Kaspersky wint zaak over krantenartikel met hackclaims van ‘Nieuwsuur-expert’

Geplaatst op in Uitingsvrijheid, 3 reacties

Kaspersky heeft van de Nederlandse rechter gelijk gekregen in een kort geding, waarin is bepaald dat De Telegraaf een krantenartikel moet rectificeren. Dat meldde Tweakers gisteren. In dat artikel werd gesteld dat Rian van Rijbroek claimde dat ze het wifinetwerk van het Nederlandse Kaspersky-kantoor was binnengedrongen en allerlei geheime informatie te pakken had gekregen. Dit ervoer het geplaagde securitybedrijf als smaad en men startte een rechtszaak tegen de Telegraaf.

Uit het vonnis haal ik vooral dat het artikel gerectificeerd moet worden omdat de Telegraaf niet hard kan maken wat Van Rijbroek nu precies gezegd had. Het artikel meldde uitgebreid hoe mevrouw de meesterhacker bij een Utrechts securitybedrijf uit Rusland (waar er maar ééntje van is) IP-adressen had weten te stelen, waarna een ‘deep throat’ haar wist te melden dat er een lek zit in de Tweede Kamer dat samenwerkt met de Russen op basis van deze informatie. Of zoiets. Wie uit de mist aan uitspraken een samenhangend en technisch kloppend relaas kan halen, wint een plagiaatvrij exemplaar van De wet op internet.

Kaspersky was nogal boos over het artikel, omdat hun reputatie hiermee nogal door de mangel werd gehaald. Men had zelfs het vermoeden dat de overheidsbeslissing om te stoppen met het bedrijf, hiermee samenhing of door was beïnvloed. Vandaar de stap naar de rechter: deze onrechtmatige perspublicatie moet worden gerectificeerd.

Een groot probleem voor de krant was dat er eigenlijk geen bewijs was van wat er was gezegd. Dit nog los van dat er geen onafhankelijke bronnen waren die het verhaal konden staven, zodat je uiteindelijk wel een héél magere onderbouwing overhoudt. Na het eerste interview is er diezelfde avond nog twee keer nagebeld, maar afgezien van een paar aantekeningen is er verder helemaal niets. Dat bevreemdt anno 2018, wie neemt er nou niet zijn interviews op? Tevens bleken de verklaringen van de twee journalisten onderling niet helemaal te kloppen.

Wie op dergelijke onderbouwing publiceert, loopt een serieus risico iets te publiceren dat niet klopt. En dan zul je de gevolgen moeten dragen, aldus de rechtbank:

Zonder nader onderzoek waarvoor in dit kort geding geen plaats is, is slechts op basis van de verklaringen van de journalisten en de informatie uit anonieme bron onvoldoende aannemelijk dat [naam 1] zich heeft uitgelaten over een inbraak op het computernetwerk van Kaspersky. [naam 1] ontkent, er geen aanwijzingen dat die inbraak heeft plaatsgevonden, en door TMG is geen eigen onderzoek gedaan naar die inbraak. Kaspersky is bovendien niet om een reactie gevraagd. Dat Kaspersky hierdoor schade heeft geleden en mogelijk nog zal lijden is voldoende aannemelijk. De berichtgeving kan (potentiële) klanten afschrikken. Een cybersecuritybedrijf dat haar eigen internetveiligheid niet in orde heeft levert commercieel zeer nadelige beeldvorming op. Al met al is de publicatie in De Telegraaf voorshands onrechtmatig tegenover Kaspersky.

Een verweer van de krant was nog dat het artikel niet serieus te nemen moest zijn. Weinig hackers kruipen (bij mijn weten) in lingerie door Dubaise hotelkamers, een titel als “Meesterspionne of misleidster?” belooft ook niet echt een diepgravende analyse van de toestand in de wereld en een belofte van “wilde verhalen” geeft ook eerder een suggestie van lekker lachen dan een stevige onthulling. Maar het artikel bevatte genoeg echte feiten en referenten om het toch als serieus aan te merken.

De Telegraaf moet rectificeren op de voorpagina van de zaterdageditie, en moet bovendien bij het archiefartikel een aanduiding opnemen dat het artikel onrechtmatig was.

