Waarom is een IP-adres een persoonsgegeven en een kenteken niet?

Geplaatst op in Privacy, 29 reacties

Een lezer vroeg me:

Regelmatig lees ik dat IP-adressen als persoonsgegevens worden gezien, omdat ze tot een persoon (de gebruiker van de computer waar dat adres aan toegekend is) herleidbaar zijn. Dat klopt in theorie, maar je hebt daar de internetprovider voor nodig en die zal zonder gerechtelijk bevel niet meewerken, toch? Maar bij kentekens is de situatie hetzelfde en daarvan zegt de toezichthouder dat het géén persoonsgegevens zijn voor jou of mij, alleen voor de RDW. Waarom dat onderscheid?
Dit onderscheid is inderdaad lastig uit te leggen, maar gelukkig verdwijnt het met de AVG: beide gegevens zijn vanaf 25 mei gewoon keihard persoonsgegevens voor iedereen, punt.

Ik denk dat het onderscheid vooral om historische redenen zo gegroeid zijn. Bij invoering van de Wbp is gezegd dat kentekens alleen voor de RDW persoonsgegevens zijn. Dit was namelijk de klassieke opvatting: een gegeven is alleen persoonsgegeven voor wie de persoon kan identificeren, en gewone mensen kunnen dat niet. Omdat juristen graag de wet en dit soort parlementaire stukken overschrijven in leerboeken, is de opvatting “kenteken alleen voor RDW persoonsgegeven” gemeengoed geworden. (Zei hij cynisch.)

De discussie over IP-adressen is van recenter datum en veel meer een open vraag gebleven. Onze toezichthouder was er altijd stellig in: ja, in principe wel. Daar was de nodige kritiek op, met terechte vraagtekens overigens. Pas zeer recent (oktober 2016) is er een definitieve uitspraak gekomen: ja, in principe wel. Er is immers een mogelijkheid tot identificatie van de gebruiker, en dat daarvoor een gerechtelijk bevel nodig is, is een praktijkdetail maar theoretisch niet relevant. Voor iedereen die IP-adressen verwerkt, geldt dus dat ze persoonsgegevens zijn. En ook voor kentekens dus.

Maar zoals gezegd, eigenlijk is de discussie achterhaald want de AVG (of GDPR) kent een nieuwe definitie van het begrip ‘identificeerbaar’ bij persoonsgegevens:

als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon;
Die ‘online identificator’ kan natuurlijk prima het IP-adres van de persoon zijn. En het nieuwe is dan dat de AVG zegt dat je iemand geïdentificeerd hébt. Dus niet “deze persoon is te herkennen door NAW-gegevens op te vragen voor het IP-adres 192.168.1.1” maar “deze persoon héét 192.168.1.1”. Het doet er dan dus niet meer toe of je ook nog andere identificerende gegevens te pakken kunt krijgen en hoe moeilijk dat is. (Update 2 maart 2023: behalve natuurlijk de datum en tijd waarop het aan jou toegekend is, want morgen kan een IP-adres naar iemand andes wijzen.)

Arnoud

AI net zo goed als willekeurige mensen in het voorspellen van recidive

Geplaatst op in Innovatie, 22 reacties

AI-software blijkt net zo goed als een groep willekeurige mensen in het voorspellen van recidive bij Amerikaanse veroordeelden, las ik bij Ars Technica. Onderzoekers van Dartmouth College vergeleken de uitkomsten van de COMPAS software (die met machine learning technieken recidive probeert te voorspellen) met de inschatting van willekeurige mensen geworven via Amazon’s Mechanical Turk. Beiden bleken ongeveer even accuraat (65 en 62% respectievelijk), opmerkelijk genoeg inclusief de vooringenomenheid die eerder bij de software tot controverse leidde.

De COMPAS software (Correctional Offender Management Profiling for Alternative Sanctions) berekent op basis van een hele berg factoren de kans dat een bepaald persoon in recidive zou vervallen. Deze uitkomst wordt in Californië meegenomen in het besluit welke straf aan een veroordeelde op te leggen. In 2016 bleek uit onderzoek dat de software enige bias oftewel vooringenomenheid vertoonde, namelijk dat gekleurde mensen vaker ten onrechte als recidivist werden gesignaleerd en witte juist vaker ten onrechte als géén recidivist.

