Mag de Spaanse Liga je microfoon inzette om illegale voetbaluitzendingen te detecteren?

Geplaatst op in Intellectuele rechten, Privacy, 21 reacties

De Spaanse Primera División vraagt gebruikers van zijn Android-app toestemming om de microfoon van smartphones in te mogen zetten. Dat meldde Tweakers vorige week. De microfoons worden ingezet om onhoorbaar geluid op te vangen dat als watermerk in voetbaluitzendingen zet, om zo illegale voetbaluitzendingen te detecteren. Hiermee bouwt men een database op van locaties die wedstrijden uitzenden, zowel thuis als in cafés en andere gelegenheden. Als dan blijkt dat een locatie geen licentie heeft, dan kan daartegen worden opgetreden. Maar mag dat wel, de microfoon even opeisen?

Het is natuurlijk bekend dat apps de raarste toestemmingen eisen wanneer je ze in gebruik neemt, en dat het weigeren daarvan onmogelijk is of de app praktisch onbruikbaar maakt. Het clichévoorbeeld is een zaklamp-app die je adresboek wil kunnen lezen. Meestal gaat het daarbij om gebruik voor advertentiedoeleinden of profileren, en dan is het antwoord vanuit de wet makkelijk: nee, dat mag niet zonder vrijwillige toestemming.

Deze constructie kende ik nog niet, maar het lijkt net iets anders. De app luistert jou niet af, maar speurt specifiek naar een ultrasoon geluidssignaal in de uitzending dat vooraf is toegevoegd met het expliciete doel de bron van illegale uitzendingen te kunnen opsporen. Ieder kanaal (televisie, livestreams etc) krijgt zijn eigen geluid, en volgens mij zelfs elke broadcaster. Hoor je dan in een café het geluid van een uitzending bedoeld voor particuliere betaaltelevisie, dan weet je dat het café geen licentie heeft.

De algemene voorwaarden vermelden expliciet dat dit gebeurt:

LaLiga will enable the microphone of your device, solely if you accept by checking the box enabled for htis purpose or the pop-up window emerging in the APP, to find out if you are watching football matches. This information shall be employed to detect fraud in unauthorized public establishments.

De terechte kritiek is natuurlijk of mensen dit wel lezen. Maar vanuit AVG- of privacyperspectief zie ik hier weinig mis mee, omdat het hier niet gáát om het vastleggen van persoonlijke informatie zoals wat je zegt of waar je bent terwijl je iets zegt. De microfoon luistert alleen naar iets onhoorbaars, de rest moet juist worden weggefilterd. De locatie van de opname wordt natuurlijk wel vastgelegd, maar als dat zonder de persoonlijke informatie van de drager van de telefoon gebeurt, zie ik daar geen probleem mee.

De cookiewet is een interessanter bezwaar. Deze bepaalt namelijk dat

Onverminderd de Wet bescherming persoonsgegevens is het via een elektronisch communicatienetwerk opslaan van of toegang verkrijgen tot informatie in de randapparatuur van een gebruiker, alleen toegestaan op voorwaarde dat de betrokken gebruiker: [geïnformeerd is en toestemming heeft gegeven]

Het zetten of lezen van een cookie valt hieronder, maar het doorvoeren van een software-update of het uitlezen van je Android-versie ook. Er staat immers niet “alleen als de informatie privacygevoelig is”. Maar het aanzetten van de microfoon dan wel het oppikken van geluid in de buurt van die randapparatuur, is dat het “toegang verkrijgen tot informatie in” die apparatuur? Het voelt wat gezocht, je komt dan bij dingen als de buffer tussen microfoon en app die dan uitgelezen wordt. Maar vanuit dat perspectief is het dus inderdaad verboden om dit zo te doen.

Arnoud

Waarom platforms en AI hand in hand gaan

Geplaatst op in Innovatie, 4 reacties

Het platform is aan een stevige opmars bezig, las ik bij HBR. Deze specifieke vorm van internetdienstverlening – van Amazon tot Twitter – heeft een heel bijzondere positie in de maatschappij en in het recht. Platforms brengen mensen bij elkaar en laten ze zaken met elkaar doen (of contact met elkaar leggen), en op de schaal waarmee dat mogelijk is, is dat ongekend. Dit geeft deze platforms een ontzettend grote macht. En vooral: heel veel inzicht in wat mensen doen. Daar wordt dan ook nog eens AI tegenaan getimmerd, en dan ga ik op zo’n vrijdagochtendfilosofischeblog door twijfelen waar het naartoe met moet dat klassieke recht.

