Mag een bedrijf mijn mail tracken vanwege een wettelijke plicht?

Geplaatst op in Ondernemingsvrijheid, Privacy, 22 reacties

Een lezer vroeg me:

Mag een bedrijf via email zonder toestemming tracken of je de email opent en of op een link klikt om te voldoen aan een wettelijke verplichting die op het bedrijf rust?

Het klinkt als een makkelijke vraag: als een bedrijf iets moet van de wet, dan mag men dat ook van de AVG. De AVG is als ‘algemene’ wet namelijk in principe altijd ondergeschikt aan andere wetten.

Het punt is alleen, er is bij mijn weten geen enkele wet die eist dat een bedrijf nagaat of een werknemer (of een klant) een mail geopend heeft. Ik kan de opmerking van “wettelijke verplichting” dus niet plaatsen.

Ik denk dat het bedrijf dit zo zegt omdat ze moeten bewijzen dat een bericht is aangekomen. Denk aan een aanzegging voor een niet-verlengd arbeidscontract, een bevestiging van een online aankoop of een formele waarschuwing. Het tracken van de e-mail en loggen dat een daarin opgenomen link is aangeklikt, geeft daarvoor voldoende bewijs.

Echter, dat iets effectief is onder wet A betekent nu net nog niet dat het onder de AVG ineens mag. De AVG is dus ondergeschikt, maar een gekozen maatregel om een andere wet na te leven moet wel noodzakelijk zijn om die wet na te leven. De vraag is dus altijd: is dit echt de enige manier, kan het niet een onsje minder privacyonvriendelijk?

Er zijn vele manieren om een bericht te doen aankomen en daar bewijs van te krijgen. Daarmee is “ik moet bewijzen dat je dit bericht hebt gehad” op zich dus géén excuus voor privacyonvriendelijke tracking. Grofweg zou dit alleen kunnen als dit de énige reële manier is om te bewijzen dat het bericht is ontvangen. Maar ik moet de eerste situatie nog tegenkomen waarin dat werkelijk zo is.

Arnoud

Kan ik onder de AVG mijn Nintendo-landkeuze aanpassen?

Geplaatst op in Ondernemingsvrijheid, Privacy, 19 reacties

Een lezer vroeg me:

Recent ben ik verhuisd van Denemarken naar Noorwegen. Na het uitpakken van mijn Nintendo Wii U bleek deze echter niet te werken, omdat het Nintendo Network ID in Denemarken was geregistreerd en volgens de EULA niet overgezet kan worden naar een ander land. Mijn beroep op het correctierecht uit de AVG – ik woon nu immers in Noorwegen – werd afgewezen omdat ik akkoord was gegaan met de EULA. Maar EULA’s gaan toch niet boven de wet?

Het klopt dat een EULA niet boven de wet kan gaan. Althans niet boven wat juristen “dwingend recht” noemen, want er is ook “regelend recht” en dat is nadrukkelijk bedoeld om contractueel anders te mogen doen. Dat je een internetbestelling binnen 14 dagen retour mag melden is dwingend recht. Dat een langlopend contract op ieder moment opgezegd mag worden is regelend recht – je kunt afspreken dat je er een jaar aan vastzit.

De AVG is dwingend recht, althans de delen die burgers rechten geven, dus een EULA kan geen bepalingen bevatten die in strijd zijn met de AVG. Doen ze dat toch, dan zal de rechter die clausule negeren.

De Nintendo Wii U EULA vermeldt dat je een ID krijgt dat gekoppeld is aan je “country of residence”, het land waar je op dat moment woont. De EULA vermeldt ook dat deze niet kan worden gewijzigd:

The Nintendo Network ID is linked to your country of residence that you indicated during the registration. If you move to another country, you may not be able to use your Nintendo Network ID (including Digital Products) and you may have to create another Nintendo Network ID if you want to enjoy Nintendo Network in this new country. If you move back to the country, in which your Nintendo Network ID was registered, you will be able to use your original Nintendo Network ID again.

