Is het strafbaar met een drone in de weg van een traumaheli te vliegen?

Geplaatst op in Ondernemingsvrijheid, 81 reacties

De bestuurder van de drone die gisterochtend in het Zeeuwse Hulst de hulpdiensten ernstig hinderde, heeft zich gemeld bij de politie. Dat meldde RTL Nieuws onlangs. De drone verhinderde met name het landen van een traumahelikopter, bedoeld om een hoogzwangere vrouw met hartaanval naar het ziekenhuis te brengen. “Het ergste van alles was nog een persoon die het wel heel graag van dichtbij wilde zien en zijn/haar drone liet vliegen om alles van lekker dichtbij te kunnen filmen”, schreef de politie. “Daar kan ik als hulpverlener met mijn pet niet bij, wat respectloos.” Maar is het strafbaar?

Er is geen algemeen wetsartikel dat het hinderen van hulpdiensten strafbaar stelt. (Van de politie wel, art. 184 Strafrecht). Dat hoeft ook niet, want als je het bekijkt vanuit de gevolgen dan zijn er de nodige artikelen om van stal te halen. Ik ga er maar even vanuit dat deze persoon zeer zeker niet de bedoeling had die helikopter te hinderen, dan kom je immers in het terrein van doodslag.

Meest voor de hand liggend, maar wel gelijk zwaar, is dood door schuld (art. 307 Strafrecht). Dat kan als de patiënt overlijdt en die persoon zijn hinderlijk dronegedrag hieraan in belangrijke mate heeft bijgedragen. Dat is natuurlijk erg lastig te bewijzen, maar als dat rond te krijgen is (er is redelijke zekerheid dat de patiënt het anders gehaald had) dan kun je op dit misdrijf veroordeeld worden, de theoretische maximumstraf is vier jaar (als je roekeloos handelde).

Ook kun je kijken naar het opzettelijk hinderen van het luchtverkeer, art. 165 Strafrecht. Dit is ook strafbaar, de hoogte hangt af van de ernst en de gevolgen van die hinder maar kan oplopen tot negen jaar cel. Komt er iemand te overlijden door die hinder, dan kan dat in theorie tot levenslang leiden.

Raakt de traumahelikopter beschadigd of verongelukt deze, dan komt via art. 169 Strafrecht tot negen jaar cel in beeld als er levensgevaar voor iemand ontstaat. Dat zou hier dus de patiënt kunnen zijn maar natuurlijk ook de piloot of meevliegend trauma-arts.

In theorie dus mogelijkheden genoeg. Maar in de praktijk komt het zelden zo ver, zeker bij traumahelikopterinzet zijn er altijd alternatieve scenario’s om de patiënt te helpen en zit je juridisch gezien met grote bewijsproblemen – die persoon wilde gewoon vanuit nieuwsgierigheid dan wel journalistiek oogpunt een actuele gebeurtenis filmen en dacht niet na over een landende helikopter. Maar wat er dan tegen te doen is, dat weet ik niet. Toch maar die antidronezeearenden standby houden?

Arnoud

Wat gebeurt er als een kind een EULA accepteert en dan gaat cheaten?

Geplaatst op in Informatiemaatschappij, 21 reacties

“De gedaagde is een cheater, en niemand houdt van cheaters”, aldus Epic Games in haar rechtszaak tegen een veertienjarige. Dat las ik bij The Verge. De zaak is op zichzelf al opmerkelijk genoeg: de jongen werd aangeklaagd vanwege het op Youtube plaatsen van videos waarin hij laat zien hoe een cheat werkt. Epic had de video weg laten halen met een DMCA notice/takedown, waarna de jongen bezwaar maakte en Epic vervolgens doorpakte met een (volgens mij zonder verder nadenken) auteursrechtzaak. De takedownclaim was mede gebaseerd op overtreding van de EULA, waar de moeder een interessant argument tegen had: hij is veertien, daar ben ik nooit mee akkoord gegaan, dus niks overtreding.

We klikken allemaal gedachteloos door EULAs heen, ongeacht leeftijd. Juridisch gezien is dat raar: je krijgt iemands algemene voorwaarden, natuurlijk ga je dat eerst goed lezen en deskundig juridisch advies inwinnen waarna je de onderhandeling ingaat om tot een wederzijds aanvaardbare overeenkomst te komen. (Niet lachen daar achterin.) Praktisch gezien schiet dat weinig op, omdat je eenvoudigweg geen ruimte hebt om te onderhandelen. Ik zou graag willen dat het anders was, bijvoorbeeld door standaardregels uit de wet net zoals bij webwinkels, maar ja.