Ik schreef er al eerder over: Internet doet me denken aan company towns, maar dan op nóg grotere schaal. Neem Facebook: je kunt er alles dat je ‘gewoon’ op internet ook kunt, alleen is alles uiteindelijk onder controle en toezicht van één bedrijf. Maar zij zijn natuurlijk niet de enige: eigenlijk is elk forum, elke sociale netwerksite, misschien wel elke website een bedrijfsdorp. Bedrijfsdorpen zijn controversieel omdat de werkgever zo ineens gigantische macht had over haar personeel. Het machtsmiddel van ontslag of loonkorting kan dan op alles ingezet worden, van niet netjes naar de kerk gaan tot bij de verkeerde winkel kopen. Iets dergelijks zie je ook bij die platforms.

Dit wordt vaak weggewoven met het argument dat je niet op zo’n platform hóeft te zijn. Je kunt toch zo weg bij Facebook, zonder angst voor ontslag en werkeloosheid? Ik vind dat naïef of arrogant als ik dat hoor. Nee, je kiest er niet voor om met zo’n dienst in zee te gaan. Je moet wel, praktisch gezien. Al je vrienden zitten er, je belangrijke dienstverleners zitten er ook en weggaan geeft je dan zó veel ongemak en gedoe dat het niet reëel is. Zeker niet voor generaties die vanaf hun jeugd opgegroeid zijn met digitale diensten.

Die platforms hebben dan ook nog eens een gigantische bak met data over hun gebruikers. Want álles wordt bijgehouden, al decennia. Onder het mom van marketing, maar vooral ook “je weet nooit wat we ermee kunnen”. En dat weten we nu wel: we kunnen er AI’s in laten spitten op zoek naar nieuwe verbanden en interesses. Analyses automatiseren die voorheen met de hand worden gedaan. Marketing, maar ook het koppelen van mensen en het bestrijden van vervelende dingen zoals trollen, haatzaaien en misbruik. De logica is onverbiddelijk:

If you look out at the world of platform companies, you will quickly find that use of AI for curation is a hallmark of the outperforming platform. An “old” platform company that provides a great counterpoint to Monster is Netflix. The streaming video company was founded in 1997, just one year after Monster went public, but has thrived in the two decades since its founding. What has kept Netflix relevant and useful to its customers? It has a long history of carefully curating content for customers. Netflix uses machine learning to make personalized recommendations, which reduce churn by keeping customers happy, and even reduce cost by allowing Netflix to better use the content it has already purchased. Netflix continues to keep AI at the forefront and is now using it to monitor and address bandwidth issues for streaming in emerging markets.

Ik vind dit zeer zorgelijk gezien de macht van deze platforms. Het is al moeilijk genoeg inzicht te krijgen in wat er gebeurt, als je dan óók nog eens algoritmes toevoegt die niet op een menselijke manier kunnen uitleggen hoe ze tot hun conclusies komen maar die wel stevige gevolgen hebben (verbannen worden, op pagina 2 komen, niet meer aangeraden worden) dan blijft er weinig over van de menselijke maat die wij als samenleving ooit voor ogen hadden.

Is er ergens een cursus rechtsfilosofie die focust op de informatiemaatschappij? Of zal ik die eens organiseren?

Arnoud

Deze ondernemer verhoogde zijn aansprakelijkheid. Wat er toen gebeurde, zal je verbazen.

Geplaatst op in Ondernemingsvrijheid, 8 reacties

Voor veel ondernemers is het een reflex om beperkt aansprakelijk te willen zijn. Aansprakelijkheid kan immers tot grote claims leiden, en dat kan het faillissement van je bedrijf inluiden. Zeker in de ICT, waar het lange tijd erg moeilijk was om je activiteiten te verzekeren. Je ziet dan ook juist in de ICT altijd zeer beperkte aansprakelijkheden, soms zelfs tot nul aan toe. Maar heb je al eens overwogen wat er écht zou gebeuren als je je aansprakelijkheid verhoogde?

Het is natuurlijk goed vanuit risicomanagement om je aansprakelijkheid zo laag mogelijk te zetten. Komt er dan onverhoopt een claim, dan is de impact daarvan beperkt. Maar hoe zou jij je voelen als je ergens een dienst inkoopt (voor een forse prijs) en je leest dat men nergens voor aansprakelijk is, of hooguit voor honderd euro per geval? Precies.

