‘Mijn ouders krijgen een pushmelding van al mijn nieuwe cijfers’

Geplaatst op in Privacy, 35 reacties

Ouders kunnen het schoolgedrag van hun kind bijna real-time volgen via allerlei leerlingvolgsystemen als Magister of SOMtoday. Dat meldde de NOS onlangs. De leerlingvolgsystemen op middelbare scholen zijn bedoeld om ouders te informeren, maar het grijpt natuurlijk wel diep in op de privacy van de leerling die geen onvoldoende of spijbeluurtje meer kan verstoppen. Bovendien werkt het systeem ook zo voor zestienplussers en meerderjarige leerlingen, waardoor het wettelijk ook nog eens dubieus wordt.

Het basisidee is natuurlijk niet verkeerd. Het is handig dat leerlingprestaties worden bijgehouden, en omdat ouders graag willen weten hoe hun kind het doet, is het logisch om hen daar toegang toe te geven. Vroeger was dat wat ingewikkelder, bij rapporten lukte dat natuurlijk wel maar cijfers had je alleen op papier en om nou elke keer brieven te sturen, dat werkt niet.

Het gemak waarmee de informatie nu gedeeld wordt, leidt wel tot een andere manier van doen. Je signaleert als ouder veel eerder problemen, of dat nu een onvoldoende is of het feit dat je kind een les gemist heeft. Daardoor krijg je als kind veel meer controle over je heen, wat juist op de middelbareschoolleeftijd erg vervelend kan voelen.

Mag het? Dat is natuurlijk de grote vraag. Algemeen geldt dat ouders bij de opvoeding veel van hun kind mogen weten, maar wel rekening moeten houden met de privacy. Het dagboek lezen van je zeventienjarige dochter kan echt niet zomaar door de beugel, maar bij een zesjarige meekijken op de iPad is natuurlijk zeer gewenst. Bij schoolcijfers en afwezigheid geldt eigenlijk hetzelfde: is het relevant dat je dit weet en levert het geen onevenredige privacyschending op voor je kind?

Als we het onder de privacywet of AVG gaan bekijken, dan kom je eigenlijk vrijwel meteen bij dezelfde discussie uit. Wanneer een kind nog geen zestien is, geven de ouders toestemming voor verwerking van zijn persoonsgegevens. (We nemen maar even aan dat die hier netjes na afdoende uitleg specifiek is gevraagd en vrijwillig is gegeven. Niet lachen daar achterin.) Maar ook dan geldt dat de school niet meer mag doen dan redelijkerwijs nodig is voor het doel van de toestemming.

Wordt het kind zestien, dan moet het zelf die toestemming geven (artikel 5 Wbp en artikel 5 Uitvoeringswet AVG). En omdat toestemming vrijwillig gegeven moet worden, mag er dus vanuit de school noch vanuit de ouders druk worden uitgeoefend om dit te doen. Het lijkt erop dat er geen school is die dit doet. Sterker nog, in het NOS artikel is te lezen dat ook bij mensen van achttien (dus geen kind meer) deze gegevens naar hun ouders worden gestuurd. En dat kan natuurlijk écht niet door de beugel.

Wel vraag ik me nog af of je niet kunt zeggen, de verstrekking van deze informatie is gewoon nodig voor het onderwijs, een goede orde op school et cetera. Dan kom je AVG-technisch uit bij de grondslag “uitvoering overeenkomst”, alleen is voortgezet onderwijs volgens mij geen privaatrechtelijke overeenkomst. En dan houd je dus over het eigen legitiem belang van de school en/of de ouders, oftewel we kúnnen niet anders dan dit aan je ouders geven, en we menen dat dat belangrijker is dan jouw privacy. Ik denk niet dat dat snel standhoudt.

Update met dank aan Job Vos: wettelijk is vastgelegd (artikel 23b Wet voortgezet onderwijs) dat “Het bevoegd gezag rapporteert over de vorderingen van de leerlingen aan hun ouders, voogden of verzorgers, dan wel aan de leerlingen zelf indien zij meerderjarig en handelingsbekwaam zijn.” De grondslag is daarmee de wettelijke plicht, de school móet het melden. Hooguit kun je je dan nog afvragen of dat moet per pushbericht direct bij elk cijfer, of dat ook periodiek of bij zorgelijke ontwikkelingen pas gemeld wordt. Vandaar de streep door toestemming nodig.