Accuratesse in AI en machine learning is een heel lastig onderwerp. Wat betekent het dat je software 94,1% nauwkeurig is (de huidige score van mijn NDA Lynn geheimhoudingscontractenanalyserobot)? Meestal wordt ermee bedoeld dat in 94,1% van de gevallen de uitkomst van de AI gelijk is aan de verwachte of correcte uitkomst. En 5,9% van de gevallen is dus onjuist. Maar dat kan twee kanten op:

  1. Vals positief: een uitkomst wordt als positief (juist) aangemerkt, maar is eigenlijk negatief (onjuist). Bij de COMPAS software dus dat iemand recidivist zou zijn terwijl hij dat niet is.
  2. Vals negatief: een uitkomst wordt als negatief (onjuist) aangemerkt, maar is eigenlijk positief (juist). Bij COMPAS dus dat iemand recidive pleegt terwijl de software voorspelde dat hij dat niet zou doen.

Beide onjuiste uitkomsten zijn onwenselijk, maar om verschillende redenen. Een vals positief zorgt ervoor dat je meer energie in iemand steekt dan nodig is: je gaat iemand langer opsluiten of intensiever begeleiden om recidive te voorkomen terwijl dat helemaal niet speelt. En een vals negatief kost je meer achteraf, je hebt immers een nieuw misdrijf van die recidivist en dat had je nu net willen voorkomen.

Het is niet goed mogelijk beiden tegelijk te minimaliseren. Vaak zie je dat wanneer je de één in aantallen terugdringt, de ander groter wordt. Je kunt bijvoorbeeld eerder concluderen dat mensen recidive zullen plegen, waardoor je de vals negatieven vermindert. Er worden immers minder mensen vrijgelaten die recidivist blijken. Maar je hebt nu wel meer mensen ten onrechte als recidivist aangemerkt. En omgekeerd zou precies hetzelfde gebeuren, als je strenger bent in je beoordeling zul je minder mensen ten onrechte als recidivist aanmerken, maar daardoor ook eerder recidivisten laten gaan.

De kritiek op de COMPAS software richtte zich natuurlijk op de bias die de valse uitkomsten zou baseren op etnische afkomst. De vergelijking met gewone mensen laat nu zien dat dit niet perse de oorzaak is. Deze kregen namelijk de gegevens zónder indicatie van etnische afkomst, en gaven grofweg dezelfde voorspelling over recidive. Inclusief een hogere vals positief bij gekleurde mensen en een hogere vals negatief bij witte mensen. Dat zou dan eerder de conclusie rechtvaardigen dat die software er ook maar een gooi naar doet. Geen bias dus maar ook geen inhoudelijke analyse.

Arnoud

Een jaar retourrecht vanwege een ontbrekende bijsluiter

Geplaatst op in Ondernemingsvrijheid, 5 reacties

Als je op internet iets koopt, mag je dat in principe altijd retourneren binnen 14 dagen. Je moet dan het product terugsturen en je krijgt je geld terug. Daarbuiten ben je afhankelijk van de coulance van de webwinkelier, maar als deze vergeet je de essentiële informatie over een product te geven dan komt dat wettelijk anders te liggen. Een recent vonnis laat zien hoe dat uit kan pakken.

De zaak was relatief simpel. Een consument had een product besteld bij een webwinkel, maar dit pas na de 14-dagentermijn aangemeld voor retour. De winkel weigerde deze dan ook aan te nemen, en eiste alsnog betaling via een incassobureau. Dat kwam bij de rechter, die constateert dat dit op zich te laat was en dat je dat de winkel niet kon verwijten: de retourregels stonden keurig in de voorwaarden en het retouradres was ook duidelijk gemeld.

