Wanneer moet je nou met iemand een verwerkersovereenkomst sluiten?

Geplaatst op in Privacy, 36 reacties

Het begint dagelijkse kost te worden voor veel organisaties: of je even een verwerkersovereenkomst wilt tekenen, want de AVG komt eraan en die eist grote zorgvuldigheid en compliance et cetera. Wat me daarbij opvalt, is dat die overeenkomsten opgedrongen worden aan allerlei partijen die überhaupt geen verwerkers zijn. Dat geeft hoogst merkwaardige spraakverwarring. Maar het iemand laten tekenen van een verwerkersovereenkomst is iets dat je kunt doen om AVG compliance aan te tonen, dus zullen er verwerkersovereenkomsten worden getekend. Tegen beter weten in dan ook vandaag, wanneer is iemand nou een verwerker?

De positie van een verwerker onder de AVG is in theorie heel simpel. Dat is een partij die door de verantwoordelijke is ingeschakeld om bepaalde dingen te doen met persoonsgegevens. De verantwoordelijk bepaalt daarbij wat er uiteindelijk moet gebeuren en hoe (“doel en middelen”, in de AVG terminologie), zij het dat de verwerker wel enige ruimte heeft om dit praktisch in te vullen.

Een simpel voorbeeld van een verwerker is een clouddienstverlener die jouw klantgegevens online opslaat. Jij kiest voor die clouddienst en welke gegevens je daar opslaat, de praktische invulling daarvan laat je aan de dienstverlener. Die is dus een verwerker. Géén verwerker is een clouddienst zoals Facebook, omdat die zelf bepaalt welke gegevens ze willen hebben en wat ze daarmee doen.

Natuurlijk zit je vaak met grijze gevallen. Zo’n clouddienst kan die klantgegevens gebruiken voor eigen “kwaliteitsdoeleinden”, of zelfs reclameprofielen opbouwen van die klanten en daar gerichte reclame aan tonen. Dan verschuift die dienstverlener van een zuivere verwerker toch meer richting een eigen verantwoordelijkheid. Er zijn helaas niet echt harde regels om hier een algemene scheidslijn in te trekken.

Ik heb een tijdje terug een advieswizard gemaakt die probeert met een aantal vragen een inschatting te maken. Dat werkt beter dan vage passages zoals in de Handleiding AVG van de Rijksoverheid, met daarin

Wanneer de verwerking van persoonsgegevens niet uw primaire opdracht is, maar het een uitvloeisel is van een andere vorm van dienstverlening, dan bent u als dienstverlener zélf de verwerkingsverantwoordelijke voor deze verwerking.

Hierdoor gaan mensen dus denken dat een clouddienstverlener of IT-supportbedrijf geen verwerker is omdat het gebruik van persoonsgegevens een “uitvloeisel” is van de echte opdracht. Er is niet één vuistregel, één formule om dit te bepalen. Je moet kijken naar alle factoren bij elkaar, en zo inschatten hoe veel eigen ruimte de dienstverlener heeft om te bepalen wat hij doet.

In ieder geval sluit je géén verwerkersovereenkomst met

  1. Je personeel. Die zijn immers gewoon deel van je eigen organisatie.
  2. Je vrijwilligers en ingehuurde krachten. Die vallen onder het kopje “personen onder gezag” van jouw organisatie en zijn dus geen verwerkers.
  3. De personen wiens persoonsgegevens je verwerkt. Ja, dit wordt geëist.
  4. Bedrijven die contactgegevens van jouw personeel in hun CRM systeem stoppen. Dat doen ze immers voor hun eigen bedrijfsvoering.

Overigens zou de verwerkersovereenkomst eigenlijk afgeschaft moeten worden, maar dat een andere keer.

Arnoud

Ook in de VS mag je garantie niet laten vervallen bij het prutsen aan een apparaat

Geplaatst op in Ondernemingsvrijheid, 2 reacties

De Amerikaanse markttoezichthouder FTC heeft de “warranty void if seal is broken” stickers als ongeldig aangemerkt, las ik bij Ars Technica. Elektronica wordt vaak standaard met zo’n sticker verkocht, of met een beperking in de garantievoorwaarden dat je nergens aanspraak op kunt maken als je zelf aan het apparaat prutst of er mee naar een ongeautoriseerd herstelpunt gaat. Maar dat is in strijd met de Amerikaanse wet, aldus de FTC. Je mag als bedrijf deze uitzondering niet opnemen in je garantievoorwaarden, en je misleidt de consument door dan toch zulke afschrikkende taal te gebruiken. Daarmee zou de Amerikaanse praktijk opschuiven naar hoe het bij ons is.

