Mag je onder de AVG nog foto’s van kinderen publiceren?

Geplaatst op in Privacy, 13 reacties

Een lezer vroeg me:

Klopt het dat je onder de AVG geen foto’s van personen onder de 18 jaar meer herkenbaar op internet mag plaatsen? Daarvoor zou te allen tijde ouderlijke toestemming nodig zijn namelijk.

Nee, dat klopt niet. De regels rond fotogebruik zijn in principe onveranderd onder de AVG, behalve als je foto’s gaat gebruiken op toegangspasjes en dergelijke situaties waarin ze voor identificatie bestemd zijn.

Een foto met een herkenbaar persoon daarop is een persoonsgegeven, en gebruik daarvan valt onder de AVG. Er is een uitzondering voor strikt huishoudelijk en particulier gebruik, maar die gaat niet op als je de foto publiceert of in meer dan familie- en vriendenkring verspreidt. De fotograaf/publicist van zo’n foto moet dus aan de regels voordoen.

Eén van de regels uit de AVG is dat je een grondslag moet hebben. Dat kan toestemming zijn, maar dat is niet de enige grondslag. Ook het uitvoeren van een contract is een grondslag, en hier belangrijker is het eigen gerechtvaardigd belang, namelijk de vrijheid van meningsuiting. Onder dat belang mag je dingen publiceren over mensen, zolang je maar netjes rekening houdt met hun privacy.

Rekening houden met privacy doe je door bij de foto na te gaan of er vervelende, gênante of intieme details op staan en die eventueel te blurren als dat irrelevant is. Je moet daar in ieder geval over nagedacht hebben en kunnen rechtvaardigen waarom je vond dat je die details niet hoefde weg te halen. “Het was op de openbare weg” is daarbij te mager, ik zeg het maar vast.

Het maakt in principe niet uit of de persoon op de foto meerder- of minderjarig is. Dat speelt onder de AVG alleen bij toestemming; als iemand nog geen zestien (dus niet achttien) is, dan is ouderlijke toestemming nodig in plaats van toestemming van hem- of haarzelf. Maar als je een andere grondslag hebt, dan is dit niet relevant. Wel is het zo dat hoe jonger een persoon is, hoe zwaarder zijn of haar privacy zal wegen bij de belangenafweging. Kinderfoto’s zijn zelden nieuwswaardig, dus daar zul je eerder moeten blurren, weglaten of bijsnijden.

Uiteindelijk komt dit neer op grofweg dezelfde afweging als onder het oude portretrecht uit de Auteurswet. Wie daarmee kan werken, kan dus ook onder de AVG netjes foto’s publiceren.

Een nieuw recht onder de AVG is het recht op vergetelheid. Je kunt eisen dat gebruik van je gegevens wordt gestaakt, wanneer dat gebruik achterhaald of irrelevant is. Maar dat recht geldt niet wanneer een publicatie “nodig is voor het uitoefenen van het recht op vrijheid van meningsuiting en informatie”, zo staat in lid 3 van artikel 17 waar dat recht in staat. Als de publicatie op zich dus legitiem is en rekening houdt met privacy, dan kun je ook met het recht van vergetelheid niets daartegen doen.

Arnoud

Mag je als kleine vereniging blijven werken met Google Drive onder de GDPR?

Geplaatst op in Informatiemaatschappij, 8 reacties

Een lezer vroeg me:

Wij zijn een kleine vereniging die zich wil voorbereiden op de AVG. Eén zorg is onze ledenadministratie, die we nu beheren in Google Drive. Ik heb begrepen dat dit mag als we een verwerkersovereenkomst met Google sluiten, maar hoe ga ik dat in vredesnaam doen bij zo’n gigant? Plus hoe houd ik toezicht op hun securitymaatregelen, wat ik vereist ben onder de AVG.

Er zijn veel dingen om je zorgen over te maken bij Google, maar dat je een verwerkersovereenkomst met ze moet sluiten zou er geen moeten zijn. Het bedrijf voorziet in een standaard DPA waar alle gebruikers van haar clouddiensten automatisch onder vallen. Als je met deze overeenkomst kunt leven, dan heb je dus voldaan aan de eis een verwerkersovereenkomst met je verwerker Google te sluiten.

Natuurlijk staan er dingen in die je als verwerkingsverantwoordelijke scherper zou willen hebben. Een verwijderperiode van 180 dagen nadat de instructie is gegeven is bijvoorbeeld vrij ruim, en het kost geld als je Google wilt auditten. Maar alles bij elkaar vind ik hem niet eens zo heel slecht. Zeker niet als je bedenkt dat Google keurig zo ongeveer alle securitycertificeringen heeft die er bestaan.