Op grond van de AVG heb je het recht om onjuiste gegevens te laten rectificeren (art. 16 AVG). Als je van Denemarken naar Noorwegen verhuist, dan is een registratie “Country of residence: Denmark” vervolgens onjuist, zodat je die mag laten corrigeren. Hiervoor mogen overigens geen kosten worden gevraagd (artikel 12 AVG).

Echter, ik vraag me dan af of dit wel de informatie is die men opslaat. Gezien de tekst van de EULA gaat het om een keuze, in welk land wil ik dat mijn landgebonden Nintendo-dienst werkt. Die keuze is en blijft dan Denemarken. Het zou net zoiets zijn als vergeten je betaaldparkeren af te melden in je app en vervolgens een AVG-correctie eisen naar de werkelijke wegrijtijd. De geregistreerde eindtijd is geen fout, dat was de tijd dat je áángaf weg te rijden. Dat je feitelijk eerder wegreed en vergat de parkeeractie te stoppen in de app, is iets heel anders.

Omdat de Nintendo-dienst landgebonden is, lijkt het me legitiem dat die landkeuze niet onder de AVG aangepast kan worden. Dan forceer je langs oneigenlijke weg dat de dienst ineens EU-breed geleverd moet worden op dezelfde voorwaarden. Natuurlijk kun je erover twisten of dat laatste niet behoort de werkelijkheid te zijn, maar dat los je niet op door de AVG in te zetten.

Arnoud

Als een security onderzoeker een datalek ontdekt, is dat dan een datalek?

Geplaatst op in Privacy, Security, 13 reacties

Een vraag via Twitter:

Suppose during a contracted test a security testers stumbles upon a number of personal data… Is that a data breach? #gdpr – no clue yet…

Van een datalek is onder de AVG/GDPR sprake bij “een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens” (artikel 4 definitie 12). Kernwoorden hierbij zijn dat de beveiliging geschonden is en dat die persoonsgegevens vervolgens per ongeluk of onrechtmatig zijn verwerkt.

Je kunt als security-onderzoeker bij een opdracht ontdekken dat persoonsgegevens kwetsbaar zijn voor zulk onrechtmatig verwerken. Dat kan per toeval of door gericht onderzoek naar security-kwetsbaarheden. Een simpel voorbeeld is dat je een standaardwachtwoord gebruikt (het bekende admin/admin voorbeeld) of een trucje uithaalt om een beveiliging te omzeilen, dat is immers deel van security onderzoek bij een bedrijf.

Met zulk handelen wordt dan een beveiliging geschonden, en vervolgens krijg je toegang tot persoonsgegevens die niet voor jou bestemd zijn. Dat zou volgens de letter dan een datalek zijn.

Alleen, gezien de aard van het onderzoek zou ik het raar vinden om deze toegang als “onrechtmatig” te kwalificeren. Het is deel van je werk, het kan gebeuren dat je dit tegenkomt. Daar is dan niets onrechtmatigs (of per ongeluks) bij. Ook zou ik dit geen ‘inbreuk’ in de zin van de wet noemen – die term heeft een ondertoon van illegaal gedrag, en een ingehuurde security onderzoeker handelt natuurlijk niet illegaal in zijn werk.

Natuurlijk moet je als onderzoeker wel gebonden zijn aan geheimhouding, het is immers niet de bedoeling dat je die gegevens vervolgens ergens anders voor gaat gebruiken. Maar dat staat standaard in de algemene voorwaarden (of apart getekende NDA) lijkt me zo.

Belangrijk is wel dat deze constatering door de security onderzoeker moet leiden tot een nader onderzoek. Want als de onderzoeker erbij kon, dan konden anderen dat misschien ook. En dát zou dan wel een datalek opleveren.

Arnoud

Zou Apple bezitters van slechte iPhones een notificatie voor het reparatieprogramma mogen sturen?

Geplaatst op in Ondernemingsvrijheid, 7 reacties

Een lezer vroeg me:

Ik las dat Apple heeft een reparatieprogramma opgezet voor de iPhone 8. Op hun site kunnen gebruikers het serienummer van hun iPhone 8 invoeren, waarna verteld wordt of een toestel in aanmerking komt. Waarom doen ze dat niet automatisch? Ze weten met dat serienummer al wie je bent, je moet immers je Apple-apparaat registreren.