In de VS geldt sinds 1975 specifieke consumentenwetgeving over garanties. Je bent niet verplicht een product met garantie (wat wij “conformiteit” zouden noemen) te verkopen, maar je moet er wel bij zetten wát voor garantie je levert. Dat mag dus gaan van “AS IS with all faults” tot “levenslang onbeperkt herstel of vervanging”, zolang je het maar uitlegt.

Er gelden een aantal beperkingen, en de beperking waar de FTC nu op inzoomt is deze:

No warrantor of a consumer product may condition his written or implied warranty of such product on the consumer’s using, in connection with such product, any article or service (other than article or service provided without charge under the terms of the warranty) which is identified by brand, trade, or corporate name.

In gewone taal: je mag niet zeggen dat de garantie alleen geldt wanneer je een bepaald specifiek product of specifieke dienstverlener daarvoor inzet. Het is dus niet legaal om te zeggen dat je alleen garantie hebt als je teruggaat naar de originele leverancier of een aangewezen servicepunt, of dat je garantie vervalt als er onderdelen van willekeurige derden als vervanging worden gebruikt. Ook die sticker “void if broken” is daarmee verboden: dat schrikt immers herstel door willekeurige derden af, en komt dus impliciet neer op een voorwaarde dat je naar de leverancier zelf terug moet.

In Europa kennen we niet zo’n expliciete bepaling maar effectief komt onze conformiteitswetgeving op hetzelfde neer. Een winkel die een product verkoopt, moet zorgen dat het product voldoet aan de redelijkerwijs gewekte verwachtingen. Haalt het product die niet, dan moet dat gratis worden hersteld of vervangen. Dat er elders in het product onderdelen van derden zijn gebruikt, of dat het product eerder is hersteld door een ander, mag daarbij geen probleem zijn.

De enige uitzondering is natuurlijk als het conformiteitsprobleem komt door dat onderdeel of door het (ondeskundig) herstel door die ander. Dan is het immers geen gebrek aan het apparaat zols het is verkocht. Dus als je telefoon niet meer belt, mag dat niet worden afgewezen omdat er een scherm is verwisseld door de GSM-boer op de hoek, maar wel als het probleem is dat het scherm niet goed aanraakgevoelig meer is. Idem voor custom roms en eigen software, zeg ik er gelijk even bij, hoewel het daar lastiger kan zijn om aan te wijzen wat waar dan nog door veroorzaakt wordt.

Helaas blijkt dat stickers en teksten als deze hardnekkig zijn. Ik denk dat dat komt omdat het in de VS een staande praktijk is, en de rest van de wereld immers altijd mee mag genieten van de Amerikaanse invulling van wetgeving. Daarom is het significant dat de FTC deze stap neemt, want Amerikaanse bedrijven zullen (hoop je) dan die sticker weghalen en daar profiteren wij dan ook van.

Arnoud

Natuurlijk is die Facebook tracking pixel hartstikke illegaal onder de AVG (tenzij je toestemming vraagt)

Geplaatst op in Privacy, 23 reacties

Zorgverzekeraars die gegevens van hun websitebezoekers met behulp van een tracking-pixel naar Facebook verstuurden, overtraden mogelijk de wet. Dat zegt de Autoriteit Persoonsgegevens tegenover Nu.nl. Met deze pixel houdt het bedrijf bij welke pagina’s je zoal leest, om je dan op Facebook gerichte reclame te kunnen tonen. Dat ligt dan gevoelig als die pagina’s medische gegevens over jou bevatten, wat natuurlijk gebeurt als je bij je zorgverzekeraar of ziekenhuis rondklikt. Heel verbazingwekkend zou dat niet moeten zijn – dergelijke pixels vallen immers gewoon onder de cookiewet, en er wordt zelden toestemming gevraagd zoals het hoort. Plus, je hebt een grondslag nodig voor deze bijzondere persoonsgegevens en ook dat gaat mis.

Het komt natuurlijk vooral in het nieuws omdat het gaat om Facebook, maar uiteindelijk is het gewoon een punt (haha): als je mensen gaat tracken en je doet dat over meerdere sites heen, dan moet daar gewoon toestemming voor gegeven zijn. Allereerst omdat het gaat om informatie die je bij iemand opslaat – cookiewet – en daarnaast ook omdat het een nogal invasieve verwerking van iemands persoonsgegevens is – Wbp/AVG. Bij dat tweede is soms nog te verdedigen dat je kunt werken onder een eigen gerechtvaardigd belang, maar dat houdt heel snel op als het gaat om third-party tracking over meerdere sites heen.