Wat wel ontbrak, was de bijsluiter en aanvullende productinformatie. En dat is een probleem, want volgens de wet mag je consumenten niets verkopen als je ze niet vooraf de voornaamste essentiële informatie (art. 6:230m BW) verstrekt. En bij het soort product waar het hier om ging (Forskolin Naturals, een voedingssupplement) is zo’n bijsluiter best belangrijk. Belangrijk genoeg voor de rechter in ieder geval om dit als essentiële informatie aan te merken.

De straf voor het niet verschaffen van die informatie is dat de consument in het geheel niet gebonden is aan de koop. Hij hoeft dus niets te betalen, en het product moet door de winkel teruggenomen worden. Voor andere webwinkeliers lijkt het me een goed idee om die lijst uit artikel 230m eens door te lopen, want er staat behoorlijk wat belangrijke informatie op. En omdat het een ict-blog is, licht ik er twee uit:

  1. de functionaliteit van digitale inhoud met inbegrip van toepasselijke technische beveiligingsvoorzieningen;
  2. voor zover van toepassing, de relevante interoperabiliteit van digitale inhoud met hardware en software waarvan de handelaar op de hoogte is of redelijkerwijs kan worden verondersteld op de hoogte te zijn;

Ik kom maar weinig sites tegen waar ik duidelijk kan achterhalen waar ik digitale inhoud wel of niet mee kan lezen en waarmee een en ander interoperabel is. Dus valt dat tegen na aankoop, dan heb je een stevige stok om er vanaf te komen.

Arnoud

Mag een site me tegen betaling zeggen of ik gehackt ben?

Geplaatst op in Security, 31 reacties

Wat is dit nu weer voor een dienst: Is mijn data gelekt.nl. “Ismijndatagelekt.nl biedt internetgebruikers de mogelijkheid om te checken of er inloggegevens van hen op internet te vinden zijn. Deze internetgebruikers kunnen hierop dan actie ondernemen en zichzelf beter beschermen”, zo staat er in de “over ons”. Wil je echter weten om welke gegevens het gaat, dan moet je even € 4,95 afrekenen alvorens je een rapportje ontvangt. Ik heb het geprobeerd maar niets gekregen, dus in de tussentijd maar even een blogje: eh, mag dat?

Zoals ik het begrijp, zoekt men in openbare bronnen naar gelekte bestanden met logingegevens zoals emailadressen en wachtwoorden. Deze combineert men dan om zo gegeven een e-mailadres te kunnen melden welke sites er gehackt zijn, en welke informatie op straat ligt (e-mailadres, wachtwoordhash, wachtwoord, beveiligingsvragen, et cetera). Dat bundelen en ter informatie verstrekken aan de slachtoffers lijkt me een prima idee.

Het doet ahem wat raar aan dat je moet betalen om die informatie te krijgen. Je zou zeggen dat als je weet dat iemand slachtoffer is van een misdrijf, je die persoon gratis helpt. Maar goed, dat is een ethische discussie. Een slotenmaker vraagt ook geld als hij een door inbraak vernield voordeurslot gaat vervangen, en je gestolen fiets wordt ook niet gratis vervangen. Ik kan in ieder geval geen juridische grond bedenken waarom je géén geld mag vragen om die informatie te delen.

Waar het wel mis mee gaat, is dat er nul identiteitsverificatie plaatsvindt. Je moet een vinkje aanvinken met “Ja, ik ben de eigenaar van dit e-mailadres” maar dat doorstaat natuurlijk de giecheltoets niet: geen redelijk mens zal denken dat dát identiteitsfraude tegenhoudt. En vervolgens krijg je dus – althans, dat zegt men – de gegevens toegemaild naar een willekeurige e-mailadres. Dus de bekende gelekte wachtwoorden, beveiligingsvragen et cetera van een willekeurig gekozen e-mailadres.

En ja daar weet ik wel wat juridisch op, dat noemen we volgens mij een datalek. Een inbreuk op de organisatorische beveiliging (namelijk de check, spreken we hier met de eigenaar) die leidt tot een onrechtmatige verstrekking van persoonsgegevens waardoor de betrokkene nadeel kan ondervinden (namelijk het misbruiken van zijn account). Dus nee, dit mag niet.