Voor een mkb organisatie zoals een vereniging zou ik dus geen reden zien om van Google af te stappen als de angst is dat je het qua security of verwerkersovereenkomst niet geregeld krijgt. Het zal in ieder geval veiliger zijn dan je zelf voor elkaar kunt krijgen (of met een eigen verwerkersovereenkomst weet te onderhandelen met een lokale partij).

Wie met Google werkt, zal eerder in het achterhoofd moeten houden dat ze daar op de lange termijn (zeg een jaar of drie tot vijf) weer weg moet. Amerikaanse bedrijven hebben immers met de AVG conflicterende plichten op zich liggen, zoals de plicht lokale law enforcement toegang te geven tot clouddata.

Vooralsnog lijkt die plicht beperkt te zijn tot data in de VS, zodat je je veilig kunt wanen door een Europese dochter te contracteren. De dreiging van die Microsoft-rechtszaak over de cloud is nu even weg, zodat we op korte termijn geen uitspraak krijgen dat de FBI Amerikaanse bedrijven kan bevelen bij Europese dochters data te gaan halen. Echter, de reden daarvoor is zorgwekkend: er komt een nieuwe Amerikaanse wet die dat gewoon toestaat (heel grappig: de Clarifying Lawful Overseas Use of Data, oftewel CLOUD) en daarom is het niet meer relevant nog over de oude wet een uitspraak te doen. De zorg of dat wel compatibel is met de AVG, blijft dus gewoon bestaan.

Arnoud

WhatsApp verhoogt minimumleeftijd naar 16 jaar vanwege AVG

Geplaatst op in Privacy, 17 reacties

Gebruikers van chatdienst WhatsApp moeten voortaan minstens 16 jaar oud zijn, las ik bij Nu.nl. De aangepaste voorwaarden voor de chatapplicatie, die alleen in Europa worden doorgevoerd, eisen dat de gebruiker minimaal zestien is en maken afsluiting mogelijk van wie onder deze leeftijd blijkt. Er is vooralsnog geen informatie dat WhatsApp dit werkelijk gaat handhaven. En ja, dit is nieuws want AVG – hoewel het eigenlijk al sinds, oh, 2001 wettelijk zo geregeld was. Maar dat is onvermijdelijk bij berichtgeving over de AVG.

Onder de Wbp die sinds 2001 van kracht was, was het voor personen onder de 16 niet mogelijk om toestemming te geven voor verwerking van hun persoonsgegevens. In plaats daarvan was toestemming nodig van hun ouders of verzorgers. Dat gold voor chatdiensten, social media en andere dienstverleners – maar ook anderen, als je als dertienjarige je voorkeur voor chocoladepasta wilde opgeven bij zomerkamp dan had je formeel ouderlijke toestemming nodig om dat op een formulier te mogen zetten.

De AVG verandert niets aan de leeftijdsgrens, maar beperkt wel de scope. Internetdiensten moeten ouderlijke toestemming hebben van personen onder de zestien wiens persoonsgegevens ze willen gebruiken. Behalve voor persoonsgegevens die strikt noodzakelijk nodig zijn voor de dienst natuurlijk, of wanneer de gegevens wettelijk verplicht gebruikt moeten worden. Ook bij diensten onder een eigen gerechtvaardigd belang is geen ouderlijke toestemming nodig – er is dan immers helemáál geen toestemming nodig.

Het strengere uit de AVG is de eis dat “de verwerkingsverantwoordelijke redelijke inspanningen [pleegt] om in dergelijke gevallen te controleren of de persoon die de ouderlijke verantwoordelijkheid voor het kind draagt, toestemming heeft gegeven”. De AVG vermeldt geen manieren waarmee de verwerkingsverantwoordelijke de bedoelde controle moet uitvoeren. De al langer bestaande Amerikaanse COPPA-wetgeving (15 U.S.C. §§ 6501-6506) over ditzelfde onderwerp vereist verifiable parental consent voordat men persoonlijke informatie van personen onder de dertien jaar verwerkt. De uitvoeringsregels (16 C.F.R. § 312.5(c)) noemen diverse opties: een getekend formulier, een geldige creditcard, een telefonisch contact met iemand die getraind is kinderstemmen te herkennen en, bij verwerkingen zonder derdenverstrekking, een reactie per mail van de ouder dat een en ander akkoord is.

WhatsApp doet dus het minimaal noodzakelijke om aan de AVG te voldoen. Verbied zestienminners toegang, houd de deur op een kier voor ouderlijke toestemming wanneer een kind wordt afgesloten en ga geen nadere controle uitvoeren. Eerlijk gezegd zou ik ook niet weten hoe een gratis dienst als WhatsApp kan nagaan of hun gebruikers onder de 16 jaar zijn.