Volgens Apple gaat het om toestellen die tussen september 2017 en maart 2018 verkocht zijn in Australië, China, Hong Kong, India, Japan, Macau, Nieuw-Zeeland en de VS. Een fabricagefout in het moederbord zorgt voor problemen zoals spontane reboots of opstartweigeringen. Iets waarvoor je als koper zeker de winkel aan kunt spreken, en waarbij reparatie of vervanging zeker gerechtvaardigd is. Netjes dus dat Apple zo’n recall uitvoert.

Het programma vereist echter dat je als consument zelf actie onderneemt. Je moet naar die site en je serienummer invullen (of het IMEI). Wie dat niet doet, of wie het bericht in de media gemist heeft, zal dus langer dan nodig door blijven lopen met zo’n problematische telefoon. Een brief in de brievenbus of nog interessanter een pushbericht naar de telefoon “Deze telefoon is mogelijk defect, klik hier voor aanmelding reparatieprogramma” zou veel proactiever zijn. (Ik moet nu denken aan Samsung’s drastische actie bij ontploffende Note 7s die men een verplichte update pushte waarmee het opladen van de batterij uitgeschakeld werd.)

Apple heeft inderdaad de NAW-gegevens van veel kopers, want je moet je telefoon registreren. Dat segment koper kun je dus bereiken met een brief, hoewel de kosten daarvan aanzienlijk kunnen zijn. Dat zie ik dus niet direct gebeuren.

Een pushbericht naar de telefoon kost daarentegen niets. Ik weet niet of dit technisch mogelijk is, maar je zou zeggen dat als je het serienummer kunt vertalen naar een Apple ID dat je dan ook een bericht naar die telefoon kunt sturen als daar infrastructuur voor is. Als die er niet is, dan houdt het op.

Ongevraagd berichten sturen naar een telefoon valt in principe onder het spamverbod. Het spamverbod lijkt me specifiek in dit geval niet relevant, omdat het hier niet gaat om reclame van welke aard dan ook. Dit lijkt me hét voorbeeld van wat in dit verband een servicebericht heet, een relevante zakelijke mededeling die de ontvanger niet leuk vindt om te horen. Dus ik denk dat het wel zou mogen.

Je kunt je natuurlijk afvragen of het handig is. In dit specifieke geval lijkt er geen nadeel te zijn, maar waar trek je dan de grens? Bij welke categorie problemen mag je verwachten dat de leverancier je gaat pushen om langs te komen voor een herstel? En hoe voorkom je dat anderen misbruik gaan maken van deze actie door nep-popups te maken met phishing-acties?

Arnoud

Nederlandse staat is aansprakelijk voor uitlatingen over illegaal downloaden

Geplaatst op in Intellectuele rechten, Regulering, 11 reacties

De Nederlandse staat is aansprakelijk voor uitlatingen die bewindslieden hebben gedaan over downloaden uit illegale bron. Dat meldde Tweakers gisteren. De rechtbank Den Haag heeft in een principezaak bepaald dat wanneer bewindslieden uitspraken doen die in strijd zijn met Europees recht, je als burger de staat mag aanspreken voor schade die daaruit het gevolg is. Ook als de bewindslieden te goeder trouw dachten dat de uitspraak waar was en de einduitspraak van het Hof van Justitie best wel een verrassing was. Zoals dus met illegaal downloaden. Het is overigens nog maar zeer de vraag welke schade de Staat nu concreet moet gaan vergoeden.

De uitspraak is een gevolg van het downloadverbod dat het Hof van Justitie in 2014 uitsprak. In deze zaak (ACI Adam geheten, onder juristen) bepaalde de hoogste Europese rechter dat de Nederlandse thuiskopieregeling in strijd was met Europees recht. Dat recht eist namelijk dat uitzonderingen op het auteursrecht beperkt worden uitgelegd, en Nederland had juist een brede thuiskopieregeling – volgens de Staat zelfs zó breed dat downloaden uit illegale bron er onder viel.