Recent had ik precies deze discussie met een ondernemer die ook zo bezorgd was over zijn aansprakelijkheid. We hebben toen besloten die aansprakelijkheid eens fors omhoog te gooien: geen drie maanden facturen maar 24, en óók gederfde winst en omzetverlies. Daar stond wel een evenzo forse prijsverhoging tegenover. Tot zijn stomme verbazing gingen zijn klanten vrijwel allemaal direct akkoord.

Natuurlijk, hij heeft nu een hoger risico dan eerst. Maar uit de extra omzet was een goede reservering voor eventuele problemen te maken – en hij had nu ook de financiële armslag om een extra investering te doen om zijn software beter te beveiligen en betrouwbaarder te maken. Daarmee verlaag je de kans op het risico behoorlijk. Dit nog los van de vraag hoe een klant in de praktijk bewijst dát hij omzet is misgelopen en dat dat allemaal door jou komt.

En zeker als je het combineert met een goede verzekering (en geloof me, die zijn tegenwoordig echt wel te krijgen tegen een normale prijs), dan is het risico in de praktijk echt een heel eind naar de nul te duwen. Vraag je dus altijd af of je écht bang moet zijn voor risico’s, of (met excuses voor de vreselijke consultanttaal) je het als een kans op meer omzet moet zien.

Arnoud

Kan Google iets patenteren dat de uitvinder al in het publiek domein had gestopt?

Geplaatst op in Intellectuele rechten, 16 reacties

Internetgigant Google probeert een patent te krijgen op een compressietechniek die asymmetrische numerieke systemen (ANS) heet. Dat is opmerkelijk, zo las ik bij Ars Technica, omdat het in 2014 al bedacht is en door haar uitvinder (Jarek Duda) toen in het publiek domein is geplaatst en al diverse bedrijven (waaronder Facebook, Apple en Google) hier implementaties van in gebruik hebben. Dus hoe kan Google dan nu in 2018 een octrooiaanvraag hebben op deze innovatie?

Meelezende octrooigemachtigden denken nu waarschijnlijk, Google was vast eerder met de aanvraag. Immers, het is mogelijk dat bedrijf A iets aanvraagt en dat daarna persoon B het opnieuw uitvindt en publiceert in het publiek domein. De octrooiaanvraag van A is dan eerder dan B’s publicatie, en dan kan er gewoon rechtsgeldig octrooi verleend worden. Maar nee: Googles aanvraag is uit 2015 en Duda’s publicatie is van november 2013. Sterker nog, Googles aanvraag nóemt Dudek gewoon als prior art (alinea 92). Geen twijfel dus, Duda was eerder.

Het lijkt erop dat Google een oude truc in stelling heeft gebracht. Het is namelijk mogelijk om binnen een reeds gedane uitvinding een octrooi te vestigen op een specifiek aspect of een bijzondere implementatie. Dat iemand een bepaalde uitvinding heeft gepubliceerd, betekent namelijk niet dat het gehele idee in al zijn mogelijkheden en alternatieven nu vrij van rechten is. Als iemand een truc daarbinnen weet te verzinnen, dan kan die nog steeds worden geoctrooieerd.

In dit geval lijkt Google te zeggen dat zij twee varianten van Duda’s uitvinding heeft gecombineerd, de zogeheten Boolean ANS en symbolische ANS encoders. Ieder blokje input wordt door beide encoders verwerkt, en afhankelijk van de resultaten wordt het ene dan wel het andere verwerkte blokje opgeslagen in de output. De details ontgaan me een beetje maar het idee lijkt te zijn dat je zo kunt kiezen wat de handigste, snelste of beste encoding geeft. Daarmee encodeer je net wat beter dan wanneer je een van de twee gebruikt voor de hele datastroom.

Heel spannend lijkt het me niet, maar het past binnen het idee dat je een verbetering op andermans uitvinding in principe mag octrooieren. Natuurlijk moet je verbetering dan wel inventief zijn ten opzichte van het basisidee, en het Europees Octrooibureau vond alvast dat dat niet het geval is. Ook het USPTO zal naar mijn inschatting erg streng zijn, vanwege de Alice-uitspraak waarmee vrijwel ieder software-patent nu naar de prullenbak verwezen wordt.

