Bitcoins minen op de computer van je baas is geen reden voor staande voet ontslag

Geplaatst op in Ondernemingsvrijheid, 15 reacties

Een systeembeheerder die op zijn werk bitcoins heeft gemined, mocht hiervoor niet op staande voet ontslagen worden, las ik bij Nu.nl. Hij had voor het winnen van de cryptovaluta een eigen unit in de serverkast op het werk geplaatst en daarmee het ICT-reglement overtreden en, aldus de werkgever, het bedrijf blootgesteld aan risico’s rond virus, hacken en gijzeling en natuurlijk diefstal van elektriciteit. Maar in zijn vonnis draait de rechtbank het ontslag op staande voet terug. Spoiler: dat komt omdat op staande voet ontslaan een zéér uitzonderlijk middel is en dus aan zeer strenge eisen onderworpen is.

De systeembeheerder was al een jaar of zes werkzaam bij het bedrijf, en hield zich daarnaast in eigen tijd bezig met het mijnen oftewel delven van bitcoins. Dat vereist veel rekenkracht en vooral ook veel elektriciteit. Op zeker moment plaatste hij een dergelijke miningmachine in de serverkast op het werk, aangesloten op het wifinetwerk voor medewerkers en natuurlijk op de stroomvoorziening voor het werk.

Dat leek niemand te werken tot een noodlottig bedrijfsetentje in 2017, want daardoor ontstond het vermoeden dat de beheerder bedrijfsfaciliteiten gebruikte voor privédoeleinden, te weten dat minen van bitcoins. Nader onderzoek leidde tot ontdekking van het apparaat in de serverkast, waarna de medewerker wegens de bovengenoemde redenen en onherstelbaar schenden van vertrouwen per direct op staande voet werd ontslagen.

Duidelijk was dat hier toch enige strijd met het personeelshandboek / ICT-reglement speelde. Weliswaar was (enig) privégebruik van dat wifinetwerk toegestaan en mocht je de eigen laptop of telefoon aan de stroom hangen op kantoor, dat betekent nog niet dat je een bitcoinminingmachine mag aansluiten op het wifinetwerk en de stroom aldaar. Iets met proportionaliteit zeg maar.

Echter, dat is niet genoeg voor een ontslag op staande voet. Dat vereist een dringende reden die zo ernstig is dat ieder redelijk mens het ermee eens zal zijn dat deze persoon per direct op straat moet staan, zonder recht op uitkering of wat dan ook. Dat is een zéér ingrijpend gevolg, zodat de lat heel hoog gelegd wordt. Toon maar aan dat het zó erg is dat je niet kunt zeggen, je bent gewoon ontslagen en die twee maanden ontslagperiode ga je maar thuis zitten.

Diefstal kan een reden zijn, maar die moet dan wel worden aangetoond. Er was geen strafrechtelijk traject opgestart, en bovendien was er nauwelijks bewijs: een hogere energierekening voor het bedrijf is natuurlijk niet genoeg om aan te tonen wat die miningmachine had verstookt aan elektriciteit.

Die gevaren van buitenaf kunnen als een vorm van onzorgvuldigheid leiden tot een dergelijke reden, maar het netwerk in kwestie was niet het zakelijk netwerk waarop gewerkt werd, maar een apart netwerk voor incidenteel privégebruik. Dat werd dan weliswaar overmatig gebruikt, maar een gevaar voor de bedrijfsvoering kan dat niet geven. Ook kan dat dus geen mogelijkheid scheppen voor enge figuren om in te breken en het bedrijf plat te gooien of te gijzelen.

Natuurlijk is het vertrouwen weg in deze systeembeheerder. Iemand die je vertrouwt het netwerk te beheren, beschaamt dat in ernstige mate door eigen apparatuur te installeren, elektriciteit aan te wenden voor energie-intensieve privédoeleinden en dat doodnormaal te vinden. Maar dat is op zichzelf niet genoeg, met name niet omdat dit het allereerste incident ooit was met deze man:

Wat in deze zaak zwaar meeweegt is dat [verzoeker] nooit eerder dergelijk gedrag heeft getoond en dat niet gebleken is dat zijn werkzaamheden er onder hebben geleden. De kantonrechter is van oordeel dat deze gemaakte fout hem niet zodanig zwaar moet worden aangerekend dat het gelet op alle omstandigheden van het geval als een dringende reden kwalificeert. Ontslag op staande voet behoort vanwege de diep ingrijpende financiële consequenties ultimum remedium te zijn. De aard en de ernst van het gedrag van [verzoeker] is niet zodanig dat, mede gelet op de wijze waarop [verzoeker] het dienstverband jaren naar tevredenheid heeft vervuld, de sanctie van ontslag op staande voet gerechtvaardigd was. [verweerster] had moeten volstaan met een minder zware sanctie dan wel het einde van het dienstverband op een andere wijze moeten zien te bereiken.