Arnoud

Duits Hof: Facebook-accounts gaan over op erfgenamen

Geplaatst op in Informatiemaatschappij, 4 reacties

Wanneer iemand in Duitsland sterft moeten Facebook en andere sociale media de erfgenamen inzage geven in de accounts van de overledene, aldus NRC vorige week op gezag van het Duitse Bundesgerichtshof, de hoogste Duitse rechter. Zo’n account bij Facebook is eigenlijk gewoon een stukje dienstverlening onder overeenkomst, en naar Duits recht wordt zo’n overeenkomst als deel van je vermogen gezien en gaat dus naar je erfgenamen. Daarmee hebben die recht op voortgezette dienstverlening, oftewel toegang tot het account.

In juni vorig jaar werd nog het omgekeerde gevonnist: het zou gaan om persoonsgebonden dienstverlening die eindigt met de dood van de afnemer. Het hoogste Hof oordeelt dus anders, het is ‘gewoon’ dienstverlening en die contractuele relatie erf je (“overgang onder algemene titel”) als erfgenaam.

In Nederland is dat in principe ook zo, artikel 7:410 BW:

De dood van de opdrachtgever doet de opdracht slechts eindigen, indien dit uit de overeenkomst voortvloeit, en dan eerst vanaf het tijdstip waarop de opdrachtnemer de dood heeft gekend.

Probleem is vervolgens wel dat als Facebook besluit het account te bevriezen, je daar weinig aan kunt doen. Dat is dan wat “uit de overeenkomst voortvloeit” en daar is dan geen juridisch argument meer tegen. En omdat een contract als dit geen vermogensrecht is, kun je ook niet spreken van een recht dat in de boedel (de erfenis) belandt en zo opgeëist kan worden.

Een interessant argument van Facebook vond ik nog dat zij weigerden omdat hiermee de privacy van de communicatiepartners van de overledene in gevaar zou komen. Die dachten immers met haar te mailen (directmessagen?) en hoefden niet te verwachten dat haar ouders de berichten zouden lezen. Het Hooggerechtshof gaat daar aan voorbij. Dubbel. Dat zou met brieven op haar kamer ook gebeurd zijn, maar het voelt wel raar.

Arnoud

Nog meer dingen die van de AVG ineens niet zouden mogen

Geplaatst op in Privacy, 62 reacties

Oh jee, de AVG. Dat begint een beetje een vervelend mantra te worden sinds 25 mei. Omdat de nieuwe privacyverordening zo veel nieuwe regels met zich meebrengt, komt vrijwel iedereen erachter dat dingen anders moeten. En vernieuwing is vervelend, zeker als het op grond van zoiets raars als privacy moet gebeuren. Een greep dus uit de nieuwsberichten van de afgelopen tijd van mensen die dingen niet meer mogen, en vooral: waarom ze ongelijk hebben.

Niet meer durven bidden voor de zieken – dankzij de privacywet. Dat schreef NRC onlangs. Het noemen van een naam in het gebed (eventueel in combinatie met een verwijzing naar ziekte) kan mogelijk als een verwerking van persoonsgegevens gezien worden. En dan zou de kerk een boete kunnen krijgen.

Onterechte angst, lijkt me. Allereerst is hier sprake van een niet-geautomatiseerde verwerking van gegevens die niet in een bestand terecht komen. Een gebed of preek is geen doorzoekbaar gestructureerd geheel aan informatie. Daarnaast krijg je hier dan onmiddellijk een botsing met de vrijheid van godsdienstuitoefening (artikel 18 UVRM en artikel 6 Grondwet), zodat je op zijn minst een belangenafweging moet maken tussen de grondrechten privacy en godsdienst: wat weegt zwaarder, de religieuze behoeftes van de gelovigen of de privacy van de zieke die wellicht niet in gebed genoemd wil worden?

Wij kunnen geen medicijnendoosjes met etiketten meer aannemen bij onze retourdienst medicijnen, aldus mijn apotheek. Dat twitterde ik een paar weken terug. Het goed verwerken van oude medicijnen is belangrijk omdat deze het milieu ernstig vervuilen en gezondheidsrisico’s vertegenwoordigen, dus biedt vrijwel elke apotheek een inleverdienst aan. Maar dat ‘mag’ dus niet meer van de AVG. Eveneens onterecht, wat mij betreft. En wel om dezelfde reden: een niet-geautomatiseerde verwerking van gegevens die niet in een bestand terechtkomen. Dit valt gewoon buiten de AVG.