De Facebook pixel is technisch een niet zo ingewikkelde constructie. Een website-eigenaar neemt een code op van Facebook, waarmee een plaatje van 1×1 pixel wordt opgenomen in zijn site. Dit plaatje komt van Facebook, en men kan vervolgens informatie uitlezen van de browser waarmee het plaatje wordt opgehaald. Maar de pixel doet meer: hij kijkt of je ingelogd bent bij Facebook, en slaat dan informatie over de pagina op bij je Facebook-interesseprofiel. Vervolgens kan de eigenaar van die site op Facebook je reclame tonen voor deze site (“retargeting”).

Dit noemen we profileren onder de AVG, en het is natuurlijk een vorm van verwerken van persoonsgegevens. Daarom is daarop (vanaf 25 mei) de AVG van toepassing. Die zegt dat toestemming nodig is voor deze vorm van tracking. Bovendien geldt op deze pixel de cookiewet, want de pixel is immers informatie die wordt opgeslagen op de computer van de bezoeker terwijl die informatie niet technisch noodzakelijk is voor de website. En ook die wet eist dan toestemming. En als triple whammy hebben we het specifiek hier nog eens over bijzondere persoonsgegevens (immers over gezondheid).

Ik zie dus geen manier om dit legaal te doen, tenzij je als website-eigenaar toestemming vraagt voor het mogen plaatsen van deze pixel en daarbij uitlegt dat het doel is om op Facebook gerichte reclame te kunnen doen. Oh, en die toestemming moet te weigeren zijn zonder dat je van de site geweerd wordt.

Arnoud

Wat is nu echt het juridisch nut van de blockchain?

Geplaatst op in Innovatie, 10 reacties

De blockchain afserveren als een hype, het begint op zichzelf een hype te worden volgens mij. Maar ergens wel terecht: als iets ondertussen de oplossing voor alles begint te worden, dan moet je daar ook kritisch tegenover kunnen staan: wat is dan nu echt het nut van die blockchain? Het systeem is technisch zeer vernuftig en bitcoin was een heel goed idee, maar wie deze blog volgt weet dat ik de overige toepassingsgebieden niet perse nuttig vindt. En na deze rant wordt het tijd daar ook eens juridisch op te reflecteren.

Eerste en lastigste vraag is wat mensen nu precies bedoelen als ze “de blockchain” zeggen. De meest gehoorde omschrijving is dat het een gedistribueerd grootboek is, wat dan wordt gezegd alsof iedereen wel eens zo’n administratieve verzamelmap met documenten in de hand heeft gehad. Iets praktischer is “multiple copies of a giant Excel spreadsheet”, maar ik geef toe dat dat in je investeringspitch iets minder sjiek staat. Maar in de kern is het dat wel – een registratie van transacties, waarbij er niet één authentiek origineel is maar een hoop mensen elk een kopie hebben en middels consensus vaststellen of een nieuwe transactie klopt met de geregistreerde geschiedenis.

Er zit een heleboel technologie achter om dit te laten werken, vervalsingen tegen te houden en mensen te stimuleren hieraan mee te werken (zoals het minen of delven van bitcoins, in dat blockchainsysteem). Maar uiteindelijk gaat het daar niet om. De kern is dat je het idee van een centrale autoriteit of een authentiek origineel loslaat en in plaats daarvan consensus over de administratie haalt bij een grote groep mensen. Gedistribueerde consensus in plaats van autoriteit. Grote voordeel daarvan is dat die grote groep mensen veel lastiger (of eigenlijk onmogelijk) te manipuleren is om informatie aan te passen.

Nu is het natuurlijk een probleem dat registraties van van alles en nog wat aan te passen zijn als je niet uitkijkt. Foutjes worden overal gemaakt, en beheerders kun je omkopen, bedreigen en wat al niet meer. Het blockchainsysteem voorkomt dat inderdaad. Maar dan dringt zich de vraag op, is dat voordeel zo veel groter dat we over moeten stappen?

In de juridische wereld kennen we dat probleem natuurlijk al veel langer. En er zijn dan ook al lang oplossingen voor bedacht, zoals de notaris die als taak heeft als vertrouwde derde te fungeren. Als de notaris het zegt, dan is het waar (art. 156 Rechtsvordering). Idem voor bijvoorbeeld de constatering door een deurwaarder, of de registratie bij het Kadaster van perceelgrenzen. Natuurlijk zitten hier zwakke punten, in theorie is een notaris omkoopbaar of te foppen, maar dit is uiterst zeldzaam en vrijwel altijd te detecteren als het toch speelt. Het voelt dan wat zwaar om dat hele systeem af te schaffen.