Arnoud

AIVD en MIVD maken rechtmatig gebruik van persoonsgegevens in bulkdownloads

Geplaatst op in Regulering, 25 reacties

De inlichtingendiensten AIVD en MIVD gaan “rechtmatig” om met datasets met persoonsgegevens die online worden aangeboden. Dat las ik vorige week bij Nu.nl. Deze conclusie volgt uit het rapport 55 over het verwerven van op internet aangeboden bulkdatasets van de Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten. Dat “online aangeboden” moet je met aanhalingstekens uitspreken, want het gaat eigenlijk om gelekte of gestolen gegevens die op schimmige plekken te verkrijgen zijn. Maar voor de inlichtingendiensten is dat dus geen probleem.

Het klinkt ergens gek, maar ook de AIVD en haar militaire broertje de MIVD moeten de privacy respecteren van mensen die ze bespioneren. Dat betekent dus dat het gebruiken van ‘gevonden’ datasets met persoonlijke informatie niet zomaar kan, met name omdat daar ook veel gegevens in zullen zitten van mensen die in het geheel niet in beeld zijn bij de inlichtingendiensten.

Het gebruik van die persoonsgegevens is geregeld in de Wet op de Inlichtingen- en Veiligheidsdiensten, waarvan editie 2002 van toepassing was op de vergaring. (En editie 2017 is de beruchte ‘sleepwet’.) De bevoegdheden zijn een stuk breder dan voor gewone burgers of overheidsinstanties. Kort gezegd mag er veel meer zolang het maar enigszins gedocumenteerd wordt en het gebruik netjes wordt bijgehouden.

Zo is er een openbronregeling die bepaalt hoe men informatie uit open bronnen mag betrekken, waarbij het niet uitmaakt of die bron de gegevens legaal of illegaal publiceert. Daarbij is het zelfs toegestaan om je te registreren onder een valse naam en dan te zien wat er te downloaden is; de grens ligt bij de aanbieder overhalen tot het verstrekken van de bron. Dat mag ook maar valt onder de agentregeling met net iets strengere eisen.

Aanleiding voor het onderzoek was dat de diensten bestanden hadden gekocht op het “dark web” (/insert omineuze muziek) met gegevens over meer dan honderd miljoen personen, waarvan het overgrote deel nooit en te nimmer relevant zou zijn voor het inlichtingen- en veiligheidswerk. Het ging daarbij om vertrouwelijke informatie die onrechtmatig in die bestanden terecht was gekomen en die normaal nooit zomaar bekend zou zijn.

De AIVD had die gegevens snel opgehaald omdat ze vermoedden dat die zomaar weggehaald zou kunnen worden, en deed dat onder de openbronregeling omdat ze dachten dat het dark web daaronder viel. Maar omdat het feitelijk een aankoop van een bestand was, had dit onder de agentregeling moeten gebeuren. Dat ging dus mis, maar betekent uiteindelijk weinig omdat -zo concludeert de commissie- het onder de agentregeling legaal zou zijn geweest. Belangrijk was daarbij ook dat er op hoog niveau toestemming was gegeven voor de aankoop.

Bij een tweede dataset van vergelijkbare omvang en inhoud ging het mis. Daar werd die toestemming niet op dat niveau gevraagd, en was niet duidelijk hoe men daar precies aan gekomen is. Uiteindelijk heeft dit geen gevolgen, omdat het gebruik verder netjes binnen de lijntjes blijft en het waarschijnlijk was dat er toestemming zou zijn gegeven.

De totale uitkomst verrast dus niet. Over blijven aanbevelingen om zorgvuldiger met de gegevens om te gaan, en jaarlijks te bekijken of de datasets nog nuttig zijn in de praktijk. En meer algemeen om beleid te maken over hoe om te gaan met downloaden of aankopen van datasets als deze. En dat is hoe het eigenlijk altijd gaat met zulke dingen: het mocht niet, maar de schade lijkt beperkt en als er dan beleid op komt, dan is het goed.

Arnoud

Facebook overtreedt Belgische privacywet door volgen niet-gebruikers

Geplaatst op in Privacy, 22 reacties

Facebook overtreedt de Belgische privacywet door het internetgedrag te volgen van mensen die geen account bij het sociale netwerk hebben. Dat meldde Nu.nl zaterdag. De vind-ik-leuk knopjes die alomtegenwoordig zijn, zetten cookies en gebruiken andere trackingtechnieken om internetgedrag op te slaan. Ook bij mensen die geen klant (product?) zijn van het sociaal netwerk, en dat is waar de Belgische privacytoezichthouder over viel. De rechtbank bevestigt dit en eist op straffe van een dwangsom van 250.000 euro per dag dat Facebook ermee stopt.