School maakt gezichten leerlingen zwart op foto: ‘Privacy staat voorop’, aldus RTL Nieuws. De school had leerlingen foto’s mee naar huis gegeven (gewoon als stukjes papier dus) maar daarop alle gezichten met een zwarte stift onherkenbaar gemaakt. “”We zijn een speciale school met een kwetsbare doelgroep. En we hebben altijd te maken met kinderen die niet op de foto willen”, zo motiveerde het bestuur de beslissing.

Een beetje raar. Het gaat om portfolios gemaakt door de kinderen zelf tijdens de lessen van het afgelopen jaar. Dat lijkt me dus redelijkerwijs noodzakelijk voor het leveren van het onderwijs, en daarmee te rechtvaardigen binnen de AVG. (Als die foto’s niet nodig zijn, waarom worden ze dan gemaakt?) En de privacy-impact lijkt me zeer gering omdat de foto’s alleen worden gedeeld met de betrokkenen zelf en hun wettelijk vertegenwoordigers. Deze zie ik dus niet helemaal.

Zelfs op het oog ‘onschuldige’ gegevens zoals het vrijgeven van het gewicht of de lengte van een voetbalspeler aan media is naar de letter van de nieuwe wetgeving niet toegestaan, zo meldde voetbalclub Feyenoord onlangs. Voetbalspelers zijn immers werknemers van de clubs, en werkgevers hebben de privacy van personeel te respecteren. Zij worden daarom terughoudender in mededeling doen over blessures en dergelijke van spelers.

Wederom onterecht volgens mij. Inderdaad, een gewone werkgever moet terughoudend zijn met privacygevoelige informatie van de werknemer aan derden verstrekken. Dat mag alleen als het voor het werk noodzakelijk is of er een zwaarwegend belang is voor de werkgever. Denk aan een klant bellen dat een afspraak niet doorgaat omdat de betreffende collega ziek is: dat is relevant voor het werk (maar wat deze persoon precies heeft, natuurlijk niet).

Specifiek bij professioneel voetballers en andere topsporters zie ik dat echter anders. Hun rol in de maatschappij is veel groter, zodat de informatievrijheid hier een zwaardere rol gaat spelen. Heel kort door de bocht, het publiek heeft er recht op te weten wat er met ‘hun’ sterspelers aan de hand is. Natuurlijk zitten daar grenzen aan, een live camera boven het ziekbed gaat hem niet worden. Maar een voetbalclub mag volgens mij best melden dat hun speler Robin van Persie een kuitblessure opgelopen heeft en daarom niet kan spelen.

Wie heeft er nog meer “oh jee dat mag niet van de AVG” berichten gezien recent?

Arnoud

Wie is er aansprakelijk voor een door de browser onthouden internetbankierenwachtwoord?

Geplaatst op in Security, 24 reacties

ING onderzoekt of het mogelijk is zijn Chrome-inlogpagina weer ondersteuning te laten bieden voor het invullen van wachtwoorden met een wachtwoordmanager. Dat meldde Tweakers onlangs. De bank had dit geblokkeerd uit angst dat mensen hun browser dit laten onthouden, zodat een derde zonder veel moeite vanaf die laptop kan internetbankieren met alle gevolgen van dien. Wachtwoordmanagers zijn veiliger, maar werken met dezelfde herkentechniek voor inlogpagina’s. De maatregel gaf dan ook de nodige ophef, waaronder “maar het is toch jouw keuze of je zo onveilig bent”? Ja, maar bij bankieren zijn de regels net even anders.

Hoofdregel uit het recht is dat je aansprakelijk bent voor je eigen keuzes. Dus als jij de sleutels van je pand slordig opbergt, dan kun je dat moeilijk anderen verwijten. En specifiek bij internetdiensten is het dan ook jouw keuze en jouw risico hoe je wachtwoorden kiest, beheert en toegankelijk maakt.

Natuurlijk, wachtwoorden kunnen worden gestolen of afgekeken. Maar hoe moet een internetdienst weten dat iemands login door een ander gebeurde? Behoudens heel concrete aanwijzingen zou ik dat niet weten. En pas bij een hele grote of belangrijke dienst zou ik vinden dat die actief moeten monitoren op ongebruikelijk inloggedrag.