Door deze gezaghebbende opvattingen, die breed in de media werden uitgedragen (kuch en in mijn thuiskopie-artikel met liefde geciteerd werden kuch) ontstond een breed gedragen beeld dat downloaden uit illegale bron écht mocht, zolang je maar niet uploadde. Vele Nederlanders hebben daarnaar gehandeld, mag je veronderstellen, en hebben dus dingen gedaan die achteraf gezien eigenlijk gewoon onrechtmatig waren tegen de rechthebbenden.

Dat kun je die mensen moeilijk verwijten, want de wet wás nu eenmaal zo geformuleerd en als de staatssecretaris dan ook nog zégt dat dat zo is, dan mag je als burger daar op af gaan. Maar blijkt het niet te kloppen, dan mag je als slachtoffer de Staat aanspreken voor die onjuiste opvatting. Dit is in algemene zin allemaal standaardjurisprudentie. Je mag als burger vertrouwen op de overheid, en blijkt het niet te kloppen dan is de Staat aansprakelijk en niet de burger die de overheid volgde.

De rechtbank snijdt wel flink in de uitlatingen waarvoor men concreet aansprakelijk is. Een groot deel van de gewraakte uitlatingen kwamen namelijk uit het parlementaire debat, en daarvoor hebben Kamerleden en bewindslieden volledige immuniteit (artikel 71 Grondwet). Als dus in Kamerstukken komt te staan dat downloaden uit illegale bron mag, dan is daar niets tegen te doen.

Uitlatingen tegenover de pers zijn wél problematisch als ze niet blijken te kloppen. Ook als daarin exact hetzelfde staat als in zo’n parlementaire uiting. En ook – zo bepaalt de rechtbank – als het gaat om een uitlating die verdedigbaar was binnen het Nederlands recht, en waarvan helemaal niet uitgemaakt was dat die in strijd was met Europees recht. Enkel dat achteraf het Hof zegt dat Nederland altijd fout zat, maakt de uiting verwijtbaar.

Daarmee is de Staat echter niet aansprakelijk voor de gederfde winst van iedere legale aanschaf die men in theorie tegenover een illegale download kan stellen. Het aansprakelijkheidsrecht eist namelijk dat er een causaal verband is tussen de gewraakte handeling en de schade die wordt geclaimd. In deze procedure werd nog geen concrete schade geëist, het was namelijk een principezaak om vast te stellen of überhaupt aansprakelijkheid bestond. Dat wordt dus erkend, maar niet algemeen:

Vanwege deze specifieke omstandigheden van het geval, zijn de onder 4.53 bedoelde uitingen van de staatssecretaris van justitie in het persbericht van Rijksoverheid.nl van 11 april 2011 (het in 2.7 weergegeven citaat) en het interview op diezelfde dag, dat is gepubliceerd op de website van de NOS (het in 2.8 weergegeven citaat) en in het nieuwsbericht van de NOS van 21 december 2012 (het in 2.10 weergegeven citaat) onrechtmatig jegens [eisers].

Voor schade die het gevolg is van deze concrete uitingen, kunnen de eisers dus een claim indienen. Ik ben heel erg benieuwd tot welke berekening men komt, want ik ken geen onderzoek dat op basis van deze (en alléén deze) persberichten/nieuwsitems veranderingen in downloadgedrag kon aantonen.

Arnoud

Een openbaar toegankelijk script manipuleren is ook gewoon computervredebreuk

Geplaatst op in Security, 20 reacties

De rechtbank Den Haag heeft geen straf opgelegd aan een 45-jarige it’er die een datalek had ontdekt en aan de grote klok had gehangen. Dat las ik bij Tweakers vorige week. De man was met een script binnengedrongen in een databank. De beveiliging daarvan was minimaal, maar dat was genoeg voor de rechtbank om van computervredebreuk te spreken. Het ethisch karakter van de computerkraak was echter reden om geen straf op te leggen.