Arnoud

Mijn klanten eisen dat mijn ontwikkeltraject AVG proof software geeft, kan dat wel?

Geplaatst op in Ondernemingsvrijheid, Privacy, 17 reacties

Een lezer vroeg me:

Als softwareontwikkelaar krijg ik steeds vaker vragen of mijn software wel AVG proof is. Ik begrijp die vraag en wil mensen ook best tegemoet komen, maar het voelt wel als een hellend vlak omdat ik dan ineens aansprakelijkheden op me neem. Stel ik bouw een exportfunctie van persoonsgegevens niet in, moet ik dan de boete betalen als mijn klant daarop aangesproken wordt?

Heel formeel sprekend heeft een softwareontwikkelbedrijf géén plicht om te zorgen dat hun software aan de AVG voldoet. De AVG stelt regels voor de verwerking van persoonsgegevens, en dat gaat pas spelen bij het in productie nemen van die software. Er is dus niets mis met software waarbij persoonsgegevens niet kunnen worden geëxporteerd, het enige is dat een afnemer die niet in kan zetten in situaties waarin de AVG op hem van toepassing is.

Praktisch gezien ontkom je er niet aan om rekening te houden met de AVG, precies om die reden. Een softwarebedrijf met Nederlandse klanten kan het niet maken om zo’n exportfunctie weg te laten, want zijn klanten voldoen dan gewoon niet aan de wet en hebben dus een groot probleem als ze deze software in gebruik zouden nemen.

De discussie zal dus meer gevoerd worden op hoe ver je moet gaan als developer, en ook waar de kosten komen te liggen. Want dat er een exportfunctie moet zijn is één ding, welke gegevens er wel en niet onder vallen is een heel ander. Daar zijn ook de juristen het nog niet helemaal over eens, bijvoorbeeld. En er zijn nog veel meer dingen: hoe vraag je precies toestemming en hoe makkelijk moet deze in te trekken zijn?

Ik denk dat je er op dit moment dan ook niet aan ontkomt om hier in detail over te spreken met je klant. Dit kan mijn software, dit wil jij erbij, ik weet van de AVG en wat zie jij? (/juf Ank). En dat dan vastleggen in functionele specificaties of test cases, en in het contract opnemen dat jouw verantwoordelijkheid is dat het zal werken zoals vastgelegd.

In de toekomst zie ik meer mogelijkheden. De AVG kent de optie om technologieën voor gegevensbescherming of -verwerking te certificeren. Je zou dan als developer zo’n certificaat kunnen halen, en daarmee je klanten gerust stellen dat ze jou prima kunnen kopen. Eventuele aansprakelijkheid zou dan zeer mee moeten vallen (je bent immers gecertificeerd) en zou wellicht ook nog te verhalen zijn op de certificaatverstrekker. Maar dit zal nog wel een jaar of vijf duren, minstens.

Arnoud

Guitar Hero Live-dienst stopt eind dit jaar, daar gaat je muziek

Geplaatst op in Ondernemingsvrijheid, 15 reacties

Op 1 december van dit jaar zullen de servers van de muziekdienst van het spel Guitar Hero Live offline gaan, zo las ik bij Ars Technica. Met deze dienst konden spelers van het gitaarspel verschillende liedjes ontvangen om tegen elkaar te spelen. De dienst was gratis in een basisversie en betaald voor toegang tot meer muziek. Maar nee, je hebt desondanks nergens recht op. Als het offline gaat, dan is het weg.

Dit is weer het zoveelste voorbeeld van “data is niets”, in ieder geval van “data is geen eigendom”. In de digitale wereld is eigenlijk altijd sprake van dienstverlening en nooit van verkoop. Je hebt weliswaar dat spel ooit tegen betaling verkregen, maar je werd nooit eigenaar van de muziek die erbij zit. Die krijg je onder het mom van dienstverlening.

Nu is dienstverlening natuurlijk keurig juridisch gereguleerd. Alleen die regulering is niet echt ontworpen voor internetdiensten: de tekst uit het Burgerlijk Wetboek gaat over diensten als schoonmaken, advisering of tuinonderhoud. Die diensten hebben gemeenschappelijk dat ze redelijk persoonsgebonden zijn, in principe niet lang duren en dat je na opzegging eigenlijk zo weer verder kunt bij andere partijen.