Op het specifieke aspect van leeftijd zit er echter wél een speciale regeling: een minderjarige mag niet zomaar contracten afsluiten. Hij is handelingsonbekwaam, zoals dat heet. De ouders moeten zo’n rechtshandeling, zo’n akkoord dus expliciet bevestigen. Dat staat in artikel 1:234 BW. En daarbij geldt geen onderscheid tussen dure maatwerkcontracten en online EULAs waarbij je gedachteloos op “I agree” klikt. De enige uitzondering is wanneer de rechtshandeling gebruikelijk is voor iemand van die leeftijd.

Het gebruik van een cheat in een spel is niet per se onrechtmatig. De normale reden waarom het niet mag, is omdat het in strijd is met de gebruiksvoorwaarden van het spel. Maar wie de EULA niet heeft geaccordeerd, kan moeilijk in strijd daarmee handelen. Als de moeder dus de EULA van tafel krijgt met een beroep op haar ouderlijke macht én ze wint het argument dat het abnormaal is dat veertienjarigen met online spelaanbieders contracten sluiten, dan is zijn gebruik van deze cheat dus niet verboden.

Het Verge artikel wijst er dan op dat het mogelijk wél computervredebreuk kan zijn, omdat de jongen dan immers zonder toestemming – die stond namelijk in de EULA – zich toegang tot de server had verschaft. Dat gaat natuurlijk veel te ver. Als een meisje van 12 een dure fiets koopt en meeneemt, en de ouders vernietigen die overeenkomst, dan zeggen we niet dat dat meisje bij nader inzien de fiets gestolen of verduisterd heeft (want ze had hem zonder recht meegenomen met het oogmerk zich die toe te eigenen). De fiets moet terug, maar dat is het dan ook. Ik zie analoog daaraan dus geen argument dat de jongen strafbaar heeft gehandeld.

Ook het argument van Verge dat hij het auteursrecht overtreedt, zie ik niet opgaan. Voor dit spel moet je ook op je eigen pc software installeren, en daar had hij de cheat overheen gehaald. Die cheat verandert het spel zoals in het werkgeheugen geladen, en aanpassing van software ís in principe iets waar je toestemming voor nodig hebt. En die was er niet want geen EULA. Maar die software heeft hij legaal verkregen, hij is immers gegeven door de rechthebbende, en zonder contractueel verbod is het legaal om een cheat toe te passen. Ik zie dus zo de overtreding niet.

Natuurlijk, die leverancier heeft de software gegeven in de veronderstelling dat de persoon de EULA rechtsgeldig aanging. Maar dat is het risico van een bedrijf dat zaken doet met minderjarigen zonder ouderlijke toestemming te zoeken. Die fietsenmaker kan dus de slijtage aan die fiets niet verhalen op dat meisje of haar ouders, en Fortnite kan geen schadeclaims indienen bij deze jongen of zijn moeder om diezelfde reden.

Dat wil niet zeggen dat de rechtszaak natuurlijk nu voorbij is, want zelfs met een kansloze claim kom je nog altijd héél ver in de VS als je maar genoeg geld hebt.

Arnoud

Weten hoe de computer werkt, is een mensenrecht

Geplaatst op in Innovatie, 48 reacties

Gemeenten gebruiken data over hun inwoners om problemen op te sporen voor ze uit de hand lopen, las ik in NRC Handelsblad. Handig dat datagedreven beleid, maar voor de burger stijgt de kans te worden afgerekend op voorspeld gedrag. En dat is een probleem, zelfs als je betoogt dat de gemeente zo gerichter kan handhaven omdat ze aan die data kan zien wie ze moet hebben in plaats van ongericht overal te gaan kijken. Want – bekend thema ondertussen – probeer maar eens te achterhalen wát de regels zijn waarop je dan afgerekend wordt. Toch een niet onbelangrijk thema binnen een rechtsstaat.

Datagedreven beleid, heet het. Het onbekende in kaart brengen als gemeente met data, en dat kan variëren van het voorspellen van de vervangingstermijn van vuilniswagens tot de tijd tussen schoonmaakacties. Maar meestal gaat het over mensen: kans op depressies, armoede en “leefbaarheidsproblemen”.

Uniek aan dit beleid is dat het vaak voor iedereen een black box is. Ook voor de ambtenaren zelf: er is data genoeg en de uitkomsten blijken bruikbaar, maar hoe het systeem nu precies van data tot uitkomst komt, blijft in het ongewisse.

Maxim Februari, filosoof en columnist van NRC, vindt dat kwalijk. „Een belangrijk principe van de rechtsstaat is dat burgers weten welke regels er zijn. Zo kunnen ze zich er ook tegen verweren, bijvoorbeeld door ze met een rechtszaak of met nieuwe wetgeving te veranderen.”