Bij Reuters lees ik dat Facebook het blabla teleurstellend vindt (duh) en meent dit te mogen omdat het een industriebreed gebruik is. Dat is zonder licht fietsen ook, maar toch mag het niet. En dat je “enable hundreds of thousands of businesses to grow their businesses” met deze truc, maakt natuurlijk ook helemaal niets uit als het gaat om mensen hun privacy.

Voor mensen die Facebookgebruiker zijn, kun je misschien nog zeggen dat ze gekozen hebben voor deze functionaliteit op andere sites dan de blauwe hoofdsite. Maar voor mensen zonder Facebook (ja, het bestaat) kan dat argument niet opgaan natuurlijk. En dan is de “clear notice” die het bedrijf eist dat websites met de knop geven, natuurlijk niet genoeg. Als die cookies of trackers achter de knop mensen volgen, dan moet je daar toestemming voor vragen en dat doe je niet door te melden dat je ze aan het volgen bent.

Ja, hieronder staan ook socialenetwerkknopjes die tracking doen. Maar let op: die staan pas aan als je daar expliciet toestemming voor geeft (dank, Arjan Snaterse) en dat doe je door op de standaard dichtgeklapte balk te klikken. Dat is wél in lijn met de Europese wet, en het lijkt me niet moeilijk om dat overal uit te rollen. Ben benieuwd hoe veel sites dit op 25 mei hebben aangepast.

Arnoud

Ex-werknemer moet 500 euro betalen voor achterhouden wachtwoord

Geplaatst op in Security, 32 reacties

Een voormalige medewerkster van een Amsterdams kinderdagverblijf moet van de rechter 500 euro betalen omdat ze het wachtwoord van haar bedrijfslaptop niet aan haar directeur wilde geven. Dat las ik bij Security.nl. De vrouw wilde het wachtwoord niet afgeven omdat daarmee anderen onder haar naam zouden kunnen werken, maar het kdv gaf aan niet op een andere manier de laptop te kunnen resetten. In hoger beroep bevestigt het Gerechtshof Amsterdam dat het wachtwoord moet worden afgegeven plus een schadevergoeding. Een ICT-faal, zoals men zegt in de reacties?

De vrouw was een goed half jaar in dienst bij het kdv, en had voor haar werk onder meer een bedrijfslaptop gekregen. Bij einde dienstverband leverde ze deze weer in, maar vervolgens bleek dat het gebruikersaccount voorzien was van een wachtwoord. Daardoor kon het kdv er geen nieuw account op zetten.

Navraag bij de vrouw gaf de op zich terechte reactie:

De administrator kan simpelweg een nieuwe account voor (…) aanmaken. Het afgeven van het wachtwoord zou betekenen dat anderen kunnen werken op mijn account. Dit zou betekenen dat men allerlei (ongewenste) activiteiten zou kunnen uitvoeren op mijn account zonder mijn in- en toestemming. (…)

Het kdv beschouwde daarop de laptop als onbruikbaar en hield de kosten van een nieuwe(!) in op haar laatste loonbetaling. Mede daarom kwam het voor de rechter. In eerste instantie oordeelde de kantonrechter dat een nieuwe laptop een tikje overdreven was, maar dat er wel schade was en die werd geschat op 500 euro.

In hoger beroep wordt dat bevestigd, met name omdat er geen inhoudelijk verweer was gevoerd tegen het verzoek. Enkel zeggen dat een administrator dat zou moeten kunnen oplossen is namelijk niet genoeg. Zeker als daar aantoonbaar tegenover staat dat er veel uren zijn gestoken in het proberen te ontgrendelen van de laptop. En ja, dan ga je nat als werknemer.

Natuurlijk, met een goede ict-infrastructuur was dit geen issue: laptop terug, standaard image erop en klaar. Of het schaduwaccount oproepen dat administrator-rechten heeft, het gebruikersaccount met data wissen en een nieuwe gebruiker aanmaken voor de opvolger. Of een van de vele andere oplossingen die een professioneel bedrijf zou kunnen inzetten om laptops te hergebruiken.