Specifiek bij banken ligt het iets complexer. De wet zegt namelijk dat een bank altijd aansprakelijk is voor beveiligingsincidenten, behalve bij fraude, opzet en grove nalatigheid van de klant (art. 7:529 BW). Bij gewone slordigheid of onoplettendheid van de internetbankierende consument draait de bank dus op voor ongeautoriseerde transacties, met hooguit een eigen risico van 150 euro voor die consument. Per ongeluk of uit gemakzucht kiezen voor het onthouden van je inlogwachtwoord voor bankieren lijkt mij een gevalletje slordigheid en géén grove nalatigheid.

Dit risico komt ook weer terug in de Uniforme Veiligheidsregels van de banksector, die expliciet over beveiligingscodes vermelden:

Schrijf of sla de codes niet op. Of, als het echt niet anders kan, alleen in een voor anderen onherkenbare vorm die alleen door uzelf is te ontcijferen. Bewaar in dit geval de versleutelde informatie niet bij uw bankpas of bij apparatuur waarmee u uw bankzaken regelt;

Ik kan dit niet anders lezen dan dat je je browser geen wachtwoorden mag laten opslaan, maar dat je ook geen wachtwoordmanager mag gebruiken. Die “apparatuur” is immers je laptop of telefoon, en de wachtwoordmanager slaat daar het wachtwoord bij op. Dus wat dat betreft is ING wel consistent.

Tegelijk: een wachtwoordmanager en dan een stevig master password is gewoon de beste manier om jezelf te beveiligen bij online diensten. Dus dit voelt als een best wel fundamenteel dilemma.

Arnoud

Nu mag je ook al niet meer doodgaan van de algemene voorwaarden

Geplaatst op in Informatiemaatschappij, 5 reacties

De internetbetaaldienst PayPal heeft een vrouw die onlangs is overleden een brief gestuurd met de mededeling dat haar overlijden in strijd was met de regels. Dat meldde Nu.nl op gezag van de BBC. “You are in breach of condition 15.4(c) of your agreement with PayPal Credit as we have received notice that you are deceased… this breach is not capable of remedy.” meldde de brief. Nadat de weduwnaar de BBC had ingelicht, heeft Paypal de brief ingetrokken onder het maken van excuses. Maar wat krijgen we nou?

Het is me niet helemaal duidelijk welk artikel 15.4 precies wordt bedoeld. De voorwaarden van Paypal Credit zijn anders gestructureerd, en er is nergens een 15.4(c) te vinden. Gezien de context van de brief (een letter of default) gaat het waarschijnlijk om artikel 12, waar voorwaarden in staan waaronder je als klant in verzuim (default) wordt geacht te zijn. Paypal mag dan je krediet ineens opeisen en je account sluiten.

Dit artikel noemt enkele situaties die voor mij vrij standaard zijn, zoals niet tijdig betalen of failliet gaan, maar ook het doen van misleidende verklaringen of niet voldoen aan je informatieplichten. Oké, dat is ergens nog wel te begrijpen, maar dat doodgaan staat er dus ook tussen:

Pass away or become incompetent;

Ik vermoed dat de achterliggende gedachte is dat je iemands kredietovereenkomst op moet kunnen zeggen als die iemand overleden is, er is dan immers geen wederpartij meer. Het is dan ook logisch dat je al het geld terug wilt eisen.

De specifieke uitwerking in dit artikel 12 is een beetje een vieze hack, een soort operator overloading eigenlijk. Artikel 12 regelt wanneer jij iets doet dat niet mag, op grond waarvan Paypal dan mag opzeggen. Dat artikel wordt nu gebruikt om ook de situatie na overlijden te regelen, want de uitkomst is hetzelfde. Maar als side effect gaat er dan een ingebrekestelling uit met als grondslag dat je overleden bent, en dat is natuurlijk weer niet de bedoeling.

Daar is vrij zeker gewoon niet over nagedacht, ook niet toen iemand het sjabloon voor die brief samenstelde en “Pass away” las en daar “you are deceased” van maakte. Het zou me niets verbazen als die zinnen door iemand anders zijn gemaakt dan de persoon die het sjabloon maakte.

De uitkomst (en die brief dus) is complete onzin, maar hoe het kon gebeuren is volkomen logisch.

Arnoud

Moet je ieder theoretisch mogelijk datalek al melden bij de toezichthouder?