Het blijkt echter hardnekkig om te achterhalen hoe die algoritmes en datastromen werken in de praktijk. Onder de Wob slaagde Februari en consorten er niet in om hierachter te komen. Misschien dat het met een beroep op de AVG wel lukt: die eist immers uitlegbaarheid van je algoritmes die tot persoonsgebonden besluiten komen.

Ik blijf twijfels houden over de impact daarvan. Want AI en machine analyses werken niet zoals mensen. Het voelt dan ook wat onlogisch om te verwachten dat er uitleg uit komt die past bij wat mensen verwachten.

Een ding waar machine learning heel goed in is, is het vinden van correlaties. Vaak blijken dat ook zeer relevante correlaties en zal het aanpakken langs die as er ook voor zorgen dat problemen verminderen. Maar bewijs dat de correlatie ook een causatie is, is er vaak niet. Dus dan kom je niet verder dan “we zien opvallend vaak dat mensen met duizend volgers op Instagram en likes van de hangplek vroege schoolverlaters zijn”. Dat is waarschijnlijk wel wáár en ik kan achteraf ook wel een redenering daarbij verzinnen, maar bewijs is het niet.

Ik hoop heel erg dat ik het mis heb en dat we wel in staat blijken om causale redeneringen toe te voegen aan zulke systemen. Het nut van geautomatiseerde analyses zie ik namelijk wel bij beslisondersteuning en preselectie van overheidshandelen, maar zolang de uitleg afwezig of onbegrijpelijk blijkt, heb je er niets aan.

Arnoud

Google gaat telefoonmakers verplichten beveiligingsupdates aan te bieden

Geplaatst op in Security, 20 reacties

Google gaat telefoonmakers contractueel verplichten om smartphones van software-updates te voorzien. Dat meldde Nu.nl vorige week. Een onderwerp waar al veel over te doen is, onder meer vanuit onze Consumentenbond met haar actie die onder meer leidde tot een rechtszaak tegen Samsung met de eis tot langer updaten van smartphones. Fabrikanten zijn volgens mij gewoon wettelijk verplicht dit te doen, maar werken daar bepaald niet enthousiast aan mee. Ergens is het dan wel erg frappant dat Google met zo’n aankondiging (waarschijnlijk) wél iedereen gewoon meekrijgt.

Natuurlijk is het heel logisch dat als Google het zegt, iedereen zich eraan gaat houden. Google heeft het merk Android en stelt stevige eisen aan het gebruik van deze software. Dat mogen ze, en je bent uiteindelijk niet formeel verplicht om Android op je telefoon te zetten. Maar praktisch gezien heeft Google een forse marktmacht (een dikke 85% van de mobielebesturingssystemenmarkt) dus vanuit dat standpunt kun je wel zeggen dat Google echt afdwingt dat je dit moet doen.

Het kan misbruik van je machtspositie zijn om zo’n verplichting op te leggen. Maar hier lijkt het me zó in het voordeel van de markt en de consument dat ik me niet kan voorstellen dat iemand er werkelijk met succes bezwaar tegen kan maken.

Het raakte me vooral omdat het er nu op lijkt dat een marktpartij (Google) méér voor elkaar kan krijgen dan de wetgever en uitvoerende macht bij elkaar. Dat is ergens raar, want regels in het voordeel van de markt of maatschappij lijken me regels die je vanuit de overheid zou verwachten, inclusief handhaving daarvan. Maar het is wel iets dat je typisch vaker ziet bij internetbedrijven, dat zij veel effectiever normen stellen en handhaven dan de formele overheid. Ik zou echt eens een studie rechtsfilosofie moeten gaan doen, wat zit hier achter, hoe past dit in de grondslagen van het recht?

Arnoud

Zo voldoe je als blogger aan de Privacyverordening (AVG/GDPR)

Geplaatst op in Privacy, 33 reacties

Je zou mij een groot plezier doen als je beide verklaringen zou willen doorlezen en laat mij dan melden of ik iets vergeten ben. Dat blogde Manssen vanaf de Zijlijn onlangs. Een zorg van vele bloggers namelijk is hoe zij moeten voldoen aan de AVG. Als blogger ben je meestal geen groot bedrijf met compliance afdeling, maar je krijgt wel persoonsgegevens langs, zoals namen en mailadressen van je bezoekers en vaak ook statistieken en advertentiegegevens. En je hebt maar beperkt de mogelijkheid om dingen anders te doen. Dat maakt het nogal een opgaaf om te voldoen aan de nieuwe strenge wet. Gelukkig zijn er voor bloggers genoeg mogelijkheden om toch binnen de AVG te blijven opereren.