Alleen: dit is geen professioneel bedrijf met ict-afdeling of zelfs maar een fulltime ict’er. We hebben het hier over een kinderdagverblijf, waar professionele kinderverzorgenden rondlopen maar de ict-beheerskennis geen kerncompetentie is (of hoeft te zijn). Dan wordt er in de praktijk dus op een andere manier gewerkt met de ict-middelen, en het is die praktijk vanuit waar de rechtbank moet kijken hoe het geschil moet worden opgelost.

Ik kan me heel goed voorstellen dat een organisatie zoals een kdv niet in staat is een account op een laptop te wissen en dan een nieuw account in te richten. Met name als die laptop in een winkel gekocht is en bij de installatie alleen de standaardprocedure is doorlopen waarbij er één account wordt aangemaakt. Dan heb je als ict-leek best wel weinig opties behalve vanuit dat account inloggen en een nieuw account aanmaken of anderszins de boel resetten.

In die situatie snap ik best dat er weinig anders opzit. Dus zelfs als mevrouw een steviger verweer had gevoerd, had ik deze uitkomst wel verwacht. Ik zie dus niets in de argumentatie dat de rechters ict-prutsers zijn – dat zijn ze tegenwoordig zelden meer. Het is vooral dat er een knoop moet worden doorgehakt, hoe lelijk die oplossing ook is. Dus dan is alle mooie theorie over hoe het ook had gekund niet meer relevant.

Arnoud

AI-lawyerbot visualiseert gebruiksvoorwaarden

Geplaatst op in Innovatie, 5 reacties

Onderzoekers van de Zwitserse technische Universiteit EPFL hebben een ai-bot online gezet die gebruiksvoorwaarden leest en omzet in een overzichtelijk stroomdiagram, las ik bij Tweakers. Er is ook een chatbot-interface waarmee je vragen kunt stellen, en de bot zoekt de meest relevante zinen er dan bij. Het nut van het stroomdiagram ontgaat me, maar het idee van eenvoudiger leesbaar en bladerbaar maken van gebruiksvoorwaarden zie ik zeker wel zitten.

Het onderzoeksrapport van de Pribot en Polisis bot geeft aan dat de focus primair ligt op de privacyaspecten van de dienst. Men analyseerde zo’n 130.000 privacyverklaringen en extraheerde daaruit de tekstuele informatie, die vervolgens met een deep learning neuraal netwerk werd geanalyseerd. (Het idee dat er 130.000 privacyverklaringen op internet staan, geeft me soort van koude rillingen.)

De analyse zelf vind ik best slim opgezet. Zo wordt de onderliggende betekenis van termen geanalyseerd, zodat bijvoorbeeld “erase” en “destroy” als eenzelfde concept wordt aangemerkt. Ook werd op woordcombinatieniveau (3-grams tot 6-grams) getraind in plaats van zoals vaak op individuele woorden (bag of words). Het is me niet helemaal duidelijk hoe de training set haar labels kreeg.

De tekst wordt vervolgens op zinsniveau geclassificeerd (precies hoe mijn NDA Lynn werkt) en in een categorie gestopt. De uitkomst is een classificatie op hoog niveau waarbij men precies de tekst kan tonen die gaat over dat onderwerp, zodat je bijvoorbeeld iconen kunt tonen of een visualisatie van welke concepten waar aan de orde komen. De kwaliteit is best goed: 88% van de bevindingen komen overeen met menselijke inschatting.

Technisch is het geen ingewikkelde toepassing, de innovatie zit (zoals vaker bij legal tech) in het inzicht dat het in dit domein wat kan opleveren. Dat komt helaas nog veel te weinig voor. Een mogelijke reden daarvoor is dat je een héle grote berg data nodig hebt om de training goed te doen, en dat is in de juridische sector nog best ingewikkeld. Haal maar eens ergens 130.000 documenten over één onderwerp vandaan.

Een andere mogelijke verklaring is dat je bij een lawyerbot precies kunt zien hoe betrouwbaar ze zijn (in dit geval 88%) en dat er daarmee een heel concreet vraagteken komt te hangen bij of je erop kunt vertrouwen. Zeker omdat áls er fouten zijn, die meestal behoorlijk in het oog springen, zoals omdat de bot een zin compleet niet snapt en een mens meteen ziet wat het wel moest zijn.

Ik blijf ermee zitten hoe dat te overwinnen. Ook mensen zijn niet perfect, ik zou snel tekenen voor een jurist die iedere dag consistent 90% van de tijd foutloze documenten oplevert. Maar je merkt dat een stuk minder, en we kunnen het daarom niet zo goed beoordelen (denk ik).