(Ik weet het, die informatie staat allemaal al in openbare bronnen dus kwaadwillenden kunnen het toch al vinden. Maar dat boeit onder de Wbp of de AVG werkelijk helemaal niets: als jij informatie bijeen brengt en herpubliceert dan ben jij daar verantwoordelijk voor. En nee, niks notice/takedown of beperkte aansprakelijkheid.)

Arnoud

Kun je als volwassen je kinderfoto’s offline halen?

Geplaatst op in Privacy, 10 reacties

Een lezer vroeg me:

Wanneer ouders of andere mensen een foto van jou als kind online hebben gezet, kun je die dan weg laten halen met een beroep op je privacy als je meerderjarig bent?

Dat kan, maar zal er vooral van afhangen of je ouders destijds ingestemd hebben met de publicatie.

Als je ouders toestemming hebben gegeven, dan kun je relatief makkelijk eisen dat de foto wordt verwijderd. Die toestemming is in te trekken, zo staat in de Wet bescherming persoonsgegevens (artikel 5 lid 2). Ook door jou, even los van of je ouders dat willen. Het belang van de wederpartij doet er in principe niet toe. En vanaf zestien jaar kunnen je ouders rechtsgeldig geen toestemming meer geven voor publicatie van je foto’s (artikel 5 lid 1), dat moet je zelf doen. Dus in die situatie kan de wederpartij zich niet beroepen op toestemming gegeven door je wettelijk vertegenwoordigers.

Je zult je overigens nog lange tijd op de Wbp moeten beroepen; de AVG of GDPR die er 25 mei aankomt geldt namelijk niet voor ‘verwerkingen’ oftewel publicaties van voor die datum. Maar voor wie deze blog over een paar jaar leest, dan heb je minder mogelijkheden: eenmaal gegeven toestemming onder de AVG is niet intrekbaar wanneer de verwerking oftewel publicatie plaatsvindt voor journalistieke of literaire doeleinden. En dat geldt ook voor publicatie door bijvoorbeeld een school of je tante op Facebook, de term “journalistiek” is heel breed.

Als er geen toestemming is gegeven, dan is dat moeilijker. Hoofdregel is dat de privacy van een minderjarige hoog wordt aangeslagen, zodat die het dus in principe snel zal winnen van iemands recht om foto’s te publiceren. Natuurlijk zijn er uitzonderingen mogelijk, en dat zit hem dan met name in de nieuwswaarde van de foto. Als er een duidelijk nieuwsbelang is bij de foto, dan kun je er geen bezwaar tegen maken. Denk aan deelname aan een openbaar sportevenement, een bijzondere maatschappelijke prestatie of iets dergelijks. Dit zal natuurlijk vaak tot discussie leiden.

Arnoud

Wat moet ik doen als mijn klant me productiedata geeft om te testen?

Geplaatst op in Intellectuele rechten, Privacy, Security, 19 reacties

Een lezer vroeg me:

Wij ontwikkelen enterprisesoftware voor klanten, en testen deze uiteraard ook. Meestal ontvangen we daarvoor de testdata van de klant en soms zit daar ineens productiedata tussen inclusief persoonsgegevens. Zijn wij daarvoor aansprakelijk onder de GDPR?

Het is uiteraard een goed idee om software te testen alvorens je deze gebruikt, zeker wanneer die software persoonsgegevens gaat verwerken. Dergelijke software moet immers veilig zijn en voldoen aan de beginselen van privacy by design en privacy by default.

Goede testdata is daarbij van belang, maar is vaak moeilijk te krijgen. Daarom zie je regelmatig dat er toch met productiedata wordt getest, dat is dan de enige bron van een grote hoeveelheid uiteenlopende data waarmee genoeg aspecten getest kunnen worden.

Handig, maar erg problematisch: je weet immers per definitie nog niet of de software veilig is en wel privacytechnisch dichtgetimmerd is. Daarmee neem je als bedrijf (de klant dus van de vraagsteller) een serieus risico op datalekken. Bovendien moet je met je wederpartij (zoals de vraagsteller dus) een verwerkersovereenkomst sluiten waarin je de omgang met deze data expliciet reguleert, en dat wordt vaak vergeten want “het is maar om te testen”.