Voor bloggers geldt in hoofdzaak hetzelfde als waar ik gisteren over blogde bij fotografen: je bent primair bezig met je mening te geven of informatie en ideeën te publiceren. Dat valt onder de journalistieke exceptie uit de AVG, waardoor een hoop regels niet voor jou gelden als blogger. Het maakt niet uit of je als particulier of zakelijk blogt en of je advertenties er bij hebt staan of dat je je blog aan je bedrijf koppelt. Ook nonfictie en zelfs promotionele blogs (Met deze pillen word je zo slank, dokters staan versteld) vallen onder deze uitzondering.

Je mag dus in je blogbericht zelf persoonsgegevens opnemen als dat relevant is voor je verhaal. Zelfs bijzondere persoonsgegevens, omdat het verwerkingsverbod (artikelen 9 en 10) daarop niet geldt bij een journalistieke uiting. Je hebt geen toestemming van mensen nodig om over hen te bloggen, zolang het maar journalistiek gezien nodig is dat je die gegevens opneemt in je bericht. Ik mag dus bijvoorbeeld de naam van André Manssen noemen om aan te geven dat zijn blog de inspiratie was voor deze blog.

Bij een blog zit er echter meer dan alléén de uiting, de blogpost zelf. Zo krijg je gegevens van je bezoekers, laten die soms zelfs reacties achter en verzamelt je blogplatform (zoals Blogspot) zelf ook het een en ander. Of je hebt adverteerders die meekijken. Daar geldt de AVG gewoon onverkort op.

Als blogger heb je dus om te beginnen een privacyverklaring nodig waarin je uitlegt wat je verzamelt en wat je daarmee doet. Denk dan aan je reactiemogelijkheid, je contactformulier en je nieuwsbrief, maar ook zaken als een Google Analytics-dienst of teller die meekijkt, adverteerders die zien wat je doen en misschien wel aparte monitoring tegen misbruik of spam. Dit mag (moet, eigenlijk) in gewone taal, dus het is prima als je die tekst zelf schrijft vanuit het perspectief van je doelgroep.

Wanneer de dienst die je gebruikt zelf ook persoonsgegevens verzamelt, moet je even uitkijken. Formeel zijn zij daarvoor verantwoordelijk, maar de bal ligt bij jou om je bezoekers daarover te informeren. Beschrijf dus in ieder geval in je privacyverklaring dat deze partijen die gegevens verzamelen en verwijs naar hun privacybeleid.

Ook moet je een register opzetten. Dat klinkt nogal formeel en is het ook, maar je moet intern vastleggen welke gegevens jij verzamelt en voor welke doeleinden. Dit geldt ook voor zelfstandigen en ook voor niet-commerciële partijen. Als je als bedrijf actief bent, dan heb je er al eentje voor bijvoorbeeld je klantrelatiesysteem en je personeelsadministratie. Ben je alleen aan het bloggen, dan moet je nu dus een register maken.

In het register neem je dan dit op:

  1. Naam en contactgegevens van jezelf (het register moet op verzoek aan de toezichthouder gegeven worden, vandaar)
  2. Doeleinden: beheer van het weblog “Naam hier” op internet | nieuwsbrief | faciliteren reactiemogelijkheid
  3. Gegevens: IP-adressen, browsergegevens, klikgedrag | e-mailadres en naam | naam, e-mailadres, optioneel zelfgekozen webadres, inhoud van reactie
  4. Grondslag: eigen belang | toestemming | toestemming
  5. Betrokkenen: bezoekers | ontvangers | reageerders
  6. Ontvangers: zie onder 1, naast organisaties die op grond van wet deze gegevens kunnen vorderen, plus leveranciers Blogspot/Google/etc
  7. Bewaartermijnen: zes maanden (vereist om misbruik en langetermijnanalyses te doen) | tot afmelding | eeuwig (journalistieke verwerking)
  8. Beveiligingsmaatregelen: *
  9. Risico: minimaal tot klein

Bij de beveiligingsmaatregelen moet je zelf nog invullen hoe je de toegang tot je logs, statistieken en dergelijke beveiligt. Je mag verwijzen naar het beveiligingsbeleid van de diensten en software die je gebruikt.

Natuurlijk is bovenstaande een vrije invulling van mij, als jij bijvoorbeeld vindt dat je je logs langer dan zes maanden mag bewaren dan is dat prima maar je moet het wel motiveren.

Arnoud

Je kunt nog gewoon blijven fotograferen na de AVG!