Geplaatst op in Privacy, 2 reacties

Een lezer vroeg me:

Bij ons bedrijf loopt een discussie over de meldplicht datalekken. Wij kunnen niet uitsluiten dat geen van onze medewerkers ooit in een phishing-truc trapt, of dat iemand via een uiterst geavanceerde hack binnendringt en data steelt op een manier dat de logging wordt omzeild. Moeten we dan elke dag een datalek melden? Immers, je moet lekken melden tenzij je kunt uitsluiten dat er data is gelekt.

Nee, dat hoeft niet in dit soort theoretische gevallen.

Allereerst is een beveiligingsfout pas een datalek als er daadwerkelijk iets is gebeurd én je daar weet van hebt. Is je een datalek niet opgevallen, dan heb je niets om te melden en dan hoef je dus ook niet te melden. (De lat ligt bij “had moeten weten” volgens mij, dus als een normaal oplettend iemand het had geweten dan kun jij niet zeggen “lalala datalek hoe bedoel je”).

Kun je uitsluiten dat er iets is gebeurd, dan hoef je niet te melden dat die fout er zat. Logbestanden zijn een goede manier om uit te sluiten dat via een gemanipuleerde URL data is opgevraagd bijvoorbeeld. Ook de aanwezigheid van bijvoorbeeld een firewall die het verzenden van data via een bepaalde poort verhindert, zou ik genoeg vinden om niet van een datalek over die poort te spreken.

Het idee is dat je pas iets moet melden als je concreet een incident hebt. Het heeft weinig zin om te zeggen “misschien ben ik gephisht” of “mogelijk zat er een intruder op mijn netwerk die de klantdatabse heeft gedownload buiten ons IDS om”. Met zo’n melding kan er geen onderzoek of wat dan ook volgen.

Ten tweede: als je weet hebt van een datalek, dan moet je het melden tenzij de kans op schade voor betrokkenen minimaal is. In de praktijk komt dat neer op of je kunt uitsluiten dat er misbruik wordt gemaakt van de persoonsgegevens. Het is hier dus niet tenzij je kunt uitsluiten dat er een lék is geweest, maar uitsluiten dat er scháde door het lek is. Arnoud

Arnoud

Bijtertjesblog 925 daagt haarklovende advocaten van Permission Machine uit voor auteursrechtzaak

Geplaatst op in Intellectuele rechten, 29 reacties

Hoi haarklovende advocaten van Permission Machine, komt u naar de zitting op 23 maart. Aldus werkendemannenblog 925. De site is tegen een bekend internetprobleem aangelopen: je hebt als internetpublicatie veel beeldmateriaal nodig, en als je dan een keer niet oplet dan krijg je gelijk een hap van een advocaat die geld wil zien namens een fotograaf die zich ernstig in zijn exclusieve rechten getast voelt. In dit geval een hap van maar liefst € 840.011, maar iets gebruikelijker zijn bedragen van enkele honderden tot een paar duizend euro. Exclusief advocaatkosten, want dat komt er dan ook nog eens bovenop.

Wie deze blog al wat langer volgt, weet van deze problematiek. Internet is gegroeid op het idee dat foto’s vrij beschikbaar zijn, en fotografen zijn er relatief laat achter gekomen dat het internet dat vond. Dat heeft tot een héle serie aan claims en ruzies geleid, waarbij elke keer de conclusie was dat de Auteurswet nu eenmaal streng is en dat je (zeker bij zakelijk gebruik) gewoon moet betalen als je iemands foto overneemt. Dat je niet wist van de rechten of dat je terecht meende rechtenvrije foto’s te hebben, of welk argument dan ook, deed daar niet aan af.

Veel bedrijven zien daar op zich het punt wel van in, maar verslikken zich vervolgens in de hoogte van de claim. Want waar je rechtenvrij beeld normaal koopt voor hooguit enkele tientjes, blijkt zo’n overgenomen foto altijd minstens 255 euro te kosten en als je niet uitkijkt 999. En daar bovenop komt dan nog eens de scrabbleclaim: 2x of 3x de beeldwaarde omdat dat in de algemene voorwaarden staat of “omdat overnemen zonder toestemming niet beloond moet worden”, onder verwijzing naar stapels jurisprudentie (of, met een beetje pech, Mr. Reid, John Reid) die dat zou legaliseren.

