Waarom de NPO-app geen toestemming mag eisen voor tracking en dataverzameling

Geplaatst op in Informatiemaatschappij, 27 reacties

Juristen zetten vraagtekens bij de manier waarop de app NPO Start gegevens verzamelt van gebruikers, meldde de NOS vorige week. De NPO app eist akkoord op de mogelijkheid dat informatie over het kijkgedrag wordt doorgeven aan adverteerders (inclusief niet met naam genoemde partijen), anders kun je de app niet gebruiken. Wat mij betreft is dit geen vraag of het mag, maar een inkoppertje: nee, dat mag niet.

In 2014 kreeg de NPO al een tik van de toezichthouder ACM voor het niet op de correcte wijze plaatsen van cookies. Dat ging over de normale basale regels van informeren en netjes vragen, maar in de tussentijd is de wet gewijzigd – in het nadeel van de NPO. Bij de versoepeling van de cookiewet werd namelijk tevens bepaald dat publieke diensten geen cookiemuren mogen opwerpen:

De toegang van de gebruiker tot een dienst van de informatiemaatschappij die wordt geleverd door of namens een krachtens publiekrecht ingestelde rechtspersoon wordt niet afhankelijk gemaakt van het verlenen van [cookietoestemming].

Natuurlijk hebben we het in deze discussies meestal over cookiepopups bij websites, maar de cookiewet is veel algemener dan dat. Het gaat om iedere dienst van de informatiemaatschappij, iedere internetdienst dus. Ook een app met ingebouwde trackers valt dus gewoon onder die cookiewet. Ik heb er dus geen twijfel over dat de NPO dit wetsartikel overtreedt als ze het gebruik van haar app afhankelijk maakt van toestemming om getrackt te worden.

De NPO werkt nu aan een optie om deze gegevensdeling uit te zetten. Dat is wel een tikje te laat dus, maar alsnog mooi zullen we maar zeggen.

Arnoud

Heb ik recht op een nieuwe laptop als de processor een Meltdown of Spectre heeft?

Geplaatst op in Ondernemingsvrijheid, Security, 19 reacties

Beveiligingsexperts vonden twee grote bugs in processors, die vrijwel in elke computer ter wereld worden gebruikt. Dat meldde Nu.nl vorige week. De zogeheten Meltdown en Spectre bugs zijn bugs die er voor kunnen zorgen dat hackers toegang krijgen tot het kernelgeheugen van computers, waarmee onder meer wachtwoorden eenvoudig te achterhalen zijn (nou ja, “eenvoudig“). De kwetsbaarheden zitten in de processorchips die het hart vormen van veel moderne laptops, en het maakt dus niet uit of je Windows, Linux of MacOS draait. Aan oplossingen wordt gewerkt, maar ondertussen rijst dan de vraag: wie gaat opdraaien voor de kosten?

In zakelijke verkoopcontracten is het in principe volledig vrij onderhandelbaar wie welke kosten of schade voor zijn rekening neemt. Ik zou dus verwachten dat in een zakelijk leveringscontract voor die processorchips gewoon een uitsluiting voor aansprakelijkheid staat voor bugs als deze, zodat de koper daarvan met de gebakken peren zit nu en zelf op zoek moet gaan naar software-workarounds of nieuwe chips met alle kosten van vervanging van dien.

Bij consumenten kan dat anders liggen. Een consument heeft gewoon recht op een product conform de verwachtingen, en deze “wettelijke garantie” kan niet met kleine lettertjes worden ingeperkt. Als het product niet conform is, dan moet de winkelier (dus niet Intel of AMD maar de MediaMarkt of waar je de laptop maar kocht) het probleem herstellen of je een nieuwe laptop geven.