Geplaatst op in Privacy, 41 reacties

Vele, vele fotografen mailden me de afgelopen weken met de vraag: mag je nog blijven fotograferen (en foto’s publiceren natuurlijk) vanaf 25 mei? Onder de AVG zijn foto’s immers persoonsgegevens, en volgens de strenge regels moet je dan bij het maken van iedere foto toestemming vragen anders volgt automatisch een miljoenenboete. En nou ja, het klopt dat een foto een persoonsgegeven is en dat het maken en gebruiken daarvan dus onder de AVG valt, maar dat wil niet zeggen dat je dus altijd toestemming nodig hebt van de geportretteerde. Zeker niet als je foto onder de uitingsvrijheid valt – en dat is al heel snel het geval.

Een persoonsgegeven is ieder gegeven dat direct of indirect te herleiden is tot een persoon, zo luidt de definitie uit de AVG. Bij een foto is dat evident het geval zodra een persoon herkenbaar is. Dat hoeft niet perse omdat er een naam onder staat, je gezicht (of herkenbare postuur) is al genoeg om het een persoonsgegeven te maken.

Daarmee krijg je als fotograaf te maken met de regels van de AVG, en dat begint dan al vanaf het máken van de foto. Immers, de AVG geldt op iedere “verwerking” van persoonsgegevens en het vervaardigen oftewel maken daarvan is een voorbeeld daarvan. (Uitzondering: de analoge foto, dus met ouderwetse film, wanneer die foto niet bestemd is om in een gecatalogiseerd archief terecht te komen. Dan val je buiten de AVG.) Het publiceren is evenzo een ‘verwerking’ en dus onderworpen aan de regels van de AVG.

Die regels kunnen streng zijn. Zo moet je een register hebben van iedere categorie verwerking die je doet, zoals je klantadministratie, je personeel, het jaarlijks uitje met collega’s, en ga zo maar door. Je moet persoonsgegevens goed beveiligen. En je moet aantoonbaar een grondslag hebben, zoals toestemming, om die verwerking überhaupt te mogen doen.

Gelukkig zijn er een aantal uitzonderingen. Allereerst val je buiten de AVG wanneer je fotografie echt alleen als persoonlijke hobby doet, en de foto’s niet in grote kring publiceert. Dat valt dan onder de uitzondering voor “strikt huishoudelijke verwerkingen”. Die uitzondering is wel beperkt, zodra je je portfolio op internet zet val je er al buiten. Een afgeschermde Instagram- of Facebookgroep kan denk ik nog net, als je selectief bent met wie je toelaat.

De belangrijkste uitzondering is wanneer je handelen valt onder de journalistieke exceptie. Al bij invoering van de AVG werd geroepen dat de persvrijheid of uitingsvrijheid in het gedrang zou komen – als je een journalist kunt ‘pakken’ op bijvoorbeeld inadequate beveiliging van een artikel met rare opmerkingen over jou, is dat veel sneller dan een smaadprocedure – en vandaar dat er speciale uitzonderingen zijn opgenomen voor deze activiteiten. Helemaal in Nederland, waar we in de Uitvoeringswet de nodige artikelen uit de AVG buiten toepassing hebben verklaard voor journalistiek handelen.

Wanneer handel je nu journalistiek? Ik formuleer het met opzet zo, om aan te geven dat het hier gaat om een activiteit en niet een beroepsgroep. Journalist of fotograaf zijn is immers geen beschermd beroep, en niet iedere vorm van foto’s (of teksten) maken valt onder een activiteit uit dat beroep. Je moet dus kijken naar wat je aan het doen bent. Volgens de hoogste Europese rechtbank is iedereen journalist:

bij de bekendmaking aan het publiek van informatie, meningen of ideeën , ongeacht het overdrachtsmedium. Deze activiteiten zijn niet voorbehouden aan mediaondernemingen en kunnen een winstoogmerk hebben.

Die tweede zin is belangrijk: ook gewone mensen met een blog of andere plek voor die informatie, meningen of ideeën vallen gewoon onder deze definitie. Je hoeft dus geen journalist te zijn om journalistiek bezig te zijn. Waar het om gaat, is of je iets wilt publiceren (informatie, meningen of ideeën) en daarbij die foto nodig hebt. (Naast journalistiek geldt deze uitzondering ook voor academische, artistieke en literaire uitingsvormen. Hiervoor gelden vergelijkbare definities.)

Deze definitie is volgens mij zo breed dat je haast moeite moet doen er buiten te vallen. Ik kom niet veel verder dan beveiligingsbeelden, pasfoto’s, smoelenboeken en klassenfoto’s als voorbeelden van niet-journalistieke fotografie.