Het ontwikkelbedrijf zou ik adviseren om expliciet in de overeenkomsten op te nemen dat er géén productiedata wordt geleverd en al helemaal niets waar persoonsgegevens in zit. Een anti-verwerkersovereenkomst, zeg maar. Stuurt de klant die dan toch, dan heb je in ieder geval een sterk argument dat dit niet de bedoeling was. Uiteraard moet je dat bij ontdekking wel melden en die data vervolgens meteen wissen.

Arnoud

De eerste robotrechter van Nederland blijkt gewoon al actief

Geplaatst op in Innovatie, 12 reacties

‘Robotrechter e-Court is een groot en niet transparant zwart gat’, kopte Nieuwsuur onlangs tendentieus. Stichting e-Court is al jaren actief als alternatieve geschilbeslechter en heeft verzekeraars gevonden als bereidwillige afnemers voor haar digitale arbitragedienst. Snel en gemakkelijk maar controversieel. Opmerkelijk voor mij daarin: de eerste stap is een artificial intelligence die over je zaak oordeelt. Mag dat zomaar?

Op zich is wat e-Court doet een legitieme constructie. Men biedt arbitrage aan, alternatieve geschilbeslechting buiten de rechter om. Dat mag, en kan voor beide partijen voordelig zijn: sneller en goedkoper, en je kunt de procedures optimaliseren voor jouw soort geschil in plaats zoals bij de traditionele rechtspraak een middelmaat omdat men alles aan moet kunnen. Digitale dossiers en on-line voortgang en uitwisselen van stukken lukt daar iets minder.

De controverse rond e-Court komt voornamelijk vanwege het feit dat mensen zonder het te beseffen akkoord gaan met arbitrage; dat staat namelijk zo in de algemene voorwaarden van met name zorgverzekeraars. Op zich legaal, zij het dat je bij start van een geschil bij de arbiter een maand moet krijgen om daar bezwaar tegen te maken. Daar lijkt het volgens het onderzoek vaak mis te gaan: het wordt bepaald onduidelijk uitgelegd, en ook wie dat bezwaar maakt, kan zomaar alsnog door de molen van e-Court gehaald worden en krijgt toch een arbitraal vonnis tegen zich, dat via de deurwaarder ten uitvoer kan worden gelegd. Dat klopt natuurlijk niet.

Voor mij sprong deze alinea eruit:

[Oprichtster Henriëtte Nakad] nam het heft in eigen hand, zette een bedrijf op en liet een computerprogramma bouwen dat automatisch vonnissen kan produceren. Die ‘robotrechter’ is ‘de meest objectieve rechter van Nederland’, zonder ‘misplaatste empathie’, schreef Nakad in een academisch artikel.

Dat academisch artikel laat zien dat het gaat om een Case-Based-Reasoning (CBR) kunstmatige intelligentie: nieuwe zaken worden op allerlei punten vergeleken met eerder zaken, en de uitspraak wordt bepaald aan de hand van die gelijkenis. Kort gezegd, als een zaak veel lijkt op 100 afgewezen incassozaken, dan wordt deze incassoclaim ook afgewezen. Ook wordt een heel raamwerk opgezet om de formele processtappen consequent uit te voeren.

Helaas kan ik nergens iets vinden over hoe deze AI inhoudelijk werkt. En dat is jammer want bij zo’n grote legal tech innovatie zou je toch graag willen weten hoe het werkt. Zeker omdat het hier gaat over vonnissen die mensen heel diep kunnen raken: de schuldenproblematiek in Nederland is hoog en complex, en black box uitspraken waar mensen zich door overvallen voelen, helpen daar natuurlijk niet bij. De keuze voor een AI snap ik wel, het is een hoog volume aan relatief simpele zaken en daar is met AI goede analyse op te doen.

Formeel is het overigens geen robot die beslist. Het is een voorbeeld van hoe AI een rol kan spelen in juridische besluitvorming. Vang de simpele gevallen af, en laat de rest (inclusief de gevallen waar men piept) door een mens behandelen. Alleen veronderstelt dat wel dat mensen piepen als er iets mis is, en specifiek bij consumentenrecht / schuldenincasso is dat iets dat heel vaak misgaat.

