Wanneer verdient een AI rechtspersoonlijkheid?

Geplaatst op in Innovatie, 11 reacties

In India kun je door een rivier worden gedagvaard, las ik onlangs (dank, tipgever). De rivieren de Ganges en de Yumana hebben daar dit voorjaar rechtspersoonlijkheid toegekend gekregen, zodat ze zelfstandig claims kunnen indienen tegen hun vervuilers. Ook bij dieren speelt die discussie. Dat is een opmerkelijke noviteit, en voor de tipgever aanleiding me te vragen of dit