Wanneer je journalistiek bezig bent, dan gelden een hoop artikelen uit de AVG niet voor jou. Dat is in de Uitvoeringswet AVG zo bepaald. Ik ga ze niet allemaal noemen, maar dit zijn de belangrijkste gevolgen:

  • Eenmaal gegeven toestemming van een geportretteerde is niet meer intrekbaar (artikel 7 lid 3 is buiten werking).
  • Als geportretteerde heb je geen recht van inzage, correctie of verwijdering bij de fotograaf (heel hoofdstuk III is buiten werking).
  • Je hoeft datalekken niet te melden bij de toezichthouder of bij geportretteerden (hoofdstuk IV is op dit punt, artikelen 33 en 34, buiten werking).
  • Je hoeft je geen zorgen te maken over opslag van je foto’s in het grote boze Amerika (heel hoofdstuk V is buiten werking).
  • Je mag ook strafrechtelijke en bijzondere persoonsgegevens verwerken (artikelen 9 en 10 zijn buiten werking).
  • Je hoeft geen register van je journalistieke verwerkingen bij te houden (hoofdstuk IV is op dit punt, artikel 30, buiten werking).

Wel heb je nog steeds een grondslag nodig (artikel 6 blijft van kracht). Dat kan zijn toestemming van de betrokkene, maar er zijn er meer. Omdat je bezig bent met het aan het publiek bekend maken van informatie, meningen of ideeën, is in principe automatisch de vrije nieuwsgaring de grondslag (dit is een eigen gerechtvaardigd belang). Bij dat belang geldt altijd een afweging met de privacy van de geportretteerden, maar die afweging komt de facto neer op wat we al decennia kennen als de redelijk-belangtoets in het portretrecht. De AVG is niet strenger dan het portretrecht.

Normaal kun je als betrokkene bezwaar maken tegen zo’n gerechtvaardigdbelangafweging, maar specifiek bij journalistiek geldt dit niet: het recht van bezwaar bestaat niet (heel hoofdstuk III met daarin artikel 21 is buiten werking).

Ook moet je als fotograaf zorgen voor een goede beveiliging van je persoonsgegevens (artikel 32 blijft van kracht), en als je andere mensen met je foto’s laat werken (denk aan een backupdienst of een ingehuurde illustrator die ze mooi bewerkt) dan moet je daarmee een verwerkersovereenkomst sluiten (artikel 28 blijft van kracht).

Alles bij elkaar zie ik dus geen reden tot zorg bij fotografen om aan de AVG te voldoen.

Arnoud

Mag ik de wifi van de buren met een legale zender offline halen?

Geplaatst op in Security, 20 reacties

Een lezer vroeg me:

Recent kwam ik bij een netwerkapparaat de Air Marshal techniek tegen. Deze blokkeert actief SSIDs van netwerken in de buurt vanuit veiligheidsoverwegingen. Ik zie dat het apparaat legaal te krijgen is, maar zou het legaal zijn dat ik dit apparaat aanzet om zo de buren van hun wifi te beroven?

De hier beschreven techniek uit het Cisco-apparaat is de Wi-Fi deauthentication attack, waarbij je een randapparaat een bericht stuurt dat de verbinding wordt verbroken. Daarmee kun je dus heel effectief een netwerk om zeep helpen, want zo zal geen apparaat lang in de lucht blijven op dat netwerk.

Dit kan legale doelen hebben, zoals voorkomen dat je personeel per ongeluk een rogue netwerk uitkiest (GratisWifiXXX) in plaats van het bedrijfsnetwerk. Maar je kunt het ook voor meer malafide doeleinden gebruiken, zoals alle netwerken saboteren behalve je eigen dure hotelinternet. En je kunt natuurlijk ook, zoals de vraagsteller voorstelt, de buren flink dwarszitten. Wellicht om zo zelf meer bandbreedte te krijgen?

In ieder geval, het feit dat een apparaat legaal te verkrijgen of zelfs te gebruiken is, betekent niet automatisch dat álle toepassingen ook legaal zijn. Het lijkt me zonder twijfel een vorm van denial of service om apparaten de toegang tot andermans netwerk te ontzeggen met genepte “uw verbinding wordt verbroken” berichten. En het aanrichten van een denial of service is strafbaar, ook als je daarbij niet binnendringt in iemands computer en ook als je geen illegale frequenties of gekaapte systemen gebruikt.

Arnoud

Camera’s Britse politie herkenden duizenden mensen onterecht als crimineel

Geplaatst op in Privacy, 21 reacties

De politie van Wales zette tijdens de Champions League-finale van 2017 in Cardiff technologie met gezichtsherkenning in om criminelen op te sporen, maar het systeem zat in 92 procent van de gevallen fout. Dat meldde Nu.nl onlangs. De technologie scande van 170.000 mensen het gezicht en vond daarbij 2.470 potentiële gelijkenissen tussen bezoekers en bekende criminelen, maar 2.297 van die gelijkenissen was ten onrechte. Er zou geen enkele persoon zijn gearresteerd na foutief herkend te zijn door het systeem, en dus is het no big deal aldus de politie. Als dat de toekomst wordt van handhavingstech dan belooft het interessante tijden te worden.