Uiteindelijk erkent de rechter wel dat de beheerder niet meer terug in dienst hoeft, los van dat hij ondertussen al elders werk had gevonden. Hij ontvangt een transitievergoeding van €8.886,16 en een schadevergoeding voor onterecht ontslag van € 9.330,47, naast achterstallig loon met rente van € 5.567,90.

Arnoud

Mag een site je laten zien of je gehackt bent?

Geplaatst op in Regulering, 7 reacties

Een lezer vroeg me:

Vorige week zette beveiligingsonderzoeker Troy Hunt meer dan 500 miljoen gelekte wachtwoorden online. Met zijn zoekmachine kun je in bijna 4,9 miljard gestolen records kijken of je credentials ooit bij een website zijn gestolen. Maar is dit wel legaal? Hij heeft nu immers een gigantische hoeveelheid gestolen gegevens in zijn bezit. Is dat heling? Ben ik strafbaar als ik dit gebruik?

Nee, je bent niet strafbaar als je via HaveIBeenPwned.com kijkt of je wachtwoord ergens gelekt is.

Het is natuurlijk strafbaar om met een gestolen of gelekt wachtwoord op andermans account in te breken. Ook als het wachtwoord ondertussen publiekelijk bekend is geworden en ook als men nalatig is met het aanpassen van het wachtwoord. Het is en blijft andermans account, en dus computervredebreuk als je daar willens en wetens op inlogt.

Het is echter ook strafbaar (art. 139d lid 2 Strafrecht) om een “computerwachtwoord, toegangscode of daarmee vergelijkbaar gegeven waardoor toegang kan worden gekregen tot een geautomatiseerd werk of een deel daarvan” voorhanden te hebben, beschikbaar te stellen of te verspreiden. Vereist is dan wel dat je dit doet met het oogmerk dat iemand er computervredebreuk mee gaat plegen (of vertrouwelijke communicatie mee gaat afluisteren).

Het is dat oogmerk waardoor Hunts site legaal is. Het doel van die site is zo evident niet om inbreken makkelijker te maken dat ik er geen seconde aan twijfel dat hier niet op vervolgd wordt. De site is opgezet om mensen te informeren en te laten checken of hun account gehackt is. Natuurlijk zou je dat met andermans mailadres of accountnaam kunnen controleren, maar het lijkt onmogelijk om enkel met een mailadres te komen tot een wachtwoord of hash daarvan.

Wie op de homepage een mailadres invult, krijgt een lijst van sites waar een account behorende bij dat mailadres is gecompromitteerd, maar geen hashes of wachtwoorden die daarbij hoorden. Je kunt ook zoeken op wachtwoord, maar dan krijg je geen e-mailadressen te zien of zelfs maar sites waar deze gelekt zijn. Ook kun je wachtwoorden downloaden als groot zipbestand, maar ook dan krijg je verder geen informatie.

Ik zie dus nergens een manier om misbruik te maken van die gegevens. En daarmee kan er geen sprake zijn van een strafbaar feit.

Arnoud

Wie gaat er nou zijn NDA’s in de blockchain stoppen?

Geplaatst op in Innovatie, 7 reacties

Powered by AI and blockchain, het nieuwe boek van Willem Vermeend en Rian van Rijbroek? Nee, de tagline van het World NDA project van het Global Legal Blockchain Consortium, blockchainprovider Integra en AI-leverancier IBM. Het project heeft als doel “the reduction of burden, cost, and risk associated with the current NDA lifecycle”, wat kennelijk betekent dat je je geheimhoudingscontracten makkelijker beheert en overziet als je ze in de blockchain hangt. Voor mij is het duidelijk, de blockchain is nu écht een hype geworden.