Of zit er meer achten? Waarom ziet men een snelle inschatting van een ervaren privacyjurist als waardevoller dan een snelle inschatting van een AI bot als deze?

Arnoud

Vergeet ik helemaal te bloggen dat browse-wrap contracten niet rechtsgeldig zijn

Geplaatst op in Informatiemaatschappij, 36 reacties

Wie een website bezoekt, gaat daarmee niet akkoord met de gebruiksvoorwaarden. Dat maak ik op uit een recent arrest uit Den Haag inzake de langlopende ruzie tussen luchtvaartbedrijf Ryanair en prijsvergelijker PR Aviation over het mogen overnemen van vlucht- en prijsinformatie. Nadat eerder een beroep op auteursrechten en databankrechten sneuvelde, gooide Ryanair het op de gebruiksvoorwaarden. Daarin stond dat dergelijk overnemen niet toegestaan was. Maar het Hof Den Haag bevestigt nu wat velen al lang roepen: je bent niet gebonden aan gebruiksvoorwaarden enkel door een site op te roepen.

Ryanair verzet zich al heel lang tegen het overnemen van prijzen en vluchtinformatie van haar site door derden. PR Aviation is zo’n bedrijf dat vluchtgegevens scrapet en in een vergelijkend overzicht toont. In eerste instantie wilde Ryanair dat tegenhouden met een beroep op auteursrechten en databankrechten, maar dat werd door het Hof van Justitie afgewezen. Er zit immers geen creativiteit in een prijs, en de databank met prijsgegevens is een bijproduct van je dienstverlening dus ook niet beschermd.

Het Hof van Justitie liet echter de contractuele claim intact. In de gebruiksvoorwaarden van Ryanair stond (en staat) dat je geen gegevens mag overnemen met het doel deze te herpubliceren in een prijsvergelijker en derde. Dat is rechtsgeldig, aldus het Hof, want in een contract mag je afspreken wat je wilt – zeker met een zakelijke wederpartij. Dus wie met zulke voorwaarden akkoord gaat, mag niets herpubliceren. Ook niet met een beroep op bijvoorbeeld citaatrecht, contract is contract.

Een open punt bleef wel óf er een contract was tussen Ryanair en PR Aviation. Dat was niet bewezen in de procedure die bij het Hof van Justitie uitkwam, dus dat kwam terug op het bordje van het Gerechtshof Den Haag. En met een ingewikkelde complicatie, namelijk dat Iers recht werd gekozen in de voorwaarden van Ryanair. Daarom moest naar Iers recht worden gekeken of er een overeenkomst tot stand was gekomen langs de zogeheten browse-wrap constructie, die neerkomt op dat je akkoord gaat met voorwaarden door een site te bezoeken (browsen), zonder dat je actief ergens op klikt (dan heet het click-wrap) om apart aan te geven dat je akkoord gaat.

Ryanair kwam met een hoop Ierse jurisprudentie aan die dit zou bewijzen, maar het Hof wordt niet overtuigd. Naar Iers recht moet je bepalen of objectief bekeken de wederpartij zich gedraagt alsof hij de intentie heeft gebonden te worden. Dus is die handeling (hier het websitebezoek) er eentje waarvan je mag zeggen, wie dat doet die zit aan de voorwaarden vast. Nee:

PR Aviation bezocht de website, langs geautomatiseerde weg, om gegevens te verzamelen die voor een ieder gratis en vrij toegankelijk waren en juridisch door geen enkel recht werden beschermd – noch door een databankrecht noch door een auteursrecht noch anderszins. Waar deze juridisch onbeschermbare gegevens voor een ieder gratis en vrij toegankelijk zijn openbaar gemaakt op een openbare website, zal een redelijk persoon niet denken dat PR Aviation, louter door de website te bezoeken en/of deze gegevens te verzamelen, zich wilde binden aan de gebruiksvoorwaarden die haar verbieden om die gegevens te verzamelen en te gebruiken, noch aan de daarin opgenomen rechtskeuze. Ter vergelijking: wie op straat aan een muur, of in een étalage zichtbaar vanaf de openbare weg, een aanplakbiljet heeft opgehangen met een tekst waarvan de eerste regel luidt: “Wie verder leest, moet € 5,- betalen”, mag er niet zo maar op vertrouwen dat een voorbijganger die de tekst verder leest, zich heeft willen binden aan deze voorwaarde.