De vraag bij consumenten is dus, werd hier de verwachtingen geschonden? Of iets preciezer, de tekst uit artikel 7:17 BW:

Een zaak beantwoordt niet aan de overeenkomst indien zij, mede gelet op de aard van de zaak en de mededelingen die de verkoper over de zaak heeft gedaan, niet de eigenschappen bezit die de koper op grond van de overeenkomst mocht verwachten. De koper mag verwachten dat de zaak de eigenschappen bezit die voor een normaal gebruik daarvan nodig zijn en waarvan hij de aanwezigheid niet behoefde te betwijfelen, alsmede de eigenschappen die nodig zijn voor een bijzonder gebruik dat bij de overeenkomst is voorzien.

Ik verwacht niet dat bij de aanschaf van een laptop iets gezegd is over de aan- of afwezigheid van dit soort diepe bugs in de processoren. Je mag al blij zijn als erbij staat welk processortype erin zit. We zullen het dus moeten hebben van het “eigenschappen voor normaal gebruik” criterium. Is het voor normaal consumentengebruik vereist dat de processor deze bugs niet vertoont? Zo ja, dan maakt de bug de laptop nonconform en moet de verkoper er dus nieuwe chips zónder de bug maar mét dezelfde performance in prikken.

De bug kan worden gebruikt om gevoelige informatie zoals persoonsgegevens of wachtwoorden te stelen. Hij vereist wel dat de stelende software al op je computer staat, en dat is een breder probleem dat bekend is bij consumenten. Daarvan weet (of moet weten) de consument dat hij maatregelen moet nemen, zoals antivirussoftware of een firewall – die ook vandaag de dag vaak standaard op laptops aanwezig is. Mét die maatregelen lijkt de impact van deze bugs voor consumenten me zeer beperkt. Daarom denk ik niet dat je een conformiteitsclaim kunt indienen.

De bug heeft meer impact bij clouddienstverleners, en consumenten maken daar ook vaak gebruik van. Daar is het dus een verhoogd risico: er kunnen nu gegevens worden gestolen of ontoegankelijk gemaakt – datalekken – en dat kan de consument raken. De conformiteitsregel geldt daarbij echter niet, omdat een dienst geen product is. Maar het is wel een wanprestatie van de dienstverlener, zodat je je schade hierdoor kunt verhalen. Mits je deze hard kunt maken natuurlijk.

Arnoud

Nee, kunstmatige intelligentie zal nooit gaan rechtspreken (of pleiten)

Geplaatst op in Innovatie, 21 reacties

Een computer kan rechtspreken, als wij met zijn allen denken en willen dat hij het kan. Dat las ik bij Sargasso in een gastbijdrage van strafrechtadvocaat Vasco Groeneveld. AI komt eraan, ook in de rechtspraktijk. Die lijn doortrekkend betekent dat er over tien, twintig jaar robotrechters aan het werk zijn, niet gehinderd door emotie, hoofdpijn, vooroordelen of gewoon vrijdagmiddagmoeheid. Klinkt goed, maar ik zie het niet gebeuren.

Groeneveld begint met de stelling dat rechtspraak de “testcase bij uitstek” is:

Dat draait immers om het verwerken van datastromen en het onderbrengen van specifieke gegevens onder algemene wetmatigheden, en als ik het goed begrijp is dat zo’n beetje de definitie van een algoritme.

Het is inderdaad zo dat een algoritme een gestructureerd stappenplan is waarbij je algemene regels toepast op specifieke invoer. Ook het recht kent algemene regels, en juridisch werk bestaat vaak uit het vertalen van die regels naar een concrete casus: hier werd te hard gereden, dit is doodslag en dat contract is rechtsgeldig ontbonden.

Ik zie het zeker wel gebeuren dat computers die regels gaan toepassen, en zo juridisch-inhoudelijk werk gaan verrichten. Ik blogde daar medio december nog over: AI kan prima besluitvorming ondersteunen, en heeft dan inderdaad geen last van al die menselijke karaktertrekjes waar foute beslissingen op worden gebaseerd. (Tenzij de dataset waar de AI op gebouwd is die fouten introduceert, zoals bij een bevooroordeelde selectie.)