In 2015 ontdekte de it’er hoe hij toegang kon krijgen tot donateursgegevens van een stichting. In het robots.txt-bestand van de webserver was een script vermeld dat op basis van een ID donateursgegevens teruggaf. Het script kende een gebrekkige beveiliging, waardoor de man simpelweg 80.000 ID’s kon doorlopen en de bijbehorende gegevens kon verkrijgen.

Uit het vonnis blijkt dat de man digitaal was gaan rammelen aan de deur nadat hij in de robots.txt dit script ontdekte. Hij wilde gebreken in de beveiliging van vertrouwelijke persoons- en betalingsgegevens aantonen, en daarvoor achtte hij het nodig om uitgebreid te testen om de omvang van het probleem vast te stellen. Daarna stapte hij naar klokkenluidersite Publeaks, waarna onder meer Tweakers erover berichtte. Opmerkelijk genoeg koos hij er niet voor de stichting zelf in te lichten. En dat wordt hem zwaar aangerekend.

Allereerst kijkt de rechtbank echter naar de vraag of überhaupt sprake is van computervredebreuk. Het script was niet met een wachtwoord beveiligd, maar bij artikel 138ab Strafrecht is dat ook geen vereiste. Enkel willens en wetens binnengaan waar je niet mag zijn, is een strafbaar feit. Analogieën zijn altijd gevaarlijk, maar in dit geval zou de analogie zijn dat je iemands achtertuin betreedt door een per ongeluk opengelaten tuinhekje. Dat is erfvredebreuk, ook als je niets kapotgemaakt hebt.

In dit geval komt de rechtbank tot de conclusie dat sprake is van ‘valse signalen’, een specifieke vorm van computervredebreuk:

De webserver is zo ontworpen, dat een record werd geretourneerd aan wie pictura.php opvroeg en daarna een geldig ID invoerde. De veronderstelling van de beheerder daarbij was dat alleen rechthebbenden dat konden en zouden doen. Door als niet-rechthebbende het pictura.php script op te vragen en een geldig ID in te voeren – en daarmee de webserver “enig teken” te geven –, heeft verdachte een gevolg uitgelokt – het retourneren van een record aan een niet-rechthebbende – waartoe de webserver weliswaar de mogelijkheid bood, maar waarmee de beheerder geen rekening had gehouden. Daarmee is sprake van het geven van valse signalen.
Dit betekent dus inderdaad dat je een strafbaar feit begaat door URL’s te raden. Ik zou wel zeggen, pas vanaf het moment dat je denkt “hé dat is raar, krijg ik echt hiermee gegevens die ik niet behoor te krijgen” en dan gaat doorvragen. Een URL overtypen en dan een typefout maken, waarna je andermans records krijgt, is natuurlijk een heel ander verhaal.

Juridisch is het mogelijk dat je een strafbaar feit begaat zonder zelf strafbaar te zijn. Dat kan bijvoorbeeld wanneer sprake is van ethisch hacken – vanuit een wezenlijk maatschappelijk belang handelen. Dat belang weegt dan zwaarder dan de achterliggende norm die het gedrag strafbaar verklaart. Wel is vereist dat je dan proportioneel en subsidiair handelt.

Proportioneel wil zeggen dat je niet meer doet dan nodig is voor dat belang. In dit geval ging het erom vast te stellen dat er inderdaad persoonsgegevens opvraagbaar waren zonder beveiliging. Daarvoor was het in dit geval niet nodig om 80.000 gegevens te downloaden, met een handjevol kom je ook al een heel eind. Hier ging de man dus veel verder dan nodig.

Subsidiair wil zeggen dat je bij de uitvoering van het feit zo zorgvuldig mogelijk te werk gaat. Dat betekent bij ethisch hacken dat je het ontdekte meldt aan de organisatie. Natuurlijk is het mogelijk dat een organisatie je negeert, maar het is gewoon een verplicht nummer. Het feit dat hij dit niet heeft gedaan, maar direct de publiciteit zocht, wordt hem dan ook zwaar aangerekend.