Ten overvloede wordt nog bepaald dat ook naar Nederlands recht er géén rechtsgeldige overeenkomst tot stand komt. Diezelfde redenering hierboven leidt er namelijk bij ons toe dat je er als wederpartij niet op mag vertrouwen (art. 3:35 BW) dat je bezoeker akkoord wilde gaan.

De conclusie leunt wel zwaar op het feit dat de voorwaarden PR Aviation een nadeel opleveren dat er normaal niet is. Het is inderdaad erg onwaarschijnlijk dat iemand dan zou zeggen, dat nadeel wil ik wel aanvaarden en ik hoef er niets voor terug. Dat laat een gaatje voor andersoortige voorwaarden die via browse-wrap worden aangeboden, maar voor mij voelt dat nogal theoretisch.

Wat voor voorwaarden zouden dat moeten zijn immers? Een beperking van aansprakelijkheid (disclaimer) gaat volgens mij net zo keihard onderuit: wettelijk gezien kun je een website-eigenaar onder bepaalde voorwaarden aansprakelijk stellen, dus waarom in vredesnaam zou ik een disclaimer aanvaarden waarin staat van niet? Idem voor auteursrechtelijke beperkingen, zoals dat je niets mag overnemen zonder toestemming – dat zou je rechten zoals citaatrecht immers van tafel vegen zonder dat daar wat tegenover staat.

Natuurlijk, als je zegt, tegen betaling van X euro krijg je toegang tot Y en dat moet je geheim houden, dan zie ik de logica wel dat er een overeenkomst tot stand gekomen is. Ook als je niet heel expliciet op “ik ga akkoord met de voorwaarden” klikt. Maar juist dat komt in de praktijk nooit voor. Als men iets wezenlijks wil vragen van de klant, dan wordt dat expliciet gedaan en dan heb je evident een overeenkomst. Daarom durf ik toch wel te zeggen dat de browse-wrap overeenkomst niet rechtsgeldig is.

Arnoud

Voor de klant geminede cryptovaluta moet je afgeven, met dwangsom

Geplaatst op in Innovatie, 11 reacties

Het minen van cryptovaluta zoals bitcoins of Ether wordt steeds interessanter, maar vergt ook steeds meer hardware. Dan is het logisch om de technische kant uit te besteden, maar als je dan een geschil krijgt over hoe veel Ether je moet krijgen en welke schadevergoeding je kunt eisen, dan wordt het even juridisch wat ingewikkelder. Een recent vonnis laat zien hoe de rechter daarmee in de praktijk omgaat. (En sorry Ruud, ik houd het net als het vonnis even bij minen en niet bij delven.)

De eisende partij was als bedrijf bezig met het minen van de cryptovaluta Ether. Hij had daarvoor twintig mining computers gekocht bij de gedaagde, die een datacenter beheerde en ze daar dus ook meteen kwijt kon. Dat leidde tot een soort managed mining (analoog aan managed hosting): de gedaagde beheerde de systemen en betaalde de geminede Ethers uit onder aftrek van 10% commissie.

Uit het vonnis kan ik niet halen wat er vervolgens misging, maar de hoster/beheerde keerde tot september Ethers uit, en daarna niet meer. Dit terwijl er bij navraag nog 39,6821 Ethers bleken te zijn gemined na september. In oktober werd de eiser afgesloten van het netwerk.

Het geschil draaide om twee zaken: allereerst de eigendom van de mining computers, en ten tweede de afgifte van de geminede Ethers vanaf september.

Op zich zou dat een klip en klare zaak zijn, eigendom moet terug en als je belooft iets te geven dan moet je dat doen. Maar een complicatie hier was dat de gedaagde zelf ook dergelijke computers beheerde, en stelde per abuis Ethers van die andere computers meegerekend te hebben in wat de eiser mocht ontvangen. En het zou heel lastig zijn om geminede Ethers terug te relateren tot de computer die ze had gemined.

Zo te lezen kan de rechter moeilijk beoordelen hoe ingewikkeld dat nu precies is. Maar gelukkig voor hem gaat het hier om een kort geding, en daar geldt gewoon de`regel dat bewijs niet te ingewikkeld mag zijn vanwege de spoed. De beheerpartij kan dus zijn verhaal niet rondkrijgen. En logisch ergens ook wel, want hoezo is het moeilijk om te bepalen hoe veel Ethers er gemijnd waren als je ook kunt zeggen dat er 39,6821 Ethers gemined zijn?