Natuurlijk is geen enkel systeem perfect. Mensen kunnen zich vergissen, en computers kunnen fouten maken. Het is dan ook onrealistisch om te verwachten dat systemen altijd de juiste uitvoer leveren. En zeker als (zoals hier) de inputbeelden van slechte kwaliteit zijn, dan moet je niet te veel verwachten.

Er zijn diverse maten voor de kwaliteit van dit soort systemen. Allemaal komen ze neer op een conclusie afgaande op twee factoren:

  • Vals positief: een uitkomst wordt als positief (juist) aangemerkt, maar is eigenlijk negatief (onjuist). Bij deze gezichtsherkenning dus dat iemand wordt aangemerkt als voetbalcrimineel, terwijl hij dat niet is.
  • Vals negatief: een uitkomst wordt als negatief (onjuist) aangemerkt, maar is eigenlijk positief (juist). Hier dus dat een voetbalcrimineel wordt overgeslagen en gewoon naar binnen kan.

Beide onjuiste uitkomsten zijn onwenselijk, maar om verschillende redenen. Een vals positief zorgt ervoor dat je meer energie in iemand steekt dan nodig is: je gaat iemand langer opsluiten of intensiever begeleiden om recidive te voorkomen terwijl dat helemaal niet speelt. En een vals negatief kost je meer achteraf, je hebt immers een nieuw misdrijf van die recidivist en dat had je nu net willen voorkomen.

De belangrijkste hier van afgeleide factoren zijn precisie en vangst (‘recall’). De precisie is het percentage juiste uitkomsten ten opzichte van het totaal aantal uitkomsten, en de vangst is het percentage gevonden matches ten opzichte van het totaal aantal mogelijke matches. Als je dus tien voetbalcriminelen correct herkent, heb je een precisie van 100% maar als er tienduizend criminelen rondliepen dan is je vangst dus behoorlijk slecht. Vang je alle tienduizend criminelen door iederéén (170.000 bezoekers) als crimineel aan te merken, dan is je vangst 100% maar je precisie slechts 5,9%.

Het liefst heb je natuurlijk dat je alle tienduizend criminelen correct herkent en verder niemand fout herkent (vals positief). Maar het probleem is dat wanneer je het aantal matches (je vangst) verhoogt, je precisie vaak omlaag gaat. Wat je meestal namelijk doet, is de matching criteria omlaag doen en dus eerder tot een match besluiten. Dat is bij het detecteren van rot fruit in je magazijn tot daar aan toe, maar bij juridische systemen is het niet gepast dat je mensen onterecht als verdachte aanmerkt.

Een manier om dat te voorkomen, is door er een mens tussen te zetten. Je laat het systeem dan snel matchen en je accepteert dat een mens vervolgens veel van de uitkomsten weggooit als vals positief. Dat is beter dan een mens laten kijken, want de computer kan veel sneller die groep van 170.000 mensen doorscannen en een mens kan snel vals positieven elimineren. Een risico is wel dat de mens erg skeptisch wordt over het systeem – als je 92% van de alerts weg moet klikken als niet relevant, dan krijg je een reflex om élke alert weg te klikken.

Er waren dus geen personen ten onrechte gearresteerd, maar ik ben dan heel benieuwd of dat daaraan ligt.

Arnoud

Jonge Skype- en Outlook-gebruikers in de problemen door privacywet

Geplaatst op in Informatiemaatschappij, Privacy, 28 reacties

Kinderen onder de 16 jaar met een Outlook- of Skype-account hebben een probleem: ze kunnen opeens niet meer inloggen. Dat meldde de NOS vorige week op basis van een PR-meelbal van Microsoft die het afsluiten van minderjarigen in het belang van hun veiligheid noemt. De geciteerde reden – dat moet van de AVG – is de grootste onzin die ik over deze wet in tijden heb gelezen. En ik héb wat onzin over de AVG gelezen.

Het klopt dat er voor kinderen (zestienminnners dus) speciale regels in de AVG staan. Wanneer je namelijk een kind onder de zestien rechtstreeks een internetdienst aanbiedt, en je wilt daarbij toestemming voor gebruik van diens persoonsgegevens, dan moet je die bij de ouders gaan halen. Dat staat in artikel 8 lid 1. En in lid 2 staat dat de aanbieder van zo’n dienst een inspanningsplicht heeft om daadwerkelijk te controleren dat die toestemming er is.