Omdat de man dus niet aan de eisen van proportionaliteit en subsidiariteit heeft voldaan, wordt zijn handelen strafbaar verklaard. Echter, vanwege zijn nobele doel, het feit dat hij steeds meewerkte en dat hij geen strafblad had, wordt hem uiteindelijk geen straf opgelegd.

Voor mij is de uitspraak vooral van belang omdat hij onderstreept dat ethisch hacken wel degelijk een goede grond kan zijn om computervredebreuk te ‘mogen’ plegen. Je moet daarbij wel héél netjes te werk gaan, én natuurlijk de organisatie altijd inlichten.

Arnoud

Mag ik vanaf de openbare weg mensen op een buurtfeest fotograferen?

Geplaatst op in Informatiemaatschappij, Privacy, 49 reacties

Een lezer vroeg me:

Recent liep ik door de buurt en zag ik een buurtfeest met mooie sfeer. Weliswaar achter een afzetting maar op een straat met plein, dus openbare weg volgens mij. Ik maakte vanaf de straat aan de overkant foto’s, en werd toen aangesproken door twee deelnemers dat dat niet mocht, mede omdat er kinderen op de waterglijbaan speelden. Achteraf hoorde ik dat een heleboel ouders wel zelf foto’s van het feest (én de kinderen) op internet hadden gezet. Mag dit nu wel of niet, foto’s maken van zo’n situatie?

Vanaf de openbare weg mag je in principe fotograferen wat en wie je wilt. Dat was altijd het devies voor fotografen en andere nieuwsjagers. Pas bij publicatie moet je rekening houden met privacy, dat bepaalde het portretrecht.

Echter, de AVG heeft daar enige verandering in gebracht. Weliswaar kent die net als het portretrecht een belangenafweging (en dus géén absoluut verbodsrecht), maar de AVG geldt op iedere vorm van verwerking. En het máken van foto’s is al een verwerking, zodat je al op het moment van indrukken van de sluiter onder de wet valt. Sinds 25 mei kun je dus al bezwaar maken tegen het máken van een foto, niet pas tegen publicatie.

In principe blijft voor mij overeind staan dat een gebeurtenis op de openbare weg weinig privacyverwachting heeft. Een hekje er omheen maakt daarbij niet uit. (Een afzetting met blindering of een rij zeecontainers natuurlijk wel.) Maar als je daar van afstand gaat fotograferen, dan zie ik wel hoe mensen daar toch enige moeite mee hebben. Die fotografie is dan geen deel van het feest, en breekt in op de privacyverwachting die men heeft.

En zeker bij foto’s van kinderen op een evenement dat alleen besloten toegankelijk is, is de privacywaarde erg hoog. De ouders verwachten een ontspannen sfeer waarin kinderen vrijelijk kunnen spelen. Bij dergelijke foto’s zie ik dan ook de belangenafweging onder de AVG echt uitvallen in het voordeel van de kinderen.

Ik ben er nog niet uit wie er moet winnen als er alleen volwassenen feest vieren, maar begrijp wel dat daar aanwezige mensen er boos over worden en de vraagsteller sommeren te stoppen.

Arnoud

Heb ik onder de AVG recht op beelden van de diefstal van mijn motorfiets?

Geplaatst op in Privacy, 21 reacties

Een lezer vroeg me:

Enkele dagen geleden is mijn motor gestolen die voor mijn huis geparkeerd stond. De plaatselijke supermarkt heeft dit feit opgenomen met één van hun beveiligingscamera’s. Heb ik recht op inzage?

Het recht op inzage in camerabeelden komt uit de Algemene Verordening Gegevensbescherming, en geldt dus alleen voor camerabeelden waar jouw persoonsgegevens in opgenomen zijn. Kort gezegd: alleen als je in beeld bent, heb je recht op de beelden.

Een afbeelding van een huis of motorfiets is als zodanig geen persoonsgegeven, omdat die objecten niet tot jou te herleiden zijn. Alleen heel indirect, als het adres van het huis zichtbaar is dan zou je via het Kadaster bij jou als eigenaar uit kunnen komen. En voor een motorfiets zou hetzelfde gelden via het nummerbord en de RDW. Maar of dat genoeg is voor inzage van die beelden, betwijfel ik zeer.