Ik zie rechtspraak alleen als uitzondering, speciaal geval. Ik noem het hier wel eens de exception handler van het recht: als we niet meer weten wat te doen, dan vragen we het aan de rechter. Haast per definitie krijgt de rechter dus de gevallen waar de wetmatigheden niet in voorzien of waar meerdere uitkomsten mogelijk zijn. En juist daar kunnen computers heel moeilijk mee omgaan. Daarom zie ik AI niet snel in de rechtszaal opduiken en uitspraken doen over die moeilijke gevallen.

Mijn visie is dat AI en computers de simpele gevallen zullen gaan doen, zeg maar de OM afdoening en de boetes op straat van oom agent. Wie daartegen bezwaar maakt, zal dan bij de menselijke rechter uitkomen die er een gewogen oordeel over moet doen. Daar kunnen dan ook bijzondere omstandigheden meegenomen worden, zoals een beroep op overmacht of noodweer waar haast per definitie geen regels over zijn.

Misschien dat een AI wel ondersteunende diensten kan leveren. Denk aan het analyseren van eerdere uitspraken over juist de minder wetmatige aspecten, zoals de strafmaat of de keuze tussen vrijspraak en veroordeling. Een AI kan daar patronen in ontdekken en zo aangeven of deze verdachte een lage straf moet krijgen of juist een hoge, zodat je een meer objectieve beoordeling daarvan krijgt. De rechter kan dat dan meenemen maar heeft het laatste woord en kan dus afwijken.

Arnoud

Is embedden van een foto inbreuk als de bronsite auteursrechten schendt?

Geplaatst op in Intellectuele rechten, 21 reacties

Een lezer vroeg me:

Op mijn site toon ik een RSS-feed van een aantal lokale media, waarbij ik de in de feed opgenomen foto’s embed vanaf de bronsite. Nu werd ik aangeschreven door een lokale fotograaf die me meldde dat die bronsite zijn auteursrechten schond – en ik dus ook. Maar embedden is toch geen inbreuk?

Sinds het Europese Svensson-arrest weten we dat linken naar een gepubliceerd werk niet telt als inbreuk op het auteursrecht. Dat geldt ook wanneer je geen gewone link gebruikt maar een techniek zoals framing of embedding, waarbij het lijkt of het werk deel is van je eigen werk.

Een belangrijke nuance daarop is echter het Sanoma-arrest, ook wel het GeenStijl of Britt Dekkers arrest genoemd. Hierin werd een uitzondering gemaakt voor linken naar en embedden van werken die zelf in strijd met auteursrechten werden gepubliceerd. Die uitzondering valt uiteen in twee situaties, afhankelijk van of je een particulier bent of een organisatie met winstoogmerk.

Een particulier schendt geen auteursrechten door te linken naar een schendende bronpublicatie (of deze te embedden) wanneer vaststaat dat hij niet wist en niet kon weten dat de bronpublicatie er in strijd met het auteursrecht staat. Dit is een relatief hoge lat, en in de praktijk betekent dit dat ze alleen maar na een waarschuwing de link moeten weghalen.

Een bedrijf (een entiteit die met winstoogmerk opereert) heeft een onderzoeksplicht: zij worden vermoed te weten van de auteursrechtelijke status van waar ze naar linken. Zij schenden dus auteursrechten door te linken of te embedden wat illegaal online staat, tenzij ze kunnen bewijzen dat ze niet konden weten van de inbreukmakende status.

Je moet dus als bedrijf navraag doen bij de bronsite hoe zij aan hun beeld komen, of uit iets op de bronsite afleiden dat de foto’s legaal gepubliceerd zijn. Ik zou zelf wel durven verdedigen dat bij een grote bekende bronsite (zeg Nu.nl) je dat wel mag vermoeden, zodat daar je onderzoeksplicht snel klaar is. Maar een hard criterium is dat natuurlijk niet, zodat navragen eigenlijk altijd onvermijdelijk is.

