijvoorbeeld Nintendo. Dat meldde Nu.nl vlak voor mijn vakantie. De site bood downloadlinks naar roms van oude games. Hierdoor was het mogelijk om klassiekers voor klassieke spelcomputers van bijvoorbeeld Nintendo, Sega en Sony te spelen op een computer, smartphone of tablet. Iets waar Nintendo recent bij anderen tegen in het geweer kwam. Verrassend? Nee.

Roms zijn kopieën van videocartridges en dergelijke, die door een emulator worden ingelezen om het spel op die cartridges te kunnen naspelen op een laptop of tablet. Ze zijn vanuit nostalgie erg populair, zeker de spellen van Nintendo die nu eenmaal wereldberoemd zijn. Dat maakt dat het aanbieden van roms voor veel mensen een aantrekkelijke bezigheid is.

Het punt is: het mag alleen niet. Op videospellen rust auteursrecht, en ze kopiëren van het ene naar het andere medium (van rom naar bestand op de pc) is een inbreuk op het verveelvoudigingsrecht. Het publiceren van zo’n kopie op een website dan natuurlijk al helemaal. Daar is verder weinig van te maken, juridisch gezien.

Frustrerend is het natuurlijk wel. Die spellen zijn vaak nergens meer te krijgen, helemaal niet in een vorm dat je hem op een moderne computer kunt spelen. En die behoefte is er in grote mate. Als Nintendo die markt dan laat liggen, dan is dat behoorlijk ergerlijk. De wet staat het ze alleen wel toe, het is hun auteursrecht en er is geen “use it or lose it” bepaling. Zelfs niet als je beredeneert, Nintendo wil die markt niet dus welke schade lijden ze.

Arnoud