Ook de Ethers moeten dus (minus de commissie) worden afgegeven. Een juridische complicatie doet zich nog voor bij de dwangsom. Als je iets wilt opeisen, dan vraag je bij de rechter een dwangsom voor elke dag dat het niet gegeven wordt. Maar dat kan niet als je géld wil opeisen van iemand. Maar zijn Ethers geld? Daar zijn we het juridisch nog niet over eens, maar het lijkt van niet.

Alles bij elkaar moet de hoster de computers teruggeven en alle daarmee geminede Ethers, en hij moet opgaaf doen van wat er precies gemined is vanaf die computers. (Of uitleggen waarom dat niet kan.) En dat alles op straffe van een dwangsom.

Nu heb ik van Ether weinig verstand, is het inderdaad zo moeilijk om te zeggen wat er precies gemined is de afgelopen maand? Of is dit eerder het gevolg van te makkelijk poolen van die computers en dan niet goed loggen wie wat deed?

Arnoud

Mag een trol eisen dat hij wordt vergeten op een forum?

Geplaatst op in Privacy, Uitingsvrijheid, 30 reacties

Naar aanleiding van mijn blog van vorige week over accounts versus bewaarplicht kreeg ik via Twitter de reactie:

Leerzaam! En in de comments ook: recht van betrokkene geldt ook voor een troll. Gegevens laten verwijderen na block, herinschrijven en overnieuw beginnen…. Nooit aan gedacht.

Natuurlijk zullen er na 25 mei de nodige trollen zijn die grappen uit gaan halen met het vergeetrecht onder de Algemene Verordening Gegevensbescherming (AVG of GDPR). Het is immers een sterk recht, en je hoeft geen reden op te geven om vergeten te willen worden.

Echter, het vergeetrecht is niet absoluut. Er zijn situaties waarin je niet vergeten hoeft te worden. En specifiek bij een forumblokkade of ban zie ik die situatie wel. Als je iemand verbant, dan wil je die ban een zekere tijd handhaven. Gedurende die tijd móet je dus onthouden wie de gebande persoon is en met welke persoonsgegevens je hem herkent, anders is handhaving onmogelijk. Dit geeft dan een legitiem belang om die persoonsgegevens te verwerken.

Wanneer een organisatie een legitiem belang heeft om je gegevens te verwerken, kun je geen beroep doen op het vergeetrecht. Juridisch gezien kan een vergeetverzoek namelijk alleen worden ingediend bij gegevens die niet meer nodig zijn voor zo’n belang. (Of bij verwerkingen waarvan de toestemming wordt ingetrokken of die überhaupt niet mochten plaatsvinden, maar dat is hier niet aan de orde.)

Natuurlijk moet het legitiem belang wel opwegen tegen het privacybelang van de trol, pardon de forumgebruiker. Dat is een zorgvuldigheidseis, waarbij de beheerder moet laten zien dat de keuze tot bannen goed onderbouwd is en de banperiode gerechtvaardigd voor het doel. Er zal dus een reglement moeten zijn met wat er wel en niet mag, en iets van een aankondiging met de redenen voor de ban en de periode van de ban. Ontbreekt dat, dan is de ban onrechtmatig en dan zou je wel opheffing daarvan kunnen eisen.

Arnoud

Hoe verboden is een spambericht van een relatie in je WhatsApp?

Geplaatst op in Privacy, 10 reacties

Een lezer vroeg me:

Met enige regelmaat krijg ik van zakelijke relaties ongevraagd commerciële berichtjes in mijn WhatsApp. Dat varieert van uitnodigingen voor congressen tot gepushte nieuwe boeken, maar ook wel een verzoek eens een kop koffie te doen om te kijken wat we in 2018 voor elkaar kunnen betekenen. Valt dat eigenlijk onder het spamverbod?

Het spamverbod uit de Telecommunicatiewet kent geen onderscheid naar gebruikt communicatiemiddel. Of je nu via e-mail, fax of sms het bericht stuurt, maakt helemaal niets uit. En al in 2009 werd bepaald dat ook privéberichten op sociale netwerkdiensten (in dat geval: krabbelen op Hyves) als spam te zien kan zijn.