De claim tegen 925 maakt het wel erg bont met dik acht ton, maar van facturen van 5000 euro voor één foto van 300×300 pixels kijk ik werkelijk niet meer op. Wat er uiteindelijk van overblijft bij de rechter blijft vooralsnog een spannende, al is mijn ervaring dat wie ernstig overvraagt vaak het deksel op de neus krijgt. Desondanks, frustrerend blijft het om te zien hoe dit elke keer maar mis en mis blijft gaan.

Arnoud

WhatsApp stuurt advocaat af op apps die chatnotificaties gebruiken in eigen apps

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 10 reacties

WhatsApp heeft een advocaat brieven laten sturen naar ontwikkelaars van Android-apps die de notificaties van de chatapp gebruiken in hun eigen apps. Dat meldde Tweakers vorige week. Volgens het bedrijf is hier sprake van een overtreding van de gebruiksvoorwaarden, die immers verbieden dat je “Collect the information of or about WhatsApp’s users in any impermissible or unauthorized manner” en nog een paar hele juridische frases doet. De developer was erg verbaasd, omdat wat hij deed niet meer was dan het centrale notificatiesysteem van Android uitlezen. Kan dat door een TOS worden verboden?

Het is al langer bekend dat het bedrijf WhatsApp erg beschermend doet over haar berichtendienst en wat daar omheen gebeurt. Als een van de weinige internetbedrijven hebben ze geen openbare API waarmee mensen hun dienst geautomatiseerd kunnen aanroepen of uitlezen. Dat zou erg handig zijn, omdat je dan bijvoorbeeld WhatsApp berichten kunt koppelen aan todo-lijstjes of ontvangen foto’s kunt toevoegen aan een archiefdienst. Maar het is hun dienst en hun recht om dat niet te doen, hoe spijtig het ook voor mensen is.

Er zijn al geruime tijd mensen die de dienst uit elkaar geplozen hebben en daar vervolgens eigen aansluitingen op maken. Veel WhatsApp-voor-bedrijven tools zijn gebaseerd op dergelijk uitzoekwerk. Daar doet WhatsApp moeilijk over, en daarbij wordt altijd de Terms of Service (TOS) in stelling gebracht. Het argument is namelijk dat je voor gebruik van de dienst een account nodig hebt en daarbij akkoord gaat met die TOS, waar in staat dat je geen niet-officiële software zult gebruiken.

Kennelijk zit er bij WhatsApp een advocaat met een template iedereen aan te schrijven die iets doet dat voortbouwt op de dienst. Want de teksten die ik zie, komen me erg bekend voor. En ze zijn geschreven voor partijen die inderdaad aansluiten op de officiële dienst met eigen software, waarbij ik het argument in theorie nog wel zie dat je dan contractbreuk pleegt of daartoe aanzet.

Hier ligt het alleen anders: wat er gebeurt is dat WhatsApp tegen Android (het besturingssysteem) zegt dat er een nieuw berichtje is, met afzender en preview van de inhoud, en dat Android dan een notificatie toont op het scherm. En het is die notificatie die deze developer uitleest, via een standaard functionaliteit die in Android zit. Hiervoor is niets speciaals nodig, en al helemaal geen rare hacks of reverse engineering op de WhatsApp software. Daar kan ik met de beste wil van de wereld geen contractbreuk in zien.

Arnoud

Pokémon-achtig spel waarbij agenten met stenen worden bekogeld is niet strafbaar

Geplaatst op in Informatiemaatschappij, 14 reacties

De Rotterdamse rechtbank heeft bepaald dat de maker van een spel waarin bakstenen worden gegooid naar Pokémon met hoofden van echte politieagenten, niet de Nederlandse Strafwet heeft overtreden. De vrouw had op Indymedia een spel genaamd Poke-A-Cop gepubliceerd, dat erop neer kwam dat je Pokémons met daarop geplakte gezichten van politieagenten moest bekogelen met virtuele bakstenen. Maar het liefst speel je dat in het echt met échte bakstenen, succes met zoeken. De implicatie is soort van duidelijk, maar de rechtbank zag er eigenlijk niets strafbaars in.