Ik blijf het moeilijk door marketingreutel heen te komen, maar als ik het goed begrijp dan is het idee dat je metadata van je geheimhoudingscontracten (NDA’s) in de blockchain stopt, bijvoorbeeld de namen van partijen en de datum van tekenen. Dan kan daar achteraf geen discussie over zijn. Tevens stop je de NDA zelf in de AI van IBM, waarna die kan adviseren over hoe handig het was om die te tekenen. (“Welcome IBM, seriously” zegt NDA Lynn.)

Het kennelijke idee is dat je daar makkelijk informatie in terug kunt vinden en dat er geen discussie kan zijn over de vastgelegde zaken. Wat ik dus niet snap, is waarom dat een probleem is – ik ken weinig tot geen zaken waarbij de discussie was “hadden wij nou een NDA of niet” dan wel “stond mijn naam daar onder”. Het gaat eigenlijk altijd over de inhoud en scope – valt wat hier is gebeurd onder de NDA, en in hoeverre ben ik daar voor aansprakelijk.

En ja, het klopt dat vrijwel ieder bedrijf er een zootje van maakt in hoe ze met NDA’s omgaan. Veel meer dan andere contracten; waar een beetje service agreement nog wel netjes een approvaltraject doorgaat en wordt geadministreerd inclusief alert op het verlengmoment, heb je mazzel als iemand de getekende NDA nog terug kan vinden in zijn Sent Mail van drie jaar geleden. Het is immers een fire-and-forget documentje, je moet het tekenen en daarna kun je praten. Ik heb alleen serieuze twijfels bij het idee dat je het oplost door een nieuw administratief systeem. Als men het niet in het oude officiële systeem stopt, waarom dan wel in de AI Blockchain?

Het ligt vast aan mij maar ik begrijp niet hoe dit een oplossing is.

Arnoud

‘Nintendo overtreedt Noorse wet met garantie op reserveringen’

Geplaatst op in Ondernemingsvrijheid, 18 reacties

De consumentenbond in Noorwegen (NCC) stelt dat Nintendo de rechten van consumenten schendt, omdat het bedrijf geen geld terug geeft na reserveringen van een spel. Dat meldde Nu.nl vorige week. De voorwaarden van de eShop van Nintendo vermelden dat alle aankopen definitief zijn (en dus niet annuleerbaar), ook niet als het spel pas geruime tijd later beschikbaar gaat komen (pre-orders). Dat is in strijd met de Europese consumentenrechten, die stellen dat je in principe alle internetaankopen binnen 14 dagen moet kunnen annuleren. Ook bij online diensten.

Wie op internet een product koopt, mag dat binnen 14 dagen ongedaan maken. Het product moet dan terug en je krijgt natuurlijk ook je geld terug. Een online game is alleen geen product, maar een dienst (misschien moet ik “data is niets” veranderen in “data is dienstverlening”). Dat maakt in principe niet uit, want ook via internet geboekte diensten kun je binnen 14 dagen weer annuleren.

Het voornaamste verschil tussen producten en diensten kopen via internet is dat bij de laatste de 14 dagen ingaat op de dag na aanschaf, terwijl bij producten de 14 dagen ingaat op de dag na ontvangst van het product. Daarnaast zijn er voor beide categorieën uitzonderingen op dit retourrecht, en voor online games is deze (art. 6:230p sub d BW) het relevantst:

een overeenkomst tot het verrichten van diensten, na nakoming van de overeenkomst, indien: 1°. de nakoming is begonnen met uitdrukkelijke voorafgaande instemming van de consument; en 2°. de consument heeft verklaard afstand te doen van zijn recht van ontbinding zodra de handelaar de overeenkomst is nagekomen;

Die afstandsverklaring is dus waarom je bij veel bestelformulieren van online diensten een zin tegenkomt à la “Ik verzoek hierbij uitdrukkelijk om onmiddellijke levering en doe afstand van mijn recht van ontbinding”. Want als je die verklaring afgeeft, dan ben je dus je recht op ontbinding kwijt. Dit is uniek bij diensten; bij producten is het onmogelijk om met zo’n verzoek afstand te doen van je annuleringsrecht.

Het komt alleen vrij nauw, zoals de NCC laat zien, want het is niet een kwestie van eisen dat men afstand doet van het recht op ontbinding. Het wetsartikel zegt immers dat je allereerst apart moet vragen om (directe) levering, en ten tweede dat je afstand doet van je annuleringsrecht zodra het contract is nagekomen. En dat is waar de NCC terecht op wijst: bij een pre-order duurt het nog wel even voordat er is geleverd, oftewel voordat er is nagekomen. En al die tijd mag je dus gewoon annuleren, zelfs met die zin.