Alleen: het moet gaan om een “rechtstreeks aanbod”, staat er letterlijk. Ik kan dat maar op één manier lezen en dat is dat de dienst zich specifiek op kinderen richt. Een dienst die toevallig ook kinderen toelaat, doet die kinderen weliswaar een aanbod maar geen rechtstreeks aanbod. Als je zegt van wel, dan doet iedere internetdienst te allen tijde een “rechtstreeks” aanbod door een signup formulier te bieden, en dan heeft de frase “rechtstreeks aanbod” geen betekenis. En dat is juridisch een gevalletje delen door nul, dat kan niet waar zijn dat een zinsnede niets betekent. Een wetgever schrijft het niet voor niet zo op.

Daarnaast geldt het alleen voor gebruik van persoonsgegevens met als grondslag toestemming. Ik zou denken dat bij Microsoft die persoonsgegevens (je account, de daaraan gekoppelde gegevens die je opslaat et cetera) onder de grondslag overeenkomst verwerkt worden. Ook daarom zou dit dus gewoon niet van toepassing moeten zijn. Je vraagt niet om toestemming om een dienst te mogen leveren, je sluit een online contract waaronder je een dienst gaat leveren. Dat is wezenlijk wat anders.

Ik snap dus werkelijk niet hoe Microsoft hierbij komt. Je zou kunnen denken dat het een voorzichtige interpretatie is, maar als ik dan “We zijn er ons van bewust dat de vereisten die de AVG met zich meebrengt tijdelijk vervelend kunnen zijn.” lees in dat persbericht dan is mijn eerste gedachte, wordt hier subtiel gelobbyd tegen de werkelijke doelen van de AVG? Is er werkelijk geen andere manier dan een creditcardbetaling?

Het grappige vind ik dan nog dat onder de Wbp (en dus in heel Europa) er wel categorisch altijd toestemming nodig was van ouders om zestienminners internetdiensten te laten gebruiken. De huidige wet kent namelijk géén beperking tot “direct aanbod” of zelfs maar tot internetdiensten. Toestemming geven voor een schoolfoto moet nu dus via de ouders, vanaf 25 mei kan een kind die toestemming zelf geven (tenzij volgens de algemene regel van artikel 1:234 BW die toestemming niet gebruikelijk is voor iemand van die leeftijd). Dus eigenlijk erkent Microsoft dat het al die jaren het fout heeft gedaan?

Arnoud

Moet ik aangifte doen van computervredebreuk tijdens de les?

Geplaatst op in Regulering, Security, 25 reacties

Een lezer vroeg me:

Mijn docent voor het vak IT Security gaf net aan hoe makkelijk het is onbeveiligde PHPMyAdmin omgevingen te vinden met een Google-zoekopdracht en daar dan op in te loggen. We kregen zelfs een live demonstratie. Voor zover ik weet, is dit computervredebreuk en dat is een ernstig misdrijf. Ben ik nu verplicht aangifte te doen?

Het was inderdaad bepaalt niet handig van die docent om in een lesomgeving een demonstratie te geven van hoe makkelijk het is om slecht beveiligde systemen van derden te vinden. Natuurlijk is het relevant voor een vak als IT security om te melden dat dingen vaak misgaan, maar daarvoor hoef je niet te laten zien hoe je dit exact nagaat bij derden.

Echt problematisch is zo’n live demonstratie. (Ik neem maar aan dat dit geen eigen server was die als demonstratie-object werd gebruikt.) Want ja, het is strafbaar als computervredebreuk om binnen te dringen in een computersysteem van een derde. Of daarbij een beveiliging wordt doorbroken of een security zwakheid wordt geëxploiteerd doet er in principe niet toe. Zodra je weet of moet weten dat je daar niet mag zijn in dat systeem, is sprake van een strafbaar feit.

Iedereen is bevoegd om aangifte te doen van een strafbaar feit wanneer hij daar kennis van heeft (art. 161 Wetboek van Strafvordering). Als student bij dat vak kun je dus als je dat wilt naar de politie en melden dat dit is gebeurd. Persoonlijk zou ik eerder naar de decaan of opleidingsdirecteur stappen, ik denk dat dat meer kans maakt om tot een gedragsaanpassing te komen.

Verplicht is het niet. De wet (artikel 160 Strafvordering) noemt een aantal misdrijven waarbij aangifte verplicht is, maar het gaat dan eigenlijk altijd over zeer ernstige misdrijven waarbij mensenlevens in gevaar komen, zoals moord en doodslag, verkrachting en ontvoering. Computervredebreuk en aanverwante misdrijven (zoals ddos aanvallen) horen daar niet bij.

Arnoud