Arnoud

Welk retourrecht heb je bij een bakstenen winkel eigenlijk?

Geplaatst op in Ondernemingsvrijheid, 11 reacties

Een lezer vroeg me:

Laatst was ik voor de verandering eens bij een ‘echte’ winkel (hoe noem je dat, een bakstenen winkel) en daar viel me op dat het retourrecht werd uitgesloten voor spullen in de aanbieding. Is dat legaal?

Het is een misverstand dat je bij een aankoop in een ‘echte’ winkel een recht hebt om deze ongedaan te maken. Dat recht geldt alleen bij online aankopen en bij telefonische verkoop. Wat je gewoon in de winkel koopt, is dus definitief en niet terug te draaien onder de wet. (Behalve natuurlijk als het bedorven, kapot of iets dergelijks blijkt na aankoop. Dat heet dan wanprestatie of nonconformiteit en dat geldt altijd als grond voor retour.)

Heel veel winkels accepteren natuurlijk een retour, en geven dan geld terug, een tegoedbon of een omruiling voor bijvoorbeeld een andere maat of kleur. Dat mag, maar is dus een vrije keuze van die winkels. Ze mogen dus ook zelf de regels bepalen voor die retour, bijvoorbeeld dat het ongeopend moet zijn, de kaartjes er nog aan, binnen 8 dagen en alleen met originele bon.

Vaak noemen die het dan ook een coulanceregeling, maar dat is weer net iets te makkelijk geformuleerd. Wanneer ergens vastgelegd is hoe die regeling werkt, is die regeling gewoon een algemene voorwaarde die dan deel is van je aankoop en daarmee bindend voor de winkel. Een retour conform die regeling mag dus niet worden geweigerd.

Heel misschien kun je nog met een beroep op het gewoonterecht bij een winkel een retourregeling afdwingen. De wet (art. 6:248 BW) bepaalt namelijk dat de gewoonte deel is van de overeenkomst. Het moet dan gaan om een bestendige regel die in die branche normaal gehanteerd wordt. Die regel geldt dan gewoon, ook als hij niet in een expliciete regeling is vastgelegd.

Ik zou de stelling wel aandurven dat het in de kledingbranche gewoonte is dat je kleding mag omruilen naar een grotere of kleinere maat, maar bij andere branches zou ik niet zo stellig willen zijn. Overigens mag een winkel die regel uitsluiten als ze dat heel expliciet doen, “Geen retour of omruilen bij kleding in de uitverkoop!”

Bij winkels die zowel fysieke als webwinkels voeren, zie je vaak dat één set algemene voorwaarden wordt gehanteerd voor beiden. Daarin staat dan de bij webwinkels verplichte retourregeling, en die zal dan ook gelden voor een fysieke aankoop. Tenzij men zo slim is om er expliciet bij te zetten “Indien de aankoop in onze webwinkel wordt gedaan” natuurlijk.

(Overigens noem je het een stoepwinkel denk ik, een webwinkel zit op het web en een stoepwinkel op de stoep.)

Arnoud

Uber is een taxidienst, geen digitaal deelplatform

Geplaatst op in Ondernemingsvrijheid, 10 reacties

Het bedrijf Uber is een taxidienst met een app, geen bemiddelingsplatform. Dat blijkt uit het arrest van het HvJ van 20 december vorig jaar. De uitspraak volgt op vragen uit 2012 van de Spaanse rechter in een zaak aangespannen door een concurrent. Door deze uitspraak is het duidelijk dat de diensten van Uber als iedere andere taxidienst mogen worden gereguleerd, de hippe app-interface en alle mooie woorden over de deeleconomie ten spijt.

Uber is al jaren verwikkeld in een hevige strijd met taxibedrijven en toezichthouders. Zij ziet zichzelf als een exponent van de nieuwe economie, waarbij bedrijven bemiddelen tussen aanbieders en afnemers maar zelf inhoudelijk geen rol hebben bij de diensten die vervolgens worden afgenomen. Die discussie is een moeilijke, maar nu lijkt het Hof de knoop wel doorgehakt te hebben.