Zelfs als je de beelden ter inzage krijgt, dan nog zit je met een probleem. De beelden van de daders van de diefstal zijn hún persoonsgegevens, en jij hebt daar in principe geen recht op. De supermarkt zou die beelden dus moeten pixelen voordat jij ze krijgt, onder je recht van inzage.

De AVG biedt echter een escape: het “verwerken van persoonsgegevens”, hier dus het afgeven van de beelden, mag als er een eigen legitiem belang is bij jou als ontvanger. Aangifte kunnen doen van de diefstal lijkt me evident zo’n belang. Dan kom je in de belangenafweging van de AVG terecht, en die zou best in jouw voordeel uit kunnen vallen als de beelden inderdaad overtuigend zijn.

Een risico voor de supermarkt is dat jij de beelden voor andere doeleinden gaat gebruiken, bijvoorbeeld op internet publiceren met een “Wie deze motor buitengerechtelijk terughaalt, krijgt 1000 euro van me” tekstje er bij. Dat is een probleem want dat is geen legitiem doel, en zij zijn dan aansprakelijk voor de schade bij de huidige houder van de motorfiets. Ik vermoed dat zij dat risico niet willen lopen. Praktisch gezien kom je dan ook uit bij dat ze de beelden niet aan jou mogen geven, maar dat je ze wel moet kunnen bewegen tot aangifte. Of dat jij aangifte doet en meldt dat de supermarkt beelden heeft, die de politie dan kan vorderen.

Arnoud

De rechtspraak en de bedrijfsgeheime bewijsanalyse

Geplaatst op in Innovatie, 28 reacties

Steeds meer bedrijven leunen zwaar op de wettelijke bescherming voor bedrijfsgeheimen, en dat heeft grote impact op de strafrechtspraak. Dat las ik bij Boing Boing een tijdje terug. Het gaat om software die analyses doet op data gebruikt als bewijs, of inschattingen van vluchtgevaar of recidive. Wie als verdachte de bevindingen van die software wil aanvechten, moet eigenlijk wel de broncode en/of brondata er bij hebben. En dat mag dus niet, omdat die bedrijven zich beroepen op de bescherming van handelsgeheimen. Een erg zorgelijke ontwikkeling.

Software in de rechtspraak is de laatste paar jaar aan een forse opmars bezig. Steeds vaker wordt software daarbij ingezet die adviezen of analyses doet waar rechters, advocaten en officieren op kunnen werken. Een bekend (berucht?) voorbeeld is COMPAS, dat recidivisme voorspelt. Daarmee kan een rechter makkelijker bepalen of iemand op vrije voeten gesteld moet worden of liever toch niet.

Het grote probleem met al deze software is dat ze vaak moeilijk (of gewoon helemaal niet) aangeven hoe ze tot hun analyse komen. Steeds vaker proberen gedaagden dan ook inzage te krijgen in de broncodes en achterliggende algoritmes. En dat lukt dus niet, omdat de leveranciers zich kunnen beroepen op bescherming van handelsgeheimen. De definitie van een handelsgeheim is immers dat iets waarde heeft omdat het geheim is, en dat past goed bij zo’n algoritme.

Het wringt natuurlijk enorm met het vereiste van transparantie in de rechtspraak. Wat mij betreft zou het dus een goede zaak worden als het verboden wordt software-analyses als bewijsondersteunend middel te gebruiken tenzij de werking transparant is en er een externe analyse op eventuele bias geweest is.

Arnoud

Over deze drie detailpunten kunnen advocaten wekenlang steggelen

Geplaatst op in Informatiemaatschappij, 6 reacties

Onderhandelen over een deal vereist aandacht voor alle punten, van groot tot klein. Niet alleen de prijs is van belang, ook schijnbare details zoals wanneer sprake is van overmacht moet gewoon goed geregeld zijn. Ik noem mezelf bij onderhandelingen altijd een beroepspessimist of professioneel doemdenker: ik ga bedenken waar jij en je wederpartij ruzie over krijgen over vijf jaar, en daar dan alvast een oplossing voor opnemen in het contract. Het is logisch dat je bij grote issues zoals te laat betalen of het afsluiten van de dienst even bezig bent. Toch zijn er ook genoeg kleine details die aanleiding geven tot wéken onderhandelen.