Juridisch gezien is annuleren van deze dienst dus nu gewoon mogelijk volgens de wettelijke regels, en dat is tot 14 dagen nadat de dag dat het spel beschikbaar is. Dus ja, je mag 14 dagen gratis gamen tot ze dit hebben aangepast. Maar in de praktijk werkt het natuurlijk niet zo, want je kunt klagen tot je een ons weegt maar je geld terug krijg je niet. En wie gaat er naar de rechter om zoiets?

En wie bij Nutech.nl deze titels maakt, moet op juridische cursus. Garantie op reservering?

Arnoud

Mogen de Olympische Spelen de auteursrechten op je filmpjes opeisen?

Geplaatst op in Intellectuele rechten, 10 reacties

Een lezer wees me op de Terms and Conditions of Ticket Purchase, Possession and Use van de Olympische Spelen in Pyeongchang, met daarin deze opmerkelijke clausule:

5.3. Ticket Holders may take or record still and moving images and/or sounds within Venues and agree that the IOC shall be sole owner of any intellectual property rights (including copyright) in such content without further authorization from, or compensation to, the Ticket Holder or anyone acting on his/her behalf, and hereby assign any rights he/she may have in respect of such content to the IOC, including without limitation the right to make derivative works, waiving all moral rights in the same.

Oftewel, mocht je van plan zijn om tijdens je bezoek aan de Spelen video’s te maken dan worden die automatisch eigenaar van de IOC. Het intellectueel eigendom van deze fantastische Spelen (immers met Hoofdletter) moet toch beschermd worden?

Leuk geprobeerd, maar zo werkt het niet. Algemene voorwaarden kunnen geen auteursrechten opeisen, niet in Nederland, niet in de VS en niet in Korea. Al die landen (voor zover ik weet álle landen) eisen namelijk dat auteursrechten worden verkocht middels een schriftelijk stuk met handtekening. Ik lees dat Korea zelfs registratie van die akte vereist voordat de levering effect heeft.

Natuurlijk is zo’n tekst ook niet perse bedoeld om juridisch echt iets voor elkaar te krijgen. Vaak is het al genoeg dat mensen het lezen en denken “het staat er in juridische taal dus zal het wel zo zijn”. Want dan krijg je makkelijker video’s van Youtube, wat denk ik het voornaamste doel is van deze clausule. Heel ergerlijk.

Arnoud

Zit je vast aan de voorwaarden van de antiplagiaatsoftware van je universiteit?

Geplaatst op in Intellectuele rechten, 45 reacties

Minister Van Engelshoven vindt het “onwenselijk” dat studenten de zeggenschap over hun werk kwijtraken als ze dat online op plagiaat laten controleren. Dat las ik bij Ad Valvas. Dit naar aanleiding van ophef dat je je rechten kwijt raakt door een scriptie of paper op plagiaat te laten checken. De voorwaarden van de plagiaatdienst (die je verplicht moet accepteren om de verplichte plagiaatcheck te doen) bepalen dat namelijk. Maar geen zorgen, aldus de minister: die voorwaarden zijn helemaal niet bindend gezien de raamovereenkomst tussen de universiteiten en de leveranciers van dergelijke software.

Dat onderwijsinstellingen met software naar plagiaat willen speuren, is op zich goed te begrijpen. Deze software maakt een snelle eerste check mogelijk, zodat je als docent of begeleider makkelijker kunt zien waar de problemen zitten. (Natuurlijk moet je dat wel nog handmatig controleren want de software kan legitieme citaten als plagiaat aanmerken.) En dat je die software niet zelf gaat ontwikkelen is ook niet meer dan logisch.

Het rare begint wanneer die ontwikkelende partij gebruiksvoorwaarden gaat hanteren richting de studenten, die dus verplicht zijn deze te aanvaarden omdat ze anders de verplichte plagiaatcontrole (zonder controle geen beoordeling) niet kunnen afsluiten. En dan bedoel ik niet perse of het raar is dat men een ‘nonexclusive, royalty-free, perpetual, worldwide, irrevocable license’ eist, maar algemeen: hoe kun je nou stellen dat mensen akkoord gaan met je voorwaarden als ze op straffe van niet afstuderen op die akkoordknop moeten klikken?