In de tijd van Hyves was er nog discussie over dat geval omdat het spamverbod toen alleen gold voor “abonnees”, en een gebruiker van een gratis dienst is moeilijk als “abonnee” te zien. Maar tegenwoordig staat er “abonnee of gebruiker” in de spamwet (artikel 11.7 Telecommunicatiewet) zodat er gen twijfel zijn: een privé-appje is een bericht aan een gebruiker en mag dus getoetst worden aan de spamwetgeving.

De wet kent ook geen eis dat het om een ongericht reclamebericht moet gaan, of dat het grootschalig gestuurd moet zijn. Eén gepersonaliseerd bericht kan dus al spam zijn, zoals wat ik laatst kreeg: “Dag Arnoud, ik zag dat je bedrijf nu 35 mensen heeft, kunnen wij eens langskomen om een voorstel te doen hoe jij ze de perfecte lunch kunt leveren?” Het criterium is ongevraagd en commercieel oogmerk, meer niet.

Heel misschien zou je nog met de gebruiksvoorwaarden van de dienst kunnen betogen dat bepaalde soorten berichten wél mogen. LinkedIn heeft bijvoorbeeld de mogelijkheid dat je aangeeft open te staan voor recruitment of dienstaanbiedingen; een bericht van recruiter X is dan moeilijk nog als ongevraagd te beschouwen. Bij WhatsApp zie ik dergelijke opties niet. Dan zou je hooguit nog kunnen zeggen, als je een persoon zoals Y toevoegt dan moet je weten dat die zijn boeken gaat pushen en gaat hengelen om commerciële koffie.

Wat vinden jullie? Was die lunch-pusher een spammer, en wat doe je met kopjekoffiehengelaars in je WhatsApp?

Arnoud

Natuurlijk gaat AI ook weer voor porno gebruikt worden

Geplaatst op in Innovatie, 14 reacties

Al jaren is het devies dat porno innovatie stimuleert. Niet heel gek, want het is goed geld verdienen daarmee en wie de concurrentie voor kan blijven met een nieuw trucje, zal dan ook niet aarzelen. Ergens zou je dan ook niet verbaasd moeten zijn dat ook kunstmatige intelligentie zijn opmars maakt in de porno-wereld. Meer specifiek: het fenomeen “deep fakes” zoals door Vice gerapporteerd, door AI gemaakte nep-porno met willekeurig gekozen personen in de hoofdrol.

Op zich is het niet nieuw, het idee dat je het gezicht van persoon A plakt op het lijf van persoon B die met een seksueel expliciete handeling bezig is. Dat was alleen altijd relatief bewerkelijk, helemaal als je dat met videobeelden wilde doen. Er is niet echt software daarvoor, behalve hele grote dure pakketten waar de filmindustrie scenes mee bewerkt.

Enige tijd geleden maakte een Reddit-gebruiker een creatieve toepassing van AI waarmee dit ineens wél kan op video, althans videootjes tot een seconde of tien. Heel kort door de bocht: de AI wordt getraind op het gezicht van het doelwit, en corrigeert in de bronvideo dan het aangewezen gezicht totdat het genoeg lijkt op het doelwit. Dit soort correcties zijn technisch niet heel nieuw, ze worden ook gebruikt om gewone foto’s op te knappen. De toepassing is natuurlijk wel vernieuwend, en dat was mijn punt uit de eerste alinea: porno is een sterke driver om nieuwe technologie populair te maken en verder te ontwikkelen. Want nu dit mogelijk blijkt, wordt het interessant om ook eens naar andere toepassingen te kijken: concurrenten of politieke tegenstanders voor gek zetten, of vals bewijs in burenruzies maken, om eens wat te noemen.

Specifiek bij porno, kun je er wat aan doen als je jezelf hierin terugziet? In Amerika niet, maar bij ons wel: dit is natuurlijk een geautomatiseerde verwerking van persoonsgegevens (en ook nog eens bijzondere, immers seksualiteit) en daar is gewoon uitdrukkelijke toestemming voor nodig. Zonder toestemming zou alleen het legitiem eigen belang een grondslag kunnen zijn, maar bij pornografie kan ik me dat belang gewoon niet voorstellen.

In Amerika ligt dit iets moeilijker, omdat ze het daar niet als privacyschending zien omdat het beeld niet over jou gaat maar over een ander (de acteur/actrice). Een klacht daarover is dus juridisch lastiger afdwingbaar, en platforms zoals Reddit zijn niet verplicht erop in te grijpen. Dat maakt het in de praktijk moeilijk om er wat aan te doen.

Arnoud