Het bedrijf reageert in een persbericht kort gezegd dat ook schuldenaars beter af zijn, omdat de procedure ook voor hen sneller en goedkoper uitpakt. Ik heb daar wel moeite mee, want juist dit onderwerp voelt voor veel schuldenaars als zeer machteloosmakend en ongrijpbaar. Dus als je dan óók nog eens alles achter een digitale procedure stopt én je hoort dat er een robot de eerste selectie maakt, dan is het argument dat je minder incassokosten krijgt en dat de deurwaarder heus luistert, niet meer relevant. Mensen vertrouwen robots niet in een dienstverlenende rol, laat staan als die over hun geld en goed beslist.

Algemeen heb ik er een dubbel gevoel bij. Het initiatief is nobel, want de rechtspraak ís verstopt en veel dingen kunnen gewoon efficiënter als je maatwerk toepast en niet alles op dezelfde manier behandelt. Maar de afwezigheid van transparantie vind ik moeilijk te verkroppen, helemaal omdat een AI in rechtspraak gewoon heel gevoelig ligt. En als je dan ook nog eens het primair opzet om schuldincasso te doen – waar notoir vaak mensen in de molen vermalen worden – dan krijg ik er een vervelend gevoel bij. Je ziet dat nu ook terug in de berichtgeving, dat het een “robotrechter” is die je blind veroordeelt. Niet goed voor de beeldvorming van legal tech en AI in de juridische sector. Dus nee, jammer.

Arnoud

Waarom een beschrijvende handelsnaam op internet zo populair is

Geplaatst op in Ondernemingsvrijheid, 12 reacties

Iedere onderneming heeft een handelsnaam, van zeer fantasievol tot zakelijk en beschrijvend. In tegenstelling tot het merkenrecht geldt daarbij geen eis dat de handelsnaam onderscheidend vermogen moet hebben. Dit levert bij internetbedrijven regelmatig lastige problemen op, omdat daar geldt dat hoe beschrijvender de handelsnaam hoe hoger de herkenning bij de klant. Een recent arrest laat zien hoe de regels liggen.

De handelsnaam is de naam waarmee een onderneming of ondernemer naar buiten treedt. Dit is niet hetzelfde als de statutaire naam waarmee het bedrijf officieel bekend is; het gaat om de naam waaronder een bedrijf bekend is bij het publiek. In tegenstelling tot een merk hoeft een handelsnaam geen creativiteit (“onderscheidend vermogen”) te bezitten. De Koninklijke Luchtvaart Maatschappij bezit dus een geldige handelsnaam, ook al is deze naam volstrekt beschrijvend voor een Nederlandse luchtvaartmaatschappij die het predicaat Koninklijk mag dragen.

Op internet is de praktijk populair geworden om een zeer beschrijvende handelsnaam te kiezen: simpelweg de naam van het verkochte product, of een simpele combinatie van productnaam en “Winkel” of “Kopen”. Een belangrijke reden hiervoor was dat in het verleden zoekmachines zoals Google de inhoud van een domeinnaam (typisch gelijk aan de handelsnaam) zwaar lieten meewegen bij de bepaling of een website relevant was voor een zoekopdracht. De webwinkel “schoenenkopen.nl” had dus grotere kans om bovenaan te komen bij de zoekopdracht “schoenen kopen” dan bijvoorbeeld “Schoenwinkel Max Jansen”. Ook helpt het bij de herkenbaarheid van de veelal kleine ondernemer: niemand kent Max Jansen maar het is wel direct duidelijk dat hier schoenen te koop zijn.

In 2015 wees de Hoge Raad het Artiestenverloning-arrest waarin kort gezegd werd bepaald dat bij beschrijvende domeinnamen het niet genoeg is dat een term verwarringwekkend is. In die situatie zijn bijkomende omstandigheden vereist om te kunnen spreken van onrechtmatig gebruik van de domeinnaam.