Daar komt bij dat de blockchain net als elk nieuw systeem last heeft van het rewrite syndrome. Laten we het opnieuw bouwen, want het huidige systeem is rommelig, oud en zit vol met rare constructies waarvan we de helft niet snappen. Dit is een bekende reflex bij software-ontwikkelaars, en het is zeer begrijpelijk maar het probleem is dat dat oude systeem zo rommelig en raar is omdat het tien jaar aan bug fixes en ondersteuning voor randgevallen heeft meegekregen. Dat nieuwe systeem wordt dan strak en fris opgezet en blijkt vervolgens al die randgevallen en bugs niet te kunnen adresseren, wat dan de komende tien jaar weer allemaal opnieuw toegevoegd moet worden.

We hebben het hier dan over juridische randgevallen. Zaken waarover geen consensus is, moet je niet met een consensusmechanisme beslissen. Neem de situatie dat iemand met een ernstige ziekte een grote transactie doet. Het is goed denkbaar dat dat niet de bedoeling was, en dat die dus teruggedraaid moet worden. In het oude systeem ga je dan naar de rechter, die toetst aan redelijkheid, billijkheid en verwachtingen over en weer en hakt dan een knoop door. Zulk maatwerk krijg je niet in een blockchainsysteem geïmplementeerd. Dat systeem kent alleen de binaire optie dat het klopt en de optie dat het niet klopt.

Natuurlijk, dit is een randgeval en de overgrote meerderheid van de gevallen zijn prima te automatiseren. Maar als ik één ding heb geleerd van het recht, dan is het wel dat iedere situatie een uitzondering of randgeval kent en dat het recht al zesduizend jaar lang daar rekening mee probeert te houden. Dát lijkt me de grote uitdaging voor de blockchain.

Arnoud

Hoe kan Facebook legaal gezichten gaan scannen onder de AVG?

Geplaatst op in Privacy, 10 reacties

Als voorbereiding op de AVG gaat Facebook gezichtsherkenning aanzetten voor Europese gebruikers die dat willen, las ik bij de socialenetwerksite. Dat is verrassend, omdat ze het in 2011 uitgezet hadden na klachten dat de (Duitse) Wbp werd overtreden met deze feature. Doel van de nieuwe feature is te zorgen dat mensen in kunnen grijpen als hun gezicht ergens op Facebook opduikt, waarvoor gezichtsherkenning best wel nodig is.

De status van portretfoto’s onder de privacywet is lange tijd nogal punt van discussie geweest. Wanneer iemand herkenbaar in beeld is, dan is die foto een persoonsgegeven, daar is iedereen het wel over eens. Maar aan een foto kun je vaak ook dingen zien die als bijzonder persoonsgegeven aan te merken zijn, zoals iemands etnische afkomst of medische aandoeningen. Daarmee zouden portretten onder de strengste regels van de privacywet vallen, en dan gaan allerlei dingen mis.

De AVG kiest een compromis. Een foto van een mens is een persoonsgegeven, maar wordt pas een bijzonder persoonsgegeven als de foto wordt gemaakt of gebruikt met het oog op identificatie. De pasfoto op een toegangspas is dus een bijzonder persoonsgegeven, een sfeerfoto van een receptie is dat niet. (Het portret van het bruidspaar op de receptie denk ik dan weer wel, we willen immers weten wie er 50 jaar getrouwd waren. Maar die foto valt dan weer onder de uitingsvrijheid en daarmee buiten de AVG.)

Gaat zo’n sfeerfoto op Facebook, dan is dus een gewone verwerking. Je kunt je afvragen of dat dan valt onder het eigen gerechtvaardigd belang van de uploader, namelijk zijn uitingsvrijheid, of dat er toestemming nodig is van de geportretteerde. Maar wat Facebook vervolgens doet is problematisch: gezichtsherkenning om de personen op de foto te melden dat die foto geupload is, zodat ze daar bezwaar tegen kunnen maken.

Nu zegt Facebook dat ze dit alleen doen als je daarmee instemt:

If you choose to opt in then you will have access to the following features:
– We’ll let you know when someone else uploads a photo of you as their profile picture. We’re doing this to prevent people from impersonating others on Facebook.
– You’ll hear from us if you’re in a photo and are part of the audience, even if you haven’t been tagged. You can choose whether to tag yourself, leave yourself untagged, or reach out to the person who posted the photo if you have concerns about it.