Juridisch gezien blijkt er echter niets aan de hand, aldus de minister:

Van SURF begrijp ik dat deze bepaling geen onderdeel uitmaakt van de licentieovereenkomst die onderwijsinstellingen sluiten met [de aanbieders]. … De medewerker of student die de dienst gebruikt onder de licentieovereenkomst van de instelling is zodoende niet gebonden aan de eindgebruikersovereenkomst waarin bovengenoemde bepaling is opgenomen.

De softwaredienst wordt immers juridisch gezien afgenomen door de onderwijsinstellingen, in dit geval met ondersteuning van SURF. Daarmee is de getoonde licentietekst betekenisloos, zoals overigens wel vaker bij online getoonde voorwaarden. Er is geen overeenkomst meer nodig, want het gebruiksrecht is al afgenomen. De klik op de akkoordknop heeft dus geen zin, juridisch gezien.

Is daarmee de kous af? Voor mij niet: waarom laat je die stomme popup dan toch steeds zien? Het wekt de indruk juridisch bindend te zijn (net als die disclaimerbordjes) maar is dat niet, dus dat hoort er niet te zijn. Maar of men bereid zal zijn die moeite te gaan doen?

Het onderliggende probleem is ingewikkelder: deze antiplagiaatbedrijven hebben die ingeleverde papers en scripties nodig om een effectieve controle te doen. Een groot deel van de plagiaatkwesties is immers dat een student iets inlevert dat een collega eerder gemaakt heeft. Dat kan enkel en alleen worden geconstateerd door eerdere papers te bewaren en daarmee te vergelijken. Dus die eis van een license is op zich noodzakelijk om plagiaatcontrole te kunnen doen. Ook over universiteiten heen, want dat uitwisselen van papers gebeurt niet alleen binnen dezelfde instelling. Ik weet niet hoe dát op te lossen.

Arnoud

Speluitgevers maken bezwaar tegen opheffen merkrecht offline gehaalde games

Geplaatst op in Intellectuele rechten, 16 reacties

Verschillende speluitgevers hebben bezwaar aangetekend tegen het verzoek om online games vrij te stellen van merkrecht als ze offline worden gehaald. Dat schreef Nu.nl vorige week. Juridische jeuk: het gaat over auteursrecht, niet over merkrecht. Het punt is namelijk dat de US Copyright Office, die dus over copyrights gaat en niet over trademarks, van plan is een uitzondering op de Amerikaanse auteurswet in te voeren waarmee ‘abandonware’ online games in musea of bibliotheken mogen worden opgenomen. Abandonware wil zeggen dat de eigenaar het spel achtergelaten heeft, zodat er geen economische reden meer zou zijn dit tegen te houden. Toch vinden deze speluitgevers dit buitengewoon vervelend.

Het begrip abandonware bestaat al langer. Een hele hoop software slingert nog her en der op internet rond terwijl de uitgever of maker al lang verdwenen is, bijvoorbeeld door een faillissement. Dat voelt zonde, vandaar dat er mensen zijn die dergelijke software opzoeken en proberen beschikbaar te houden. Net zoals met oude boeken of kranten wel gebeurt.

Een lastig punt daarbij is dat je voor gebruik van software kopieën moet maken, waardoor je tegen de Auteurswet aanloopt. Een oud boek mag je gewoon op de plank zetten als museum, en je mag mensen er doorheen laten bladeren zonder dat de Auteurswet daar iets van vindt. Maar een oud spel of ander stuk software beschikbaar stellen kan dus eigenlijk niet. In de VS is daar een regeling voor; het US Copyright Office heeft de bevoegdheid om uitzonderingen op de Auteurswet op te nemen en heeft dat gedaan voor oude spellen. Dit vanuit de motivatie dat dat deel is van het cultureel erfgoed (“wie is er niet opgegroeid met”).

Steeds meer spellen worden als dienst aangeboden: je hebt een server nodig om te spelen, bijvoorbeeld in een multiplayer modus of vanwege anti-valsspeelchecks. Als zo’n spel nu ook abandonware wordt, dan moet dus die server op een of andere manier ook worden nagemaakt door het museum of de bibliotheek.