In deze Spaanse zaak was de vraag in essentie of Uber aan te merken was als een vervoersdienst, een in het EU-verdrag speciaal geregelde categorie van diensten. Normaal mogen diensten niet zomaar worden gereguleerd vanuit het oogpunt van een vrij verkeer van diensten, maar specifiek bij vervoers- en taxidiensten kan dat wel.

Uber verweerde zich met een beroep op de E-commercerichtlijn: zij bood immers een dienst waarbij op afstand mensen met elkaar informatie uitwisselden, waarbij Uber niet bepaalde welke informatie dat was. Een dienst van de informatiemaatschappij, in het jargon. Die kwalificatie heeft een aantal belangrijke gevolgen, zoals dat je niet aansprakelijk bent voor de inhoud, maar voor Uber ook belangrijk: zo’n informatiedienst is per definitie geen vervoersdienst (of andersom). En lidstaten mogen informatiediensten in principe niet aan nadere regulering onderwerpen.

Het Hof van Justitie prikt echter door die opstelling heen en ziet Uber gewoon als een vervoersbemiddelingsdienst, wat binnen de scope van “vervoersdiensten” valt.

the intermediation service provided by Uber is based on the selection of non-professional drivers using their own vehicle, to whom the company provides an application without which (i) those drivers would not be led to provide transport services and (ii) persons who wish to make an urban journey would not use the services provided by those drivers. In addition, Uber exercises decisive influence over the conditions under which that service is provided by those drivers. On the latter point, it appears, inter alia, that Uber determines at least the maximum fare by means of the eponymous application, that the company receives that amount from the client before paying part of it to the non-professional driver of the vehicle, and that it exercises a certain control over the quality of the vehicles, the drivers and their conduct, which can, in some circumstances, result in their exclusion.

Kort gezegd, Uber bemoeit zich inhoudelijk met wat er gebeurt en dat houdt niet op bij de informatie-uitwisseling op het platform. Daarmee is het zwaartepunt van wat Uber doet, gericht op het vervoer en niet op de informatiedienst. Uber is dus een taxicentrale met een app, en geen deelplatform.

(De uitspraak is in zoverre uniek dat hij specifiek hangt aan de regels over vervoer uit het EU-verdrag. Voor andere bemiddelingsapps zoals AirBNB (logies) of Peerby (spullen bij je buurt) gaat dit arrest dus niet meteen op.)

Arnoud

Vijf juridische voorspellingen waarvan ik hoopte dat ze niet zouden uitkomen in 2017

Geplaatst op in Iusmentis, 14 reacties

Elk jaar doe ik op 1 januari een aantal voorspellingen, en elk jaar breng ik het er bar slecht vanaf. Vandaar dat ik begin 2017 besloot vijf voorspellingen te doen die hopelijk niet uit zouden komen.

  1. Netneutraliteit komt onder druk te staan door bedrijven die de grenzen van de daarover aangenomen Verordening opzoeken. Natuurlijk geïnspireerd door T-Mobile, dat volgens de ACM de grens overtrad. Maar er gaan er meer komen. – Inderdaad, het was T-Mobile en die zette netneutraliteit in haar hemd door succesvol te betogen dat datavrije muziek netneutraal is. En natuurlijk ook het fiasco in de VS met het afschaffen van netneutraliteit daar.
  2. Een Europese overheid neemt een wet aan die filteren van ‘ongepast’ internetverkeer verplicht stelt voor ISP’s uit dat land. – Ik ken er geen, het Engelse filter is natuurlijk al uit 2013 volgens mij.
  3. Ethisch hacken komt weer in de juridische kijkers, bijvoorbeeld door strengere computercriminaliteitswetgeving die publicatie van hacks aanmerkt als ‘heling’ daarvan. – Wetsvoorstel Versterking Bestrijding Computercriminaliteit, het ligt er nog maar specifiek ethisch hacken werd niet aangetast.
  4. Een nieuwe flater met ‘slimme’ contracten leidt tot een rechtszaak over hoe ver je mag gaan met computercode als harde neerslag van je afspraak. – Helaas, ik heb er geen nieuwe gezien.
  5. En natuurlijk crowdsource ik de laatste. – Wat Wim Zei.