En ik geloof onmiddellijk dat ik geen berichten ga krijgen hierover tenzij ik de feature aanzet. Maar in de praktijk betekent dit volgens mij dat ieder gezicht op iedere foto gescand en herkend wordt, inclusief dus personen die daar nog geen toestemming voor hebben gegeven. En dat zou een probleem zijn, want in die situatie werkt Facebook dus met bijzondere persoonsgegevens zonder uitdrukkelijke toestemming.

Misschien dat ze alleen screenen op features van gezichten van personen die die toestemming wel gaven. Dan worden andere personen dus niet herkend, en dan is het denk ik wel legaal. Dit voelt alleen erg inefficiënt, en bovendien kun je dan oude foto’s van mensen die later toestemming geven niet verwerken. Dus ik denk niet dat dit het gaat zijn.

(En terzijde: het portretrecht komt dus te vervallen vanaf 25 mei, afgezien van het verzilverbaar portretrecht voor bekende personen.)

Arnoud

Is wifi op de camping standaard of een aparte dienst?

Geplaatst op in Ondernemingsvrijheid, 17 reacties

Hoort het aanbieden van wifi op de camping aan gasten bij de dienst van verblijf zelf, of is het een aparte dienst? Met die vraag zag de rechtbank Gelderland zich recent geconfronteerd in een belastingzaak. Ja, dit is relevant voor de belasting omdat er verschillende btw-tarieven gelden voor losse diensten bovenop logies en voor de logies zelf. Het maakt daarbij niet uit of je het apart verkoopt, als het immers eigenlijk bij de dienst inbegrepen zit dan moet hetzelfde btw tarief daarop gelden. TL;DR: wifi is een essentieel en niet van vakantieverblijf los te ziene dienst bij een vakantiepark.

De gedaagde in deze zaak exploiteert een vakantiepark met woningen en plekken voor tenten en stacaravans. Wie toegang tot het internet wilde, moest apart betalen en kreeg vervolgens een wificode. In de praktijk bleek zo’n 70 à 80% van de mensen deze code af te nemen, en de eigenaar deed dan ook aangifte btw tegen het lage tarief voor deze aparte dienst. De Belastingdienst zag dat anders, internet is gewoon deel van de dienst van het verblijven in het park en daarom had er gewoon 21% btw op moeten zitten.Update: Pardon, zoals in de comments gezegd: “De belastingdienst vond het een losse dienst en vond dat het daarom belast moest worden met 21% BTW en niet met 6% BTW die over de verhuur van de huisjes werd geheven.”

Niet verbazingwekkend zijn er stapels jurisprudentie over de vraag wanneer iets een los extraatje is en wanneer deel van het origineel. De stand van zaken is kortweg als volgt:

Er is onder meer sprake van één prestatie indien een of meer elementen moeten worden geacht de hoofdprestatie te vormen, terwijl een of meer andere elementen moeten worden beschouwd als een of meer bijkomende prestaties, die het fiscale lot van de hoofdprestatie delen. Een prestatie moet in het bijzonder als bijkomend bij een hoofdprestatie worden beschouwd, wanneer zij voor de klanten geen doel op zich is, maar een middel om optimaal gebruik te kunnen maken van de hoofdprestatie van de dienstverrichter.

Heel gechargeerd is de vraag dus, hoe belangrijk is internet op de camping. Ik vermoed dat een aantal lezers nu gelijk wil roepen dat “je naar de camping gaat voor je rust” of “je hebt toch een 4g dongel bij je”, maar er blijkt zowaar onderzoek te zijn op dit gebied (van de ANWB) waaruit:

blijkt dat 99% van de kampeerders online gaat en 82% zelfs dagelijks. Drie op de vier ondervraagden vinden internet op de camping net zo vanzelfsprekend als een goed elektriciteitsnet.

En dat gaat dan over mensen in tenten, caravans én huisjes. De rechtbank in deze zaak vindt het daarmee nog zwaarder wegen voor huisjeshuurders, omdat die immers meer luxe verwachten dan tentkampeerders.

Naar het oordeel van de rechtbank moet geconcludeerd worden dat wifi inmiddels zo gewoon en algemeen is geworden, en ook in de jaren 2014 en 2015 al was, dat niet gezegd kan worden dat de wifi voor de klant een doel op zich is, zo min als andere bijkomende diensten als stromend water, elektriciteit en een televisie dat zijn. Aannemelijk is dat het ontbreken van de mogelijkheid van wifi zal leiden tot minder boekingen en dat spiegelbeeldig de aanwezigheid van wifi eraan bijdraagt dat optimaal gebruik kan worden gemaakt van het verblijf in de vakantiewoning.