Internetdiensten voldoen niet aan die criteria. Die zijn niet persoonsgebonden, ze duren eigenlijk best wel lang en een migratie is erg vervelend en complex, als het al mogelijk is. Het verschil zit hem erin dat internetdiensten eigenlijk datagedreven diensten zijn, het gaat altijd om opslag, doorgifte of het verwerken van data. Dat is niet aan de orde bij een schoonmaker of adviseur, hooguit dat de adviseur je nog wat laatste tips meegeeft of de schoonmaker op verzoek zegt welk schoonmaakmiddel hij voor de mop gebruikt.

Ik zeg altijd: data is niets, en dat is om deze reden. De wet kent niet het concept dat een dienstverlener data produceert of onder zich heeft. Er is dus niets geregeld over toegang, beschikbaarheid of afgifte daarvan. Bijgevolg heb je ook geen enkel recht waar het gaat om die data. Je kunt die niet opeisen, of juist eisen dat de dienstverlener doorgaat met het beschikbaar stellen daarvan.

Dit is een fundamenteel probleem in de informatiemaatschappij. Tegelijk heb ik geen idee hoe het op te lossen. Data even tot eigendom bombarderen gaat hem niet worden, want vaak hebben ook diverse andere partijen hier rechten op. Zoals hier, waar muziekmaatschappijen ook wat zullen vinden van “eigenaar van een stream” zijn. Maar minstens zo lastig, moet je dan een bedrijf zoals dit verplichten tot in de eeuwigheid hun server aan te houden? Dat is ook weer een ingewikkelde.

Arnoud

Moeten advocaten nu ook allemaal programmeur worden?

Geplaatst op in Innovatie, 8 reacties

Steeds vaker lees ik dat de juridische sector sterk achterloopt bij het adopteren van technologische innovaties – legal tech – en dat een belangrijke factor daarbij is dat advocaten en juristen te weinig kunnen programmeren. Daar zit in theorie wat in: wie niet weet hoe software werkt of wat het kan, zal niet snel geneigd zijn naar een software-oplossing te gaan. En zeker als de dienstverlening zelf steeds meer geautomatiseerd wordt, dan blijven de mensen achter die alleen maar met vulpen een pleitnota weten te produceren. Maar toch is het complexer dan dat.

Dat de juridische sector sterk achterloopt, staat buiten kijf. Het is pas vrij recent dat er grote aandacht is voor technologische innovatie, onder de hippe term “legal tech”. Van apps voor tijdschrijven tot Artificial Intelligence contractsanlyse. Veel van die legal tech is op zichzelf niet heel bijzonder: ze automatiseert alleen wat er al bestaat. Dat is handig en efficiënt maar maakt dingen niet fundamenteel anders. Tijdschrijven blijft tijdschrijven.

Er zijn natuurlijk wel echte vernieuwingen, zoals die automatische contractsanalyse. Laat een computer speuren naar opvallende clausules of rare combinaties, en dan kan een mens daar gericht naar kijken wat het juridisch voor problemen (of aansprakelijkheden) geeft. Zo gebruik je van beiden het beste. Het grappige is, hier loopt de juridische sector dan weer een heel eind voorop – ik zie nauwelijks aandacht voor bijvoorbeeld AI om broncode te analyseren of fraude in wetenschappelijk onderzoek aan te tonen.

Leren programmeren geeft je relevante skills en inzichten over hoe programmeren werkt en wat software kan. (“Dat was wel een beetje een desillusie” aldus een juridische kennis van me na een summercamp op dat gebied.) Dat kan erg nuttig zijn als je klanten daarover wilt adviseren, of na wilt denken over nieuwe diensten of de manier van aanbieden daarvan.

Veel belangrijker lijkt me kunnen zien wat de sector nodig heeft, beter gezegd wat de klant nodig heeft. Want uiteindelijk zal die het worst wezen of het een AI is die zijn contract doorvlooide of een mens dat er met 20 jaar ervaring snel naar keek. Die wil weten of hij kan tekenen, of dat zijn schadeclaim goede kans van slagen heeft en hoe die claim te gaan halen.

Dat op een effectieve manier doen vereist veel meer dan alleen een nieuwe app of kunnen programmeren. Dat vereist een nieuwe manier van werken, de bereidheid om te zeggen, we gaan het helemaal anders doen. En juist dát is de grote uitdaging in de juridische sector.