Arnoud

Je hebt nog 32 dagen om de AVG te implementeren #32totavg

Geplaatst op in Privacy, 30 reacties

Vandaag zijn er nog precies 32 dagen te gaan tot 25 mei 2018, de datum waarop de Algemene Verordening Gegevensbescherming (AVG, ook wel General Data Protection Regulation oftewel GDPR) van kracht wordt. Er is nog steeds veel onzekerheid over de AVG, die van alles zou verbieden of onwerkbaar maken. De AVG noem ik altijd vooral een compliance-wet: de nadruk ligt op formele procedures, documentatie en stappen die moeten worden genomen om aan de wet te voldoen. En minstens zo belangrijk: om aan te kunnen tonen dat je aan de wet voldoet, want de AVG bepaalt expliciet dat de bewijslast bij jou ligt dat je alles op orde hebt. Een hele kluif, maar zeker niet onoverkomelijk of fundamenteel onwerkbaar.

Een van de grootste mythes rond de AVG is dat deze nieuwe wet vooral voor juristen van belang is. Dat is niet zo. De AVG is zó breed van toepassing en stelt zó veel regels dat het iedereen aangaat. Van groot bedrijf tot kleine vereniging en van eenmansdokterspraktijk tot goed doel met duizenden donateurs. Voldoen aan de AVG is geen kwestie van nieuwe juridische documenten en een mooie toestemmingsverklaring laten tekenen door uw klanten.

Een belangrijk instrument daarbij is het verwerkingsregister, de centrale plaats waarin iedere verwerking van persoonsgegevens moet zijn gedocumenteerd. Het formeel vastleggen van verwerkingen is een van de weinige echt nieuwe eisen uit de AVG. Doel hiervan is vooral organisaties te dwingen goed na te denken over wat zij doen met persoonsgegevens en waarom. Het register is daarvan de verslaglegging. Tevens biedt registreren van een verwerking de mogelijkheid te checken of deze inhoudelijk voldoet, omdat je in het register ook zaken als grondslag en bewaartermijn uitwerkt en verwijst naar gepast beveiligingsbeleid. Dan moet je daar wel over nagedacht hebben, natuurlijk.

Kort en goed neem je in het register per verwerking het volgende op:

  • Naam en contactgegevens van de verantwoordelijke entiteit; dit is niet alleen de bedrijfsnaam maar ook de concrete afdeling en de verantwoordelijke manager of business owner.
  • De doeleinden, zoals “Salarisadministratie” of “Beveiliging van pand en goederen middels camera’s met geluidssensoren” met een omschrijving van de grondslag (toestemming, overeenkomst, et cetera).
  • De grondslag voor deze verwerking, zoals toestemming of een eigen belang, inclusief onderbouwing daarvan.
  • Een omschrijving van betrokkenen, zoals personeel, klanten, bezoekers of passanten.
  • Een omschrijving van ontvangers, zoals de afdeling die het uitvoert, het beveiligingsbedrijf dat de camerabeelden uitkijkt en de politie in geval van strafbare feiten. Ontvangers in landen buiten de EU moeten apart worden genoemd (inclusief land).
  • De bewaartermijnen, inclusief motivatie waarom deze termijnen en niet korter.
  • Een beschrijving van de beveiligingsmaatregelen voor deze verwerking, u mag hierbij verwijzen naar het algemene beveiligingsbeleid.
  • Een inschatting van het risico voor betrokkenen; als u meent dat dit hoger is dan normaal dan moet je een privacy impact assessment (PIA) uitvoeren (zie hoofdstuk 5).

Vaak wordt gezegd dat de AVG van alles en nog wat gaat verbieden. Niets is minder waar. De regels worden veel strenger, maar zijn vooral gericht op verantwoording afleggen. Toestemming vragen kan prima, maar kunt u bewijzen welke toestemming is gegeven, zijn mensen adequaat voorgelicht en kennen zij hun rechten? Gegevens tien jaar bewaren: oké, maar onderbouw eens waarom dat nodig is en niet een jaartje minder? Wij noemen de AVG daarom vooral een compliance-wet. Er moet veel geregeld en gedocumenteerd worden. Wat precies en hoe, dat leest u in ons Praktijkboek AVG Compliance.

Arnoud

Rechter staat ontsleutelde berichten van pgp-smartphones toe als bewijs

Geplaatst op in Regulering, 14 reacties

De rechtbank in Amsterdam heeft een crimineel veroordeeld mede op basis van informatie die werd verkregen door het ontsleutelen van een grote hoeveelheid berichten die via pgp-telefoons werden verstuurd. Dat meldde Tweakers vorige week. Uit het ontsleutelde berichtenverkeer blijkt hoe de verdachte een sturende rol had bij een liquidatiepoging en hoe de schutters aan hem verantwoording moesten afleggen toen die poging mislukte. Het is voor zover ik weet de eerste keer dat ontsleuteld PGP-verkeer als bewijs is gebruikt in een strafzaak.