Toch een aardig resultaat uiteindelijk. Maar ik gooi het bijltje erbij neer wat voorspellen betreft, want ik ben er duidelijk niet goed in. Daarom: wat denken jullie dat er gaat gebeuren in 2018, op internet-juridisch gebied?

En natuurlijk: gelukkig 2018!

Arnoud

Jaaroverzicht: de reageerdersstatistieken!

Geplaatst op in Iusmentis, 4 reacties

Ook dit jaar natuurlijk weer een aantal jaaroverzichten over het belangrijkste van mijn blog: mijn reageerders.

Allereerst, de top vijf meeste reacties per persoon:

  1. 271 Corné

    2. <li>263 Heimen Stoffels</li>

<li>230 Elroy</li>

<li>206 MathFox</li>

<li>186 Mark</li></ol>

    De meeste plusjes ontvingen:

    1. 168 Corné
    2. 163 Elroy
    3. 136 MathFox
    4. 124 Mark
    5. 95 cg

    De meeste plusjes op één bericht gingen naar deze comment van Winfried Tilanus:

    Het is van de zotte dat we hier een discussie zitten te voeren over hoe we ons met technische middelen moeten beschermen tegen onze eigen opsporingsdiensten. In een rechtstaat moeten we er op kunnen vertrouwen dat de opsporingsdiensten integer met hun machtspositie omgaan en blijkbaar is dat vertrouwen weg. En bij mij is dat vertrouwen ook weg. Ik heb tien jaar lang voor tien hulpverlenende organisaties een chatservice gedraaid en ik heb in die tijd 2 ernstige beveiligingsincidenten gehad. Beide incidenten hadden te maken met overijverige opsporingsambtenaren die op volstrekt illegale wijze druk aan het uitoefenen waren.

    Dat vertrouwen is niet terug te winnen met technische middelen, maar met veranderingen in onze overheid (en we waren er zelf bij toen we naar de stembus gingen). Deze discussie laat vooral zien dat we in het lijstje staan van landen waar de inwoners extreme maatregelen moeten nemen om niet in de problemen te komen met het machtsmisbruik van de eigen overheid.

    Arnoud

Jaaroverzicht: de populairste blogs van 2017

Geplaatst op in Iusmentis, 4 reacties

Alweer het tiende jaar dat deze blog bestaat, ergens niet te geloven zo lang. Maar zoals elk jaar toch weer even een terugblik, wat waren de populairste blogs van afgelopen jaar?

Eerst de vijf populairste gebaseerd op aantal unieke bezoekers die deze lazen:

En dan de vijf controversieelste, gebaseerd op het aantal reacties dat ze kregen:

De minst boeiende was overigens Amerikaanse zedendelinquent heeft recht op sociale media, mogelijk omdat het middenin de zomer was? Nul comments én het minste views van allemaal dit jaar.

Wat was jullie leukste/controversieelste blog?

Arnoud

Fijne feestdagen!

Geplaatst op in Iusmentis, 5 reacties

Iedereen fijne feestdagen en een gelukkig alsmede juridisch correct 2018 gewenst! Wat gaat de tijd toch weer snel.

Dit jaar een uniek patentkerstgeschenk, een kaart die opgeladen wordt met de persoonlijke energie van de gever. De voorkeursuitvoeringsvorm gebruikt een dunfilm piezoelectrisch element om energie af te tappen en te bewaren.

Later deze week nog een paar jaaroverzichten! Verzoekjes om interessante statistieken en wtf-berichten zijn welkom.

Arnoud