Vanuit die conclusie is het dan ook onvermijdelijk dat de kosten voor wifi onder hetzelfde tarief vallen als het vakantieverblijf zelf. Belastingtechnisch is wifi op vakantie dus essentieel. U mag nu gaan mopperen dat in uw tijd je al blij mocht zijn met stromend water en/of een gat in de grond als wc.

Arnoud

Googles gebruik van de Java API is nu toch weer geen fair use

Geplaatst op in Intellectuele rechten, 13 reacties

Googles gebruik van de Java API packages is geen fair use, las ik bij ITenRecht. Dit is de vierde stap in hoger beroep van de Google/Oracle rechtszaak over auteursrecht op de Java API die al enige jaren loopt. In eerste instantie bleek de API niet beschermd, in hoger beroep wel, toen bleek Googles gebruik een fair use en nu dus weer niet. Waar staan we nu met deze zaak?

De centrale kwestie is of Google de API van de taal Java van een eigen implementatie mag voorzien, om zo Java-compatibel te worden zonder een licentie van Oracle nodig te hebben. Dat kan alleen als op de API zelf geen auteursrecht rust, of als het gebruik van Google onder de Amerikaanse noemer van “fair use” gerechtvaardigd is.

In de eerste serie rechtszaken ging het om de vraag of er of de API auteursrecht rust. Een API is op zich een set creatieve keuzes (welke functie doet wat, hoe heet hij en welke variabelen zijn relevant), maar er zit ook een sterke technische component in. Daarom bepaalde de rechtbank in eerste instantie dat er geen sprake was van (Amerikaans) auteursrecht. In hoger beroep werd dat teruggedraaid, omdat weliswaar de functies zelf technische dingen doen, maar de keuze voor wélke functies en hoe dat te organiseren voldoende creatief te noemen is.

Heb je auteursrecht op een API, dan mogen anderen die dus niet gebruiken zonder een licentie. Echter, in Amerika geldt de algemene uitzondering van “fair use”: alle zeg maar legitieme, normale vormen van gebruik zijn legaal. Daarbij wordt een vierstappentoets langsgelopen waarbij zaken als de hoeveelheid overgenomen werk, de mate van aanpassing/transformatie en de aard van het werk meegewogen worden. Met deze open norm is in principe alles als “fair” aan te merken als je maar hard genoeg je best doet, maar er zit ook het nadeel aan dat je het nooit zeker weet tot de rechtbank er wat van gevonden heeft.

In het vervolg van de zaak beriep Google zich natuurlijk op fair use. Kern van het argument is dat als iemand een API maakt, het de bedoeling is dat mensen moeten weten wat deze kan. Daar een applicatie op schrijven is dan gewoon legitiem, normaal, zeker als je het argument interoperabiliteit meeweegt. Daar staat tegenover, aldus Oracle, dat Google met deze gratis weggegeven herimplementatie de hele markt voor de betaalde Java-licentie ondermijnde en vanwege de gigantische marktmacht van Google zou dat een enorme impact hebben op Oracle.

De rechtbank (en de jury) gaf Google gelijk, maar Oracle ging in hoger beroep. En nu wordt het even complex, want in de VS geldt een strikte scheiding tussen wat juries mogen zeggen en wat het primaat van de rechter is. De jury beslist wat de feiten zijn, de rechter past het recht toe. En bij fair use is dat ingewikkeld, omdat je daarbij feiten juridisch kwalificeert. Het Hof in hoger beroep moet dan ook de feiten en de juridische analyse uit elkaar trekken en vooral op die laatste gaan schieten.

Uiteindelijk weegt dan de vierde factor – het effect op de markt voor het origineel – het sterkste: Googles herimplementatie geeft een grote impact op de betaalde licentiemarkt voor Java (zelfs als je de open implementatie van Oracle zelf erbij betrekt), en daarmee blokkeert men eigenlijk de mogelijkheden voor Oracle compleet om geld te verdienen met haar werk. En iets waarmee de rechthebbende volledig met lege handen komt te staan, kan niet fair use zijn.

In Europa ligt het compleet anders. In de SAS-zaak werd bepaald dat de functionaliteit, de programmeertaal en de bijbehorende bestandsformaten geen deel van de beschermde code zijn, maar meer achterliggende ideeën of uitgangspunten waarmee je die code maakt. Zoals het Hof het formuleerde:

… neither the functionality of a computer program nor the programming language and the format of data files used in a computer program in order to exploit certain of its functions constitute a form of expression of that program and, as such, are not protected by copyright in computer programs for the purposes of that directive.

Hiermee zou een API dus wél vrij bruikbaar zijn omdat het dan enkel gaat om de functionaliteit die in de API ligt. Het ging in de SAS-zaak om het gebruik van een programmeertaal waarop auteursrecht werd geclaimd. Het schrijven in die taal zou dan inbreuk opleveren, omdat een programma in die taal immers de beschermde functionaliteit aanroept. En dát wijst het Hof van Justitie af. Dit lijkt mij 1-op-1 door te trekken naar API’s van een programma. Immers wat is het verschil tussen een instructie in een taal en een aanroep van een API?

Arnoud

Ook bij juwelen is bewijs van verzending geen bewijs van ontvangst

Geplaatst op in Ondernemingsvrijheid, 14 reacties

Wanneer een juwelier een dure ring per post verstuurt, en de envelop komt leeg aan, dan is dat zijn risico. Dat haal ik uit een recent arrest uit Den Bosch inzake een geschil tussen een Nederlandse webwinkelier en een Duitse consument. Die laatste had de ring via de website Catawiki gekocht, maar constateerde (samen met de postbode) dat het pakket beschadigd was aangekomen. De consument eiste daarop terugbetaling van de koopsom, wat de juwelier weigerde omdat hij dit risico koper vond.

De kern van het verhaal is vrij simpel:

Toen de postbode de envelop op 10 oktober 2015 kwam bezorgen en [appellant] niet aanwezig was, heeft een medewerkster van het restaurant van [appellant] de ontvangstbevestiging ondertekend. Direct daarna kwam [appellant] binnen en hij heeft de ongeopende envelop, die erg dun aanvoelde, meteen geopend in aanwezigheid van de postbode en vastgesteld dat er niets in de envelop zat. [appellant] heeft toen op de envelop geschreven: “‘kein Inhalt vorhanden”.

Die boodschap werd door de postbode bevestigd met een handtekening. De envelop is vervolgens retour afzender gestuurd. Daarmee zou vast moeten staan dat er een lege envelop aangekomen is, waarbij we redelijkerwijs wel mogen vermoeden dat de ring er bij verzending wel in zat omdat op het verzendbewijs het gewicht van de zending vermeld stond en dat was meer dan een lege envelop zou wegen.

Zowel in Duitsland als in Nederland geldt bij aankopen door consumenten de vrij simpele regel dat het risico van kwijtraken in de verzending voor rekening van de zakelijke afzender komt. Daarmee is de zaak dus vrij snel klaar, de juwelier heeft de ring niet bezorgd en dus moet de aankoopprijs teruggestort.

Een heel klein puntje voor de juwelier is dat de consumentkoper niet had geklaagd bij de verkoper toen hij de lege envelop kreeg, maar deze gewoon retour afzender stuurde met die tekst erop. Dat is niet de meest effectieve manier van reclameren. Maar uiteindelijk maakt dat niet uit, want het risico blijft ook dan gewoon bij de juwelier liggen.

Waarom je als bedrijf een ring van tweeduizend euro per post stuurt en kennelijk zonder verzekering, is me verder een raadsel.

Arnoud

Goh, lawyerbots zijn beter dan juristen in het lezen van saaie juridische documenten

Geplaatst op in Informatiemaatschappij, 6 reacties

Alweer ietsje langer geleden maar toch: in een ‘wedstrijd’ tussen een lawyerbot van het Israëlische LawGeex en twintig Amerikaanse advocaten bleek de eerste een stuk beter in staat om juridische fouten in NDA’s en andere documenten te vinden. Om precies te zijn: de AI was 94% accuraat waar de mensen rond de 85% scoorden. Dit is natuurlijk nieuws omdat het de eerste wedstrijd in deze soort is, maar verbaast het echt dat een computer beter dingen kan vinden in een document dan mensen?

Je kunt natuurlijk aan alle kanten vraagtekens zetten bij het onderzoek (je bent professional issue spotter of je bent het niet). Hoe definieer je accuratesse, bijvoorbeeld? Is er werkelijk een objectieve gouden standaard van ‘fouten’ in een contract, of is dat wezenlijk een subjectieve inschatting waar twee juristen legitiem andere opvattingen over kunnen hebben bij dezelfde casus? Als ik iets laat staan omdat ik weet dat het praktisch gezien nooit speelt, en de AI het als fout signaleert omdat het volgens een rechtenprof in strijd is met de wet, wie heeft er dan gelijk?

Belangrijker voor mij (en de reden dat ik het eigenlijk negeerde, maar ik kreeg diverse mails erover) is echter dat dit onderzoek niets aantoont dat we niet al wisten. Een computer is haast per definitie altijd beter in het herkennen van patronen dan mensen, zeker als het steeds dezelfde soort patronen zijn over de lange termijn. Dat is bij het herkennen van vuurwapens in bagage niet anders dan het herkennen van rare clausules in juridische documenten.

Toegegeven, het bóuwen van zulke herkensoftware is niet eenvoudig. Hoe herken je effectief een juridische clausule in al zijn variaties, inclusief raar taalgebruik en fouten die al dan niet opzettelijk zijn gemaakt? Maar als het eenmaal staat, dan is het volgens mij volstrekt evident dat die het gaat winnen van iedere mens die in dat domein gaat opereren. Geen douanebeambte die een jaar lang ieder verboden artikel in bagage herkent, maar een computer gaat met dezelfde kwaliteit door totdat de stroom eraf gaat.

Dat is geen nieuws maar ook totaal niet erg – dit noemen we automatiseren van standaardwerk en het is precies waar AI binnen de legal tech voor bedoeld is. Het kan niet waar zijn dat we mensen werk willen laten doen dat net zo goed door robots gedaan kan worden. Binnen de juridische sector gebeurt dat echter veel en vaak, en hoe meer ik er over nadenk hoe raarder ik het vind. Er van dromen een vlammend pleidooi in de rechtbank te geven of keihard te onderhandelen en die droomdeal te sluiten, dat zie ik wel. Maar welke rechtenstudent droomt ervan contracten na te lopen op al dan niet onjuist gebruik van “represents and warrants” of het corrigeren van “grove nalatigheid” in “bewuste roekeloosheid?

Ik hoop dus dat berichten zoals deze vaker voorkomen, ook al bevatten ze niets nieuws. Hopelijk dringt hierdoor de boodschap door dat AI écht wat kan toevoegen in de juridische sector.

Arnoud

Licentiecodes meenemen van je werk is geen diefstal

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, Regulering, 18 reacties

Een licentiecode meenemen van je werk als je ontslag neemt, is geen diefstal of heling. Dat vonniste de rechtbank Den Haag onlangs. De verdachte in deze strafzaak had ontslag genomen en wilde kennelijk met die licentiecode goede sier maken bij de nieuwe werkgever, iets dat de oude werkgever zó ernstig vond dat men aangifte deed, en bij het OM vonden ze het ook ernstig genoeg om te vervolgen. Maar de rechtbank ziet hier geen diefstal in, omdat een licentiecode immers geen ‘goed’ is dat je kunt stelen.

De precieze reden voor het meenemen kan ik niet uit het vonnis halen, maar ik lees dat diverse werknemers tegelijk ontslag namen en bij de concurrent gingen werken. Deze werknemer had in dat verband die licentiecode voor een Amerikaans softwarepakket naar zichzelf gemaild vanaf het werk. De werkgever kwam hierachter en deed aangifte.

De verdachte werd formeel vervolgd voor het misdrijf bekendmaken van vertrouwelijke informatie (schending van bedrijfsgeheimen). Het is namelijk strafbaar om door misdrijf vertrouwelijke bedrijfsgegevens te achterhalen en bekend te maken (artikel 273 Strafrecht). Dat kan ook gaan om digitale informatie, en bij licentiecodes zie ik wel waarom je die als vertrouwelijk zou aanmerken.

Voor de rechtbank was er echter een principieel bezwaar: welk misdrijf dan? Want de verdachte was op zich gerechtigd in de computer van de werkgever die licentiecode op te vragen, dus er was geen sprake van computervredebreuk.

Je zou dan eerder van diefstal of verduistering moeten spreken, net zoals je het diefstal noemt als een werknemer legaal de kantine in gaat en een zak met koffiebonen meeneemt. Maar voor diefstal (of verduistering) is vereist dat er een ‘goed’ wordt weggenomen. En volgens de jurisprudentie kan dat alleen als het slachtoffer de feitelijke macht over die informatie verliest zodra de dader zich deze toe-eigent.

Bij objecten in virtuele werelden is voorstelbaar dat je spreekt van “feitelijke macht verliezen”. Als speler B dat zwaard te pakken krijgt van A, dan heeft A het automatisch niet meer. Idem voor zeg een bitcoin of een belminuut. Maar bij een licentiecode is daarvan geen sprake. De code is dan op twee plaatsen aanwezig, en twee partijen hebben er dan macht over. Daarom geen diefstal en dus geen strafbaar onthullen van bedrijfsgeheimen.

Op zich een logische uitkomst, zeker als je bedenkt dat de volgende Wet Computercriminaliteit dit expliciet wél strafbaar gaat stellen. A contrario redenerend doe je dat alleen als het nu niet strafbaar is, dus is het nu niet strafbaar.

Arnoud