De uitspraak is een uitvloeisel uit de Ennetcom-zaak uit 2016. Ennetcom is een Nederlands bedrijf dat met PGP (Pretty Good Privacy) beveiligde BlackBerry-telefoons aanbood. Hiermee kunnen gebruikers in principe onkraakbare e-mails en dergelijke berichten sturen. Deze systemen gebruiken servers in Canada. Na een inval bij het bedrijf kreeg men de Canadese rechter zo ver beslag op die servers en bijbehorende data te leggen, om zo deze inhoud te kunnen gebruiken voor forensisch onderzoek in strafzaken waarbij verdachten deze telefoons gebruikten.

Dat was bijzonder prettig voor Justitie, want die servers bevatten cruciale informatie over sleutelmanagement waarmee het ineens heel eenvoudig werd om het theoretisch haast onkraakbare PGP te verwijderen van berichten. Kort gezegd, die informatie helpt het aantal mogelijke sleutels te reduceren tot enkele honderdduizenden per bericht, iets dat een beetje computer in de lunchpauze kan nalopen. De inhoud van die berichten is dan ineens beschikbaar in een strafzaak.

De Canadese rechter wees dat toe, maar beperkte de toegang tot specifieke berichten voor specifieke strafzaken om te voorkomen dat de Nederlandse autoriteiten een ‘fishing expedition’ zouden gaan uitvoeren in deze grote hoeveelheid data. Per verzoek zou een Nederlandse rechter een bevel moeten afgeven. Dat was nog even ingewikkeld, want het Nederlands recht kent het concept van een court order eigenlijk helemaal niet. Bij ons toetst de rechter-commissaris bevelen van de officier van justitie, dat is een andere manier van werken. Uiteindelijk kwam men uit bij de mogelijkheid van een bevel onder het Wetboek van Strafvordering tot toegang tot opgeslagen data bij een provider (artikel 126ng), dat door de rechter-commissaris moet worden goedgekeurd. Dit bleek genoeg voor de Canadese rechter.

In deze zaak werden ook een aantal PGP berichten gevonden in het opsporingstraject, die met de Canadese informatie konden worden ontsleuteld. Dat bleek een cruciale stap: de berichten lieten zien welke belangrijke rol de verdachte had in de onderzochte liquidatiepoging.

Het bezwaar van de verdediging betrof de manier waarop deze berichten te pakken waren gekregen. Dat artikel 126ng zou de verkeerde grondslag zijn geweest, er is op de verkeerde manier gewerkt en er zou te weinig toezicht zijn geweest vanuit de rechter-commissaris. En nog veel meer, zo veel dat de rechtbank korzelig opmerkt “dat het niet eenvoudig is geweest tot een begrijpelijke samenvatting van de verschillende onderdelen van het door [de advocaat] gevoerde verweer te komen.” Ik ga dat zelf dan ook niet doen, vooral omdat de rechtbank héél snel klaar is met de analyse:

De gekozen constructie biedt voldoende waarborgen om voor zoveel mogelijk tegemoet te komen aan de privacy-belangen van de overige Ennetcom-gebruikers. Naar het oordeel van de rechtbank is dan ook sprake van een rechtmatige constructie om te beoordelen of binnen het onderzoek Tandem toegang verleend kan worden tot de Ennetcom?data.

Dat is voor de juridische theorie een tikje jammer, want nu weet je niet waar de grenzen liggen. Maar ik kan zo snel geen inhoudelijk tegenargument bedenken. Die data is legaal in Canada door de politie aldaar in beslag genomen, en wordt onder toeziend oog van twéé gerechtelijke instanties vrijgegeven conform specifieke regels waardoor er niet kan worden gegrasduind. Ook hier wordt er met een specifiek protocol op verder gewerkt.

Een terecht punt van de verdediging was wel dat er tussen de verkregen berichten communicatie van en naar de advocaat aanwezig was. Dat mag natuurlijk niet, dergelijke communicatie is beschermd en mag niet onder ogen van de politie komen.

Probleem was wel dat in deze brondata die communicatie niet evident als zodanig te herkennen is. Er waren geen zakelijke mailadressen van de advocaat gebruikt of andere identifiers waarmee je dit vooraf weg kon filteren. Er was wel een communicatiepartij die als “adv” bekend stond, maar moet je daaruit concluderen dat je te maken hebt met een Nederlandse advocaat wiens communicatie vertrouwelijk moet blijven? De rechtbank vindt dat te ver gaan.