Het vonnis van de Rotterdamse strafrechter is kort maar krachtig. Met name is het bezwaar dat in de eis eigenlijk alleen staat dat de vrouw opgeroepen had om virtuele bakstenen naar virtuele agenten te gooien, en dat kun je moeilijk zien als een bedreiging tegen werkelijk bestaande agenten. Er zat natuurlijk wel meer achter: “(de bedreiging en het opruien om bakstenen te gooien naar politieagenten in het echte leven) en de onderdelen van de tekst van de verdachte waar de officier daarvoor naar verwijst (o.a. dat het een “NON-virtual reality game is”)”. Alleen, en dat is dan een formeel punt: dat stond niet in de tenlastelegging. En dan houdt het snel op.

Een vordering op grond van de AVG (voorheen het portretrecht) had wellicht meer kans gemaakt. Dat is alleen in principe een civielrechtelijke kwestie; de agenten zelf hadden deze dame dan een proces aan moeten doen wegens de privacyschending door de onrechtmatige verwerking van hun gezicht. Het is in theorie ook strafbaar om iemands portretrecht te schenden, maar dat wordt vrijwel niet gehandhaafd.

Meer algemeen lijkt het argument van de rechtbank te zijn: is dit nu werkelijk zo ernstig, zo bedreigend, dat het strafrecht in beeld moet komen? Is dit eigenlijk niet gewoon iemands ietwat eh aparte manier om zich af te reageren op wat zij ziet als politiegeweld? Want dat zie ik er achter zitten: het ‘spel’ is een direct vervolg op een smoelenboek met beschuldigingen van geweld bij een aantal agenten.

Arnoud

Hoe je 8% meer omzet haalt dankzij één juridisch foefje

Geplaatst op in Ondernemingsvrijheid, 25 reacties

Iedere ondernemer zoekt continu naar meer omzet. Meer klanten en meer verkopen aan bestaande klanten zijn de meest voor de hand liggende strategieën. Juridische zaken zoals je algemene voorwaarden lijken daarbij irrelevant en dat zijn ze natuurlijk ook. Maar er is een foefje dat je uit kunt halen met je algemene voorwaarden waardoor je toch net wat meer mensen over de streep trekt.

Geen mens die algemene voorwaarden leest, zul je denken. Of je nu een webshop met dierenvoer drijft of via je webwinkel juist boeken aanbiedt, je hebt voorwaarden nodig maar je wilt er natuurlijk niet te lang bij stil staan. Vaak is het ook een verplicht nummer, zeker als je consumenten producten verkoopt.

Algemene voorwaarden zijn wel erg handig. Je kunt er je retourregeling in opnemen, bepalen hoe het werkt met achterafbetalen en incassokosten en op welke manier mensen moeten klagen als er wat mis is. Ik zeg dan ook zeker niet dat je geen algemene voorwaarden moet hanteren. Maar het is wel gedoe om ze elke keer aan te bieden, dat erken ik onmiddellijk.

Maar het is precies dat aanbieden waar je je omzetstijging kunt halen. Want dat doe je in het bestelproces, en het is algemeen bekend dat iedere hindernis in het bestelproces tot afhakers leidt. En wat is de grote hindernis bij algemene voorwaarden? Precies, dat je er akkoord mee moet gaan met zo’n vinkje. En dat vergeten mensen dan, en dan zegt je webshopsoftware “Een verplicht veld is vergeten” en dan haken mensen af. Weg dus met dat vinkje.

En nee, dat vinkje is helemaal niet verplicht. Ik weet ook niet waarom iedereen dat zo doet. Of nou ja, dat weet ik wel: omdat in 1982 een Amerikaanse advocaat bedacht dat het nodig was bij online verkoop, en iedereen dat slaafs nabootst want het ziet er juridisch uit. Onze wet (noch de Amerikaanse, overigens) zegt helemaal niet dat dat moet. Ja, je moet mensen erop wijzen dat de voorwaarden van toepassing zijn, maar dat is het. Dus de korte versie: weg met dat vinkje, nergens voor nodig.

Natuurlijk moet je mensen wel expliciet wijzen op je voorwaarden. Enkel ze onderin je voetertekst opnemen is niet genoeg. Zorg er dus voor dat er direct onder of boven de bestelknop een tekst komt zoals “Door te bestellen gaat u akkoord met de algemene voorwaarden”, waarbij je die laatste twee woorden een hyperlink maakt naar een PDF-bestand met de voorwaarden. Dat is alles.

Wij hebben dit voor een hoop klanten zo uitgevoerd, en die zien allemaal leuke omzetstijgingen, dat wel tot acht procent of meer kan zijn. Dus waar wacht je nog op?

Arnoud