Arnoud

Beheerders Facebook-pagina zijn medeverantwoordelijk voor dataverwerking

Geplaatst op in Privacy, Uitingsvrijheid, 11 reacties

Het Europese Hof van Justitie heeft in een uitspraak bepaald dat de beheerder van een Facebook-pagina samen met Facebook als gezamenlijk verantwoordelijke moet worden gezien als het gaat om de verwerking van persoonsgegevens. Dat meldde Tweakers vorige week. Deze juridische term houdt in dat beide partijen samen bepalen wat er gebeurt met persoonsgegevens, en elk aansprakelijk zijn voor de gehéle verwerking. Was deze blog kort door de bocht, dan ware de conclusie dat iedere Facebookpaginabeheerder dus aansprakelijk is voor wat Facebook doet met gegevens van groepsgenoten. Auw.

De uitspraak (zaak ECLI:EU:C:2018:388) was onder de Richtlijn (en wat wij de Wbp zouden noemen) maar de begrippen zijn onder de AVG hetzelfde, zodat de uitspraak nog steeds van belang is. En uit de feiten maak ik op dat het om de zogeheten fanpagina’s gaat, waarbij je als beheerder bepaalde statistieken te zien krijgt over je bezoekers, waarbij onder meer cookies worden ingezet die tot personen te herleiden zijn.

Een Duitse toezichthouder had een beheerder van zo’n pagina aangesproken op haar plicht bepaalde gegevens te verwijderen, maar die weigerde dat omdat niet zij maar Facebook verantwoordelijk zou zijn hiervoor. Dat leidde tot een rechtszaak die nu bij het Hof van Justitie uitkwam. En die concludeert niet verrassend dat primair Facebook de verantwoordelijke is, omdat Facebook bepaalt hoe haar platform werkt en wat er mogelijk is.

Wél verrassend is dat zij ook de beheerder van zo’n pagina aanmerkt als (mede-)verantwoordelijke. Die besluit immers zo’n pagina op te zetten, waar mensen lid van kunnen worden en zo gegevens achterlaten. Zonder die ingreep waren die persoonsgegevens rondom interesses over die pagina (zeg maar) er niet gekomen, dus daarvoor ligt de verantwoordelijkheid bij deze beheerder. Dat je als beheerder alleen anonieme gegevens krijgt van Facebook, maakt niet uit – in de definitie van gezamenlijk verantwoordelijke staat niet dat je beiden bij alle persoonsgegevens moet kunnen.

De belangrijkste implicatie van het arrest is dat je als persoon kunt eisen dat gegevens van jou worden verwijderd bij zo’n fanpagina, en dat de beheerder zich niet mag verschuilen achter Facebook. Je moet dus echt zelf aan de bak en ook zelf aangeven welke gegevens je verzamelt en wat je daarmee doet.

Maar pijnlijke bijkomstigheid is dat je dus óók (mede-) aansprakelijk bent voor datalekken, slechte beveiliging en andere fouten die je zakenpartner Facebook vergaart. Oké, dat mag je wettelijk gezien op haar verhalen maar dat is natuurlijk niet helemaal realistisch.

Arnoud

Mag mijn deurbel de buren filmen?

Geplaatst op in Privacy, 44 reacties

Een lezer vroeg me:

Onlangs installeerde ik zo’n deurbel met camera, waarmee ik op mijn telefoon dan beeld en geluid krijg als er wordt aangebeld. Ik kan zelfs terugpraten naar de bezoeker, handig als ik niet thuis ben. Maar mijn buurman maakt bezwaar: de cameralens lijkt ook naar zijn deur (we wonen in een portiek) en hij ziet dat als een overtreding van de AVG. Volgens de politie was het legaal. Hoe zit het nu?

Een deurbel met camera is legaal, wanneer de camera alleen beeld produceert na het aanbellen en daar weer mee ophoudt na een korte periode, zeg 30 seconden na dat aanbellen. Ik denk dat dat ook nog wel zo is als je de camera op commando aan kunt zetten, mits het dan gaat om alleen meekijken en wederom maximaal een seconde of 30.

Zo’n bel valt in eerste instantie onder het strafrecht: het is een aangebrachte camera en die moeten duidelijk zichtbaar zijn (art. 441b Strafrecht). Daar voldoet zo’n bel aan, immers je ziet de lens maar je weet dat hij pas gaat filmen als je aanbelt. Veel duidelijker dan dat krijg je ze niet, volgens mij. (Daarom twijfel ik dus over het op-commandogedeelte, ik zou dan minstens een rood lampje verwachten bij de lens.)