Ontbinden of opzeggen<br/> In geval van wanprestatie mag de wederpartij ontbinden. Dat staat in de wet, en vaak ook in het contract zelf. (Voor de zekerheid de wet overschrijven, het is een juristengewoonte.) En dat lijkt ook logisch, als iemand slecht presteert dan moet je van hem af kunnen. Maar ontbinden is meer dan dat: volgens de wet moeten alle verplichtingen dan ongedaan gemaakt worden, het hele contract moet teruggedraaid worden.

Dat was vast een logische gedachte in 1951 toen dit in het Wetboek van Koophandel kwam, maar bij een complex ICT-project met maanden Agile sprints, een hybride cloudinfrastructuur en duizenden uren consultancy moet ik er niet aan denken dat allemaal ongedaan te gaan zitten maken. Tenzij ik het op uurtje-factuurtje mag doen, maar daar moet jij dan weer niet aan denken. Iets logischer is dan ook om gewoon op te nemen dat je mag opzeggen bij een wanprestatie. Je geeft elkaar een hand en gaat uit elkaar, natuurlijk met een schadeclaim voor de wanprestatie zelf.

Opzegrecht bij bedrijfsverkoop<br/> Gebruikelijk is in een contract op te nemen dat de ene partij mag opzeggen als de andere partij failliet gaat, surseance krijgt of dergelijke rampspoed overkomt. In die situaties zal de dienstverlening (of de betaling, als we het over de klant hebben) niet al te best meer zijn, dus dan kan ik me voorstellen dat je als wederpartij weg wilt. Vaak duikt in dat rijtje ook op de bedrijfsverkoop, of dat nu is door nieuwe meerderheidsaandeelhouders dan wel een fusie of bedrijfsopvolging. Maar dat is iets heel anders. Een bedrijf wordt meestal niet verkocht omdat het slecht gaat, maar juist omdat het goed gaat. De reden dat men dan weg wil kunnen, is dan ook een andere: men is bang dat de kopende partij een concurrent is, of slecht bekend staat. En dan hang je aan een contract met zo’n partij.

Voor de andere partij is deze clausule eigenlijk heel erg vervelend. Immers, een kopende partij zal vooraf willen weten wat je waard bent. En de te verwachten inkomsten onder alle contracten is daarbij een belangrijke factor. Contracten met zo’n opzegrecht worden daarbij eenvoudigweg op nul gezet, want de wederpartij kan immers weggaan. Daar mag je dan niet op rekenen. Tegelijkertijd begrijp ik ook de angst van de andere partij, dat je ineens vastzit aan een partij die je helemaal niet kent of die je juist veel te goed kent van dat giga-project dat mislukte vorig jaar. Daar moet dus stevig over onderhandeld worden.

Rechts- en forumkeuze<br/> De uitsmijter van elk contract: rechtskeuze en forumkeuze. De rechtskeuze bepaalt welk wetboek van toepassing is, en de forumkeuze bepaalt welke rechtbank uitspraken mag doen over conflicten die uit het contract komen. Je zou zeggen dat je daar zakelijk snel uit komt, maar niets is minder waar. Beide partijen willen gewoonlijk hun eigen recht en de rechtbank om de hoek, en zeker bij internationale onderhandelingen kan het wel even duren voor je daar uit bent.

Een argument dat daarbij wel naar voren komt, is dat de jurist het eigen recht het beste kent of dat het lokale recht de beste bescherming biedt. Laat je daardoor niet foppen: ik ken geen jurisdictie waar ook ter wereld die duidelijke regels heeft voor business-to-business ICT contracten. Je moet dus sowieso ongeveer alles expliciet regelen in je contract. De rechtskeuze gaat dus hooguit het verschil maken bij interpretatiekwesties: hoe moet je “zo spoedig mogelijk” opvatten.

Arnoud