Dat is waar de game-uitgevers bezwaar tegen maken, want dat gaat een stuk verder dan een rondslingerende kopie van software zonder zichtbare eigenaar op je museale harddisk zetten. Tegelijkertijd denk ik dan, juist als er geen eigenaar is, wat is dan het probleem van het klonen van de server? Wie zou daar bezwaar tegen hebben, tegen mógen hebben als de eigenaar weg is? Ik kom niet verder dan situaties waarin de serversoftware ook wordt gebruikt door andere aanbieders, zodat ook hun spellen met de kloonserver gespeeld kunnen worden.

De speluitgevers richten hun pijlen met name op het feit dat die musea geld verdienen door bijvoorbeeld toegang te vragen tot de ruimte waar de spellen liggen ($10 voor een dag gamen in het museum). Dat zou het “commercial use” maken, iets dat niet toegestaan is onder de beoogde uitzondering.

Arnoud

Worden advocaten ooit door robots vervangen?

Geplaatst op in Innovatie, 2 reacties

“Siri, maak een exclusieve licentieovereenkomst in dossier X.” Dat las ik bij IE-Forum als quote uit de speech van professor Bernd Hugenholtz over de opkomst van de robot-advocaat. Hij gelooft er geen bal van; een goede mens-advocaat heeft immers onmiskenbaar kwaliteiten zoals door de juridisch bomen het bos kunnen zien, goed kunnen onderhandelen en zelfs zo nu en dan fungeren als uithuilpaal. Allemaal kwaliteiten die de robo-advocaat ontbeert. Dat klopt helemaal maar het staat natuurlijk volkomen los van wat de robot-advocaat gaat doen en waarom dat het werk van de mens-advocaat (of mens-jurist, zo u wilt) gaat veranderen.

Ik heb het al vaker geschreven: robots gaan niet in de rechtbank staan pleiten, creatieve vernieuwende argumenten inbrengen om zaken te winnen of out-of-the-box oplossingen verzinnen om een geschil vlot te trekken. En al helemaal niet empathisch op de cliënt reageren zodat deze begrip krijgt voor dat nare vonnis of de beslissing niet in hoger beroep te gaan. Dat zijn zulke menselijke eigenschappen dat ze niet te automatiseren zijn.

Robotadvocaten gaan we dus niet krijgen. Maar robots gaan wel degelijk werk wegsnoepen van de mensadvocaten, namelijk het standaardwerk, de simpele checks zoals due diligence, een snelle review van standaarddocumenten of een voorselectie. En dat kan er nog best inhakken want véél van het juridische werk is dat soort standaardwerk. (En dan bedoel ik niet alleen de expertsystemen zoals Hugenholtz schetst, een AI die een voorselectie of due diligence doet is wel iets meer dan “maak even een contractje”.)

Zorgen maak ik me daar niet meteen over, want uiteindelijk is er in de juridische sector werk genoeg en zal de vrijgekomen tijd van dat standaardwerk zonder problemen met nieuwe dingen kunnen worden ingevuld. Die robotadvocaat zou je dus eigenlijk met open armen willen verwelkomen, in plaats van te brommen dat hij nooit een cliënt zal laten uithuilen om een onterecht verloren zaak of te kostbare procedure.

Toch hoor ik deze geluiden vaker, en ik blijf zoeken naar de verklaring. Is het ongeloof dat deze technologie dit kan? Of de afkeer van opgeblazen hype (die trouwens binnenkort instort)? Of gewoon de algemene moeilijkheid om verandering te accepteren?

Over die verandermoeilijkheden las ik recent een zeer interessant artikel bij de 3 Geeks and a Law blog (sowieso een dikke aanrader). Als artsen decennialang weigerden hun handen te wassen nadat onbetwistbaar vaststond dat dat de gezondheid ten goede zou komen, en een dorp steeds maar ziek blijft omdat ze hun water niet willen koken, waarom zouden wij juristen dan ineens wél besluiten iets nieuws te gaan doen enkel omdat er de belofte is dat het beter gaat worden allemaal?

The boiling water anecdote demonstrates those systems at work while also illuminating the curse of knowledge. The curse of ignorance is that we don’t know what we don’t know and therefore labor under delusions of adequacy. The curse of knowledge is that once we know something, it is hard to imagine not knowing it. The resulting mistakes about shared assumptions can be invisible barriers to change. Those unrecognized barriers are why, with boiling water, the change only occurred among a small set of outliers.