Daarnaast valt zo’n bel ook onder de AVG: het maken en opsturen van camerabeelden naar een smartphoneapp is een verwerking van persoonsgegevens, wanneer op de beelden mensen herkenbaar zijn. En dat is hier natuurlijk de bedoeling, tenzij je ‘m inzet om het honden- dan wel kattenluik op afstand te kunnen openen voor je huisdier. In tegenstelling tot een camera die ook de openbare weg filmt, valt dit duidelijk binnen de particuliere exceptie. Maar zelfs als dat niet zo is, dan is het legaal onder de AVG omdat het gaat om een eigen legitiem belang (het bewaken van je voordeur) en je daarvoor het werkelijk minimaalste filmt dat je je kunt voorstellen.

Arnoud

Nederlandse rechter verplicht Samsung niet om snel Android-updates aan te bieden

Geplaatst op in Ondernemingsvrijheid, Security, 6 reacties

De rechtbank in Den Haag heeft in een zaak van de Consumentenbond bepaald dat Samsung niet snel beveiligingsupdates voor alle smartphones hoeft aan te bieden. Dat meldde Tweakers vorige week. De Bond had een principezaak tegen de smartphonemaker aangespannen omdat zij vond dat Samsung te weinig informatie gaf over updates, en bovendien te traag was met security updates uitgeven. Samsung belooft goedkopere modellen minimaal twee jaar na de release te voorzien van updates, terwijl dat bij high-end modellen minimaal drie jaar is.

De Consumentenbond spande de zaak aan in 2016. Op dat moment stond Samsung bekend als niet zo’n snelle updater, zeker voor goedkope modellen was er vaak snel geen fatsoenlijke security update te krijgen. Dat is sindsdien fors verbeterd, zo lees ik overal. Die verbeterslag weegt mee in het vonnis, want de rechtbank beoordeelt Samsung naar hoe ze nu werkt en niet naar hoe het bij de dagvaarding was.

Het eerste aspect dat in het vonnis aan de orde kwam, was dat Samsung met name te weinig doet om securityupdates zo snel mogelijk naar de consument te krijgen, en wel eigenlijk gewoon binnen een maand nadat de patch is verschenen. Maar dat vindt de rechtbank te rigide: Samsung zit nu eenmaal vast aan het updateproces zoals door Google gedefinieerd, en kan dus niet altijd zo snel met een update komen. Het is een complex proces en daarom kun je niet in het algemeen zeggen dat Samsung te weinig doet en daarmee nodeloos risico’s bij de consument legt.

Het tweede punt is dat Samsung te weinig zou doen om de consument te informeren over veiligheidsrisico’s die aan haar smartphones kleven. Dat zou eigenlijk wel moeten, want dat is toch essentiële informatie zou je zeggen en dan ben je wettelijk verplicht daarover actief mede te delen. Maar de rechtbank ziet dat Samsung op haar site een uitgebreide uitleg publiceert over beveiliging, en oordeelt dat dat genoeg is voor de gemiddelde consument:

De rechtbank neemt daarbij mede in aanmerking dat de “maatman consument” waarop de onder meer door de Consumentenbond ingeroepen artikel 6:193a e.v. 3W zien, een gemiddeld geïnformeerde, omzichtige en oplettende consument is, van wie verwacht mag worden dat hij bereid is zich in de aangeboden informatie te verdiepen, tvaarbij denkbaar is dat informatie langs verschillende wegen wordt aangeboden. De gemiddelde consument wordt in beginsel geacht in staat te zijn om verstrekte informatie op waarde te schatten, om zo nodig nadere informatie te zoeken en om vervolgens informatie uit verschillende bronnen met elkaar in verband te brengen; enige onderzoeksplicht is inherent aan de maatstaf van de gemiddelde consument.

De ‘maatman’ lijkt me daarmee iets proactiever en ondernemender in zijn informatieverwerving dan ik gewend ben. Het is jammer dat er niet inhoudelijk is ingegaan op waar deze lat had moeten liggen.

Alles bij elkaar worden alle eisen dus afgewezen; Samsung mag doorgaan met haar huidige beleid en hoeft niet meer te doen om de consument op te voeden.

Arnoud