Ook als aangenomen wordt dat deze ‘adv’ een advocaat is, betekent dat niet dat deze berichten niet in het dossier mochten worden gevoegd. Onder omstandigheden, bijvoorbeeld als moedwillig slordig met de inhoud van de berichten wordt omgesprongen door deze zonder restricties uit handen te geven, bestaat daartegen geen bezwaar. Met betrekking tot de berichten van ‘adv’ die in het dossier zitten, geldt dat die tussen twee onbekende PGP-gebruikers zijn doorgezonden, zonder dat daarbij een beperking is aangebracht. Ten aanzien van deze berichten is geen sprake van een vormverzuim.

Na het beslag op de Canadese server en data heeft de politie een bericht uitgestuurd waarin staat dat verschoningsgerechtigden (zoals advocaten) zich konden melden, waarna hun berichten als geheim zouden worden gemarkeerd. Klinkt netjes, nietwaar? Maar geen advocaat die reageerde – terecht, want dan onthul je immers dat je via dat netwerk communicatie met je cliënt had en dat suggereert dat die cliënt misschien maar eens onderzocht moest worden.

Dit alles levert echter geen onherstelbaar vormverzuim op. Ik zou zelf ook niet weten wat je méér had moeten doen als OM om uit te sluiten dat er advocaatcommunicatie in zo’n bestand zit. De berichten werden nu echter eruit gehaald door een niet bij de zaak betrokken officier.

Wél een vormverzuim deed zich voor bij een aantal notities (ik denk conceptberichten) die begonnen met “Geachte Mr Inez Weski” maar nooit waren verzonden naar deze advocaat. Hoewel je strikt gesproken dan niet spreekt van communicatie met een advocaat, valt ook zo’n concept onder de geheimhouding voor advocaten. Dit bericht was evident voor een advocaat bedoeld en had dus verwijderd moeten zijn. Dat vormverzuim is ernstig: die berichten hadden nooit in het dossier moeten zitten, en moeten dus verwijderd worden. Bewijs dat daaruit afgeleid is, wordt daarmee uitgesloten.

Arnoud

Moet je bij een Linkedin-wervingsbericht een opt-out opnemen?

Geplaatst op in Privacy, 18 reacties

Een lezer vroeg me:

Onder de AVG ben je verplicht om bij alle direct marketing uitingen mensen apart te wijzen op het recht van opt-out (verzet). Hoe pakt dat uit bij Linkedinberichten, waar immers het doel van de dienst bestaat uit het contacteren van mensen voor (in mijn geval) bijvoorbeeld personeelsbemiddeling? Het is volstrekt ondoenlijk om op een dergelijk platform het recht van verzet onder elk bericht te plaatsen. Los van de karakterlimiet en de wijze waarop het volstrekt legitiem en vaak welkom contact besmeurt, zal het niet de bedoeling van de wetgever zijn om zich te mengen in contact waar mensen zich nota bene expliciet voor hebben aangemeld. Toch heb ik geen uitzondering kunnen vinden en lijkt het (hoewel enigszins theoretisch) nog steeds verplicht om ook via Linkedin mensen te wijzen op hun recht van verzet.

Vanaf 25 mei heb je inderdaad het recht op verzet oftewel opt-out bij iedere vorm van direct marketing. Wanneer je geen zin (meer) hebt in dergelijke gerichte reclame, kun je daar op ieder moment eenvoudig en gratis bezwaar tegen maken en dat moet dan stoppen.

Bijzonder aan dit recht van verzet is dat het bij de direct marketing berichten zelf gemeld moet worden, en ook nog eens apart en gescheiden van andere informatie. Je mag dit dus niet apart in je privacyverklaring verstoppen, het moet duidelijk en direct te vinden zijn zodat mensen dat recht direct uit kunnen oefenen. Toegegeven, dat is onhandig als je via een kort berichtje via de chatfunctie van Linkedin jezelf wilt voorstellen en wilt hengelen naar een zakelijk kopje koffie met winstoogmerk.

Ik denk alleen dat het bij LinkedIn anders werkt. Je kunt (moet?) op je profiel aangeven dat je wel of niet openstaat voor arbeidsbemiddeling (“Beschikbaar voor nieuwe carrièrekansen”). Binnen de context van Linkedin mag je dat opvatten als toestemming. Denk ik. En daarmee kunnen mensen dus die berichten sturen onder de grondslag toestemming, waarbij je dan géén recht van verzet hoeft te bieden. Toestemming is immers intrekbaar, verzet is niet aan de orde. Maar het is niet verplicht apart en uitdrukkelijk te zeggen dat toestemming kan worden ingetrokken.