Misschien dat daar nog een speciaal stuk attitude van juristen meespeelt: wij hebben meer dan andere beroepsgroepen de overtuiging dat we keihard en foutloos moeten werken aan heel belangrijke zaken. Koppel dat aan een sterk gevoel van autonomie en korte deadlines en je krijgt een bovengemiddeld hoge weerstand tegen verandering. Dat maakt het natuurlijk niet makkelijker.

Arnoud

‘Mijn ouders krijgen een pushmelding van al mijn nieuwe cijfers’

Geplaatst op in Privacy, 35 reacties

Ouders kunnen het schoolgedrag van hun kind bijna real-time volgen via allerlei leerlingvolgsystemen als Magister of SOMtoday. Dat meldde de NOS onlangs. De leerlingvolgsystemen op middelbare scholen zijn bedoeld om ouders te informeren, maar het grijpt natuurlijk wel diep in op de privacy van de leerling die geen onvoldoende of spijbeluurtje meer kan verstoppen. Bovendien werkt het systeem ook zo voor zestienplussers en meerderjarige leerlingen, waardoor het wettelijk ook nog eens dubieus wordt.

Het basisidee is natuurlijk niet verkeerd. Het is handig dat leerlingprestaties worden bijgehouden, en omdat ouders graag willen weten hoe hun kind het doet, is het logisch om hen daar toegang toe te geven. Vroeger was dat wat ingewikkelder, bij rapporten lukte dat natuurlijk wel maar cijfers had je alleen op papier en om nou elke keer brieven te sturen, dat werkt niet.

Het gemak waarmee de informatie nu gedeeld wordt, leidt wel tot een andere manier van doen. Je signaleert als ouder veel eerder problemen, of dat nu een onvoldoende is of het feit dat je kind een les gemist heeft. Daardoor krijg je als kind veel meer controle over je heen, wat juist op de middelbareschoolleeftijd erg vervelend kan voelen.

Mag het? Dat is natuurlijk de grote vraag. Algemeen geldt dat ouders bij de opvoeding veel van hun kind mogen weten, maar wel rekening moeten houden met de privacy. Het dagboek lezen van je zeventienjarige dochter kan echt niet zomaar door de beugel, maar bij een zesjarige meekijken op de iPad is natuurlijk zeer gewenst. Bij schoolcijfers en afwezigheid geldt eigenlijk hetzelfde: is het relevant dat je dit weet en levert het geen onevenredige privacyschending op voor je kind?

Als we het onder de privacywet of AVG gaan bekijken, dan kom je eigenlijk vrijwel meteen bij dezelfde discussie uit. Wanneer een kind nog geen zestien is, geven de ouders toestemming voor verwerking van zijn persoonsgegevens. (We nemen maar even aan dat die hier netjes na afdoende uitleg specifiek is gevraagd en vrijwillig is gegeven. Niet lachen daar achterin.) Maar ook dan geldt dat de school niet meer mag doen dan redelijkerwijs nodig is voor het doel van de toestemming.

Wordt het kind zestien, dan moet het zelf die toestemming geven (artikel 5 Wbp en artikel 5 Uitvoeringswet AVG). En omdat toestemming vrijwillig gegeven moet worden, mag er dus vanuit de school noch vanuit de ouders druk worden uitgeoefend om dit te doen. Het lijkt erop dat er geen school is die dit doet. Sterker nog, in het NOS artikel is te lezen dat ook bij mensen van achttien (dus geen kind meer) deze gegevens naar hun ouders worden gestuurd. En dat kan natuurlijk écht niet door de beugel.

Wel vraag ik me nog af of je niet kunt zeggen, de verstrekking van deze informatie is gewoon nodig voor het onderwijs, een goede orde op school et cetera. Dan kom je AVG-technisch uit bij de grondslag “uitvoering overeenkomst”, alleen is voortgezet onderwijs volgens mij geen privaatrechtelijke overeenkomst. En dan houd je dus over het eigen legitiem belang van de school en/of de ouders, oftewel we kúnnen niet anders dan dit aan je ouders geven, en we menen dat dat belangrijker is dan jouw privacy. Ik denk niet dat dat snel standhoudt.