Vrijwel diezelfde kwestie kwam recent voor het Hof Den Haag in de zaak rond de webshop Parfumswinkel, die bezwaar maakte tegen concurrent Parfumswebwinkel. Deze wordt als zuiver beschrijvend aangemerkt; de tussen-s is niet genoeg om de naam creatief te maken. Niet was aangetoond dat deze naam zó bekend was dat het publiek deze met een specifiek bedrijf zou associëren. In die situatie, zo bepaalt het Hof, geldt de regel uit het Artiestenverloning-arrest ook bij handelsnamen: er moet meer zijn dan enkel de kans op verwarring. Als jij zo graag met heel beschrijvende namen wilt werken, dan moet je niet klagen dat anderen in de buurt komen en dat er verwarring ontstaat.

Het valt me op dat hoewel SEO en simpele trucs met beschrijvende namen niet meer werken, nog veel internetondernemers zulke namen kiezen. Is dat gewoonte, gemakzucht of is er nog een reden voor?

Arnoud

Mag je op het werk de internetradio aan laten staan als dat geld kost?

Geplaatst op in Ondernemingsvrijheid, 26 reacties

Wie in zijn eentje aan het werk is, zal snel geneigd zijn een muziekje aan te zetten. Vandaag de dag zelden meer een probleem voor de werkgever (de Buma/Stemra even daargelaten), maar twintig jaar geleden vaak een serieus discussiepunt vanwege de kosten. Maar toch ook in 2017 kennelijk nog, genoeg zelfs om in hoger beroep uitgevochten te worden: als je een werknemer een dongel geeft, mag hij dan naar de radio luisteren of is hij persoonlijk aansprakelijk voor de databundel-overschrijding?

De werknemer in deze zaak stond in haar eentje op een cateringlocatie, en had alleen via een dongel mobiel internet. Via die verbinding luisterde zij naar muziek tijdens het werk, maar kreeg na een maand de rekening gepresenteerd van de werkgever voor maar liefst € 1.239,60 aan datakosten bij Vodafone. Het verweer dat er toestemming was gegeven, werd niet geaccepteerd door de werkgever: volgens het reglement moest er dan nog steeds worden betaald voor zulke data als de bundel zou worden overschreden. Daarbij speelde mee dat de dongel-software waarschuwingen zou geven bij (dreigende) overschrijding van de databundel per maand.

Nou zijn dat soort reglementen altijd leuk en aardig, maar als het gaat om werknemers aansprakelijk stellen en/of schade laten vergoeden dan heb je maar heel weinig ruimte onder de wet. Die zegt namelijk dat een werknemer eigenlijk nooit privé aansprakelijk is voor wat hij op het werk doet, behalve bij opzet of bewuste roekeloosheid (en dat krijg je vrijwel nooit bewezen) of als hij verzekerd is voor de gevolgen.

De werkgever gaf aan dat duidelijk was aangegeven hoe de dongel werkt, inclusief waarschuwingspopups voor (dreigende) overschrijdingen van de datalimiet. De werknemer stelde daar tegenover dat zij dacht

dat voor de laptop een onbeperkt abonnement gold en zij heeft betwist dat is gesproken over betalen voor gebruik van de radio. Zij is geen ervaren gebruiker van internet en heeft nooit van een dongel gehoord. Zij liet de laptop aanstaan en deed alleen de klep dicht wanneer zij wegging. Wanneer zij weer op haar werk kwam deed zij de klep open en startte de radio door op 538 te klikken.

In principe is het dus zo dat een werknemer voor kosten gemaakt op het werk niet aansprakelijk is. Schade als gevolg van een slechte uitvoering van het werk zijn gewoon voor rekening werkgever.

Het Gerechtshof ziet een sprankje hoop voor de werkgever: als hij kan bewijzen dat bij naderende overschrijding van de databundel popups met waarschuwingen worden getoond en de werknemer deze heeft weggeklikt, én dat de werkgever de werknemer heeft geïnstrueerd hoe op de kosten te letten, dan zou een situatie van bewuste roekeloosheid ontstaan. Ik ben benieuwd hoe ze dat voor elkaar gaan krijgen.

Arnoud