Eerlijk gezegd weet ik niet of dit nu het grootste probleem is onder de AVG. Het lost zichzelf ook op, want wie al te hard die berichten stuurt krijgt een verbanning van Linkedin. En dan is er juridisch gezien verder geen probleem.

Arnoud

Mag je reacties gebruiken voor wetenschappelijk onderzoek?

Geplaatst op in Intellectuele rechten, 20 reacties

Een lezer vroeg me:

Ik wil wetenschappelijk onderzoek doen naar stijlontwikkelingen in de taal, en wil daarvoor onder meer reacties van diverse grote forums gebruiken. De beheerders geven aan dat dat niet mag vanwege auteursrecht, maar zit er wel auteursrecht op de vaak korte en simpele reacties die je overal vindt? En is er geen uitzondering voor wetenschappelijke studie?

Auteursrechtelijk is het vrij simpel, als er een “eigen intellectuele prestatie” is geleverd dan zit er auteursrecht op de reactie. Een enkele “+1” of dergelijke opmerking is dus vrij, maar een zin of twee komt al door die toets heen. Ook als je niet weet wie de reageerder is en hem niet kunt bereiken.

Als site mag je aannemen dat je een licentie krijgt voor gebruik van die reacties, maar dat zal dan altijd in combinatie met het bronartikel zijn. De reacties opnemen in een corpus is dus problematisch, in theorie. Immers, dat is gebruik dat buiten de context van de site valt en dus niet door de reageerder in de licentie is toegestaan.

Soms zie je dat een site een bredere licentie eist, maar die is dan vaak weer beperkt tot enkel de forumbeheerder. Die mag er dan alles mee doen, inclusief op mokken afdrukken of in boeken compileren. In dat geval zou de forumbeheerder aan een onderzoeker kunnen toestaan dat hij de reacties gebruikt. Maar dat moet je dan echt uitzoeken vooraf, want het moet er dan wel expliciet hebben gestaan.

Juridisch gezien kun je zeggen dat wetenschappelijk gebruik eigenlijk niet als concurrerend of oneerlijk gebruik te zien is. Er wordt geen geld verdiend met de reacties, de reacties zelf worden eigenlijk niet eens verspreid. Ze worden -zoals hier- in woorden opgehakt en gebruikt voor bijvoorbeeld sentimentanalyse, detectie van taaltrends en ga zo maar door. Ook voor dergelijk analyseren is formeel toestemming nodig, want onze auteursrecht kent geen algemeen “fair use” recht en in de Auteurswet staat nergens expliciet een wettelijk recht op wetenschappelijk onderzoek naar auteursrechtelijk beschermde werken.

Daar komt bij dat je praktisch gezien zelden tot nooit ziet dat reageerders hier een punt van maken. Vaak zijn ze niet bekend, of willen ze niet zichzelf associëren met die opmerkingen. Bij een rechtszaak zou je jezelf bekend moeten maken immers. Plus, er is geen cent te halen want welke vergoeding had je kunnen vragen om je reactie te mogen gebruiken? Daar wordt alleen de advocaat rijker van dus.

Kortom het mag niet maar ik zie praktisch eigenlijk geen bezwaar om het te doen.

Arnoud

Games met verhandelbare lootboxes zijn onwettig

Geplaatst op in Ondernemingsvrijheid, Regulering, 34 reacties

De Nederlandse Kansspelautoriteit heeft tien populaire games met lootboxes onderzocht en stelt dat vier daarvan de gokwet overtreden, las ik. De namen van de games worden niet genoemd, maar volgens de NOS zou het gaan om de zeer populaire spellen Fifa18, Dota2, PubG en Rocket League. De bedrijven krijgen acht weken de tijd hun games aan te passen op straffe van een boete. Dat zou een ingrijpende verandering zijn voor de spelaanbieders, omdat lootboxes veel geld opbrengen.

Lootboxes zijn los te kopen elementen in een spel (vaak vormgegeven als een schatkist of iets dergelijks, vandaar de naam) waarbij je op voorhand niet weet wat de aankoop je op gaat leveren. Vaak is de game op dat punt zo vormgegeven dat het kopen zeer aantrekkelijk lijkt. Lootboxes liggen daarmee al een tijdje onder vuur, en vanwege de factor kans bij wat je krijgt, verbaasde het me dan ook niet dat de Kansspelautoriteit op onderzoek uit ging.

Van een kansspel is sprake wanneer

de aanwijzing der winnaars geschiedt door enige kansbepaling waarop de deelnemers in het algemeen geen overwegende invloed kunnen uitoefenen

Die definitie past prima bij lootboxes, maar ook bij bijvoorbeeld een zakje voetbalplaatjes. Daarom had ik enige twijfel hoe dit nu precies uit moest pakken. De KSA voegt echter in haar onderzoek een extra criterium toe dat verduidelijkt waarom de lootbox-inhoud wél en een voetbalplaatjeszakje géén kansspel is: je moet een prijs winnen bij een kansspel, en dat betekent iets van waarde. En waarde krijgt het omdat het verhandelbaar is, omdat er een markt is.

Voetbalplaatjes worden natuurlijk wel geruild, maar om nou echt te spreken van marktplaatsen en betaalde transacties nee. Terwijl er voor lootbox-inhoud wel degelijk dergelijke marktplaatsen zijn. Vaak weliswaar buiten de eigenlijke game om, maar toch. Dat geeft die inhoud een economische waarde en daarmee is het verstrekken van die inhoud via de lootbox-constructie een kansspel.

Sommige spelaanbieders verbieden de handel in in-game objecten. Dat is echter niet genoeg. Het gaat er onder de wet niet om of je van de spelaanbieder mág handelen in die objecten, maar of er daadwerkelijk en legitiem gehandeld wórdt in die objecten. (Anders zou je als gokaanbieder gewoon in je algemene voorwaarden zetten dat gewonnen prijzen niet tweedehands doorverkocht mogen worden, om zo de Wet op de kansspelen te omzeilen.) En het is legitiem omdat dergelijke objecten juridisch gezien in eigendom overgedragen zijn, analoog aan de digitale aanschaf die je bij een online koop van spellen en dergelijke goederen doet. Dan is het betekenisloos de handel daarin in je voorwaarden te verbieden.

Met deze uitspraak loopt Nederland voorop in de aanpak van de controversiële lootboxes, maar het zou me verbazen als in andere landen er wezenlijk andere uitspraken volgen.

Arnoud

Waarom moeten robots rechten krijgen?

Geplaatst op in Innovatie, 14 reacties

Geef robots alsjeblieft geen aparte juridische status, las ik bij NRC Handelsblad. In een open brief waarschuwen 150 prominente onderzoekers op het gebied van robots, kunstmatige intelligentie en rechtsgeleerdheid de Europese Commissie. Het argument om robots rechtspersoonlijkheid te geven hoor ik vaker de laatste tijd. Het zou aansprakelijkheidsproblemen oplossen, ethische dilemma’s kortsluiten en een belangrijke stap voorwaarts zijn in de volwassenwording van de Vierde Revolutie van onze samenleving. U hoort aan de ietwat sarcastische toon dat ik dat niet helemaal zie.

Recent nam het Europees Parlement een resolutie aan, waarin onder meer de aanbeveling stond:

Creating a specific legal status for robots in the long run, so that at least the most sophisticated autonomous robots could be established as having the status of electronic persons responsible for making good any damage they may cause, and possibly applying electronic personality to cases where robots make autonomous decisions or otherwise interact with third parties independently;

Door robots rechtspersoonlijkheid te geven (zeg maar net zoals een bv of een vereniging dat heeft) kunnen zij zelf rechtshandelingen verrichten, geld bezitten en aansprakelijkheid dragen voor schade of wanprestatie. Daarmee los je, op papier dan, een hoop problemen op. Immers als er schade is, dan heb je nu een rechtspersoon bij wie je de claim kunt neerleggen. Alle bestaande regels over aansprakelijkheid, toerekenbaarheid et cetera gelden automatisch, en we hebben 100 jaar jurisprudentie om die regels toe te passen op een rechtspersoon.

De onderzoekers dragen hier een aantal stevige bezwaren tegen aan. Allereerst vind ik een mooie dat je hiermee robots zwaar overschat. Er loopt nog lang geen Daneel Olivaw door de straten om de stoep te vegen of een medische behandeling uit te voeren. Het soort robots dat we wel hebben, is zo basaal en beperkt dat het altijd evident is welke mens of welk bedrijf erachter zit, en het ook zeer logisch is om díe dan gewoon aansprakelijk te houden.

Nog sterker vond ik het tweede argument: als je iemand een (rechts-)persoon maakt, geef je hem ook rechten, en wat betekent dát dan?

A legal status for a robot can’t derive from the Natural Person model, since the robot would then hold human rights, such as the right to dignity, the right to its integrity, the right to remuneration or the right to citizenship, thus directly confronting the Human rights. This would be in contradiction with the Charter of Fundamental Rights of the European Union and the Convention for the Protection of Human Rights and Fundamental Freedoms.

Die laatste zin lijkt te zeggen dat mensenrechten aan robots geven in strijd is met de mensenrechten voor mensen, wat ik niet helemaal volg. Maar het eerste punt zie ik wel: als je een robot rechtspersoonlijkheid geeft, mag je hem niet meer uitzetten als dat in het belang van mensen is. Dat is dan immers zeg maar moord. Ook zou je niet zomaar meer ín de robot mogen kijken zonder medische behandelovereenkomst (herstelovereenkomst?). Ja, dat krijg je er van als je 100 jaar standaardregels op een nieuwe situatie plakt.

Hoe het dan wel moet, laten de onderzoekers een beetje in het midden. Er moet goed over nagedacht worden en zonder vooringenomenheid naar een oplossing worden gestreefd. Daar kan niemand het mee oneens zijn, maar opschieten doet het natuurlijk ook weer niet. Toch maar dat aansprakelijkheidsfonds?

Arnoud

Mag je bij ontslag je zakelijke laptop geformatteerd inleveren?

Geplaatst op in Ondernemingsvrijheid, 12 reacties

Wanneer je als werknemer op non-actief wordt gesteld, moet je op verzoek je telefoon en laptop inleveren. Dat deed een werknemer in deze rechtszaak dan ook, zij het dat hij alle data van de laptop en bijbehorende externe schijf had gewist. Dat was voor zijn privacy gaf hij aan, maar de werkgever zag dat als vernieling van bedrijfsgegevens, omdat niet de gehele laptop automatisch werd gebackupt door het bedrijf. Daarom werd ontslag op staande voet uitgesproken. Een complicatie: de laptop was ooit privé gekocht en er stonden dus ook privébestanden en -software op. Hoe daarmee om te gaan?

De werknemer was in 2015 in dienst getreden bij het bedrijf in de functie van developer/marketingmedewerker. Helaas blijkt uit het vonnis niet waarom, maar in oktober 2016 werd hij op non-actief gesteld. Hij heeft op 12 november 2016 zijn leaseauto en laptop ingeleverd en op 2 december 2016 zijn telefoon en externe harddisk. Die bleken vervolgens alleen volledig geformatteerd, zodat volgens het bedrijf “werkaantekeningen, gespreksverslagen met klanten en derden, ontwerpen voor software en mogelijk door u reeds gemaakte software” verloren zou zijn gegaan omdat er geen automatische dagelijkse backup van de gehele laptop werd gemaakt. Reden voor ontslag op staande voet.

Kan dat zomaar? Voor staande voet gelden strenge eisen, omdat het héle zware consequenties heeft voor de werknemer. Je verliest immers je recht op een uitkering en je krijgt geen vergoeding mee. Dan moet er wel iets heel serieus gebeurd zijn. Aan de werkgever dus om te bewijzen wat er misgegaan is en waarom dat zó erg is dat de werknemer deze keiharde sanctie moet ondergaan.

En dat gaat natuurlijk meteen al mis: wat er op die laptop stond, dat weet je natuurlijk niet als je hem geformatteerd terugkrijgt. Omkeren van de bewijslast zou betekenen dat de werknemer moet bewijzen dat er géén bedrijfsgevoelige informatie op de laptop stond, wat nóg lastiger is. En dat is helemaal niet eerlijk als het gevolg van dit te bewijzen punt is dat je ontslag op staande voet krijgt. Daarom krijgt de werkgever dit in het gezicht terug.

De achterliggende reden voor het formatteren leest als plausibel. De werknemer had de laptop in eerste instantie privé aangeschaft en toen gebruikt voor het werk. Logisch dus dat er ook privébestanden en software op stond, en ik begrijp het als hij zegt, als de arbeidsrelatie verslechtert dan wil ik zeker weten dat de werkgever daar niet aan gaat komen. Ook lijkt het onwaarschijnlijk dat er werkelijk zeer gevoelige en unieke informatie op die laptop stond:

Volgens [verweerder] stond op zijn laptop software die hij zelf had aangeschaft (Office, Photoshop en Coda) en heeft hij geen software van [werkgever] gekregen. Hij heeft eenmalig geprobeerd om op zijn eigen laptop, dus lokaal te werken, maar dat is niet gelukt. [verweerder] heeft ter onderbouwing van dit betoog verwezen naar een e-mail van [collega van verweerder] van 7 maart 2017, waarin is bevestigd dat niemand in het team een lokale werkomgeving had, behalve [collega van verweerder] zelf.

Uiteindelijk blijft er dan ook niets over van vermeende kwade bedoelingen van de werknemer, en de verslechterde arbeidsrelatie geeft dan ook reden voor de werknemer om te vrezen voor zijn privacy. Daarom mocht hij deze formatteeractie uitvoeren. Van het staande-voet-ontslag blijft dus niets over, en de werknemer krijgt een slordige 10.000 euro aan ontslagvergoeding mee.

Arnoud