Update met dank aan Job Vos: wettelijk is vastgelegd (artikel 23b Wet voortgezet onderwijs) dat “Het bevoegd gezag rapporteert over de vorderingen van de leerlingen aan hun ouders, voogden of verzorgers, dan wel aan de leerlingen zelf indien zij meerderjarig en handelingsbekwaam zijn.” De grondslag is daarmee de wettelijke plicht, de school móet het melden. Hooguit kun je je dan nog afvragen of dat moet per pushbericht direct bij elk cijfer, of dat ook periodiek of bij zorgelijke ontwikkelingen pas gemeld wordt. Vandaar de streep door toestemming nodig.

Arnoud

AIVD en MIVD maken rechtmatig gebruik van persoonsgegevens in bulkdownloads

Geplaatst op in Regulering, 25 reacties

De inlichtingendiensten AIVD en MIVD gaan “rechtmatig” om met datasets met persoonsgegevens die online worden aangeboden. Dat las ik vorige week bij Nu.nl. Deze conclusie volgt uit het rapport 55 over het verwerven van op internet aangeboden bulkdatasets van de Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten. Dat “online aangeboden” moet je met aanhalingstekens uitspreken, want het gaat eigenlijk om gelekte of gestolen gegevens die op schimmige plekken te verkrijgen zijn. Maar voor de inlichtingendiensten is dat dus geen probleem.

Het klinkt ergens gek, maar ook de AIVD en haar militaire broertje de MIVD moeten de privacy respecteren van mensen die ze bespioneren. Dat betekent dus dat het gebruiken van ‘gevonden’ datasets met persoonlijke informatie niet zomaar kan, met name omdat daar ook veel gegevens in zullen zitten van mensen die in het geheel niet in beeld zijn bij de inlichtingendiensten.

Het gebruik van die persoonsgegevens is geregeld in de Wet op de Inlichtingen- en Veiligheidsdiensten, waarvan editie 2002 van toepassing was op de vergaring. (En editie 2017 is de beruchte ‘sleepwet’.) De bevoegdheden zijn een stuk breder dan voor gewone burgers of overheidsinstanties. Kort gezegd mag er veel meer zolang het maar enigszins gedocumenteerd wordt en het gebruik netjes wordt bijgehouden.

Zo is er een openbronregeling die bepaalt hoe men informatie uit open bronnen mag betrekken, waarbij het niet uitmaakt of die bron de gegevens legaal of illegaal publiceert. Daarbij is het zelfs toegestaan om je te registreren onder een valse naam en dan te zien wat er te downloaden is; de grens ligt bij de aanbieder overhalen tot het verstrekken van de bron. Dat mag ook maar valt onder de agentregeling met net iets strengere eisen.

Aanleiding voor het onderzoek was dat de diensten bestanden hadden gekocht op het “dark web” (/insert omineuze muziek) met gegevens over meer dan honderd miljoen personen, waarvan het overgrote deel nooit en te nimmer relevant zou zijn voor het inlichtingen- en veiligheidswerk. Het ging daarbij om vertrouwelijke informatie die onrechtmatig in die bestanden terecht was gekomen en die normaal nooit zomaar bekend zou zijn.

De AIVD had die gegevens snel opgehaald omdat ze vermoedden dat die zomaar weggehaald zou kunnen worden, en deed dat onder de openbronregeling omdat ze dachten dat het dark web daaronder viel. Maar omdat het feitelijk een aankoop van een bestand was, had dit onder de agentregeling moeten gebeuren. Dat ging dus mis, maar betekent uiteindelijk weinig omdat -zo concludeert de commissie- het onder de agentregeling legaal zou zijn geweest. Belangrijk was daarbij ook dat er op hoog niveau toestemming was gegeven voor de aankoop.

Bij een tweede dataset van vergelijkbare omvang en inhoud ging het mis. Daar werd die toestemming niet op dat niveau gevraagd, en was niet duidelijk hoe men daar precies aan gekomen is. Uiteindelijk heeft dit geen gevolgen, omdat het gebruik verder netjes binnen de lijntjes blijft en het waarschijnlijk was dat er toestemming zou zijn gegeven.

De totale uitkomst verrast dus niet. Over blijven aanbevelingen om zorgvuldiger met de gegevens om te gaan, en jaarlijks te bekijken of de datasets nog nuttig zijn in de praktijk. En meer algemeen om beleid te maken over hoe om te gaan met downloaden of aankopen van datasets als deze. En dat is hoe het eigenlijk altijd gaat met zulke dingen: het mocht niet, maar de schade lijkt beperkt en als er dan beleid op komt, dan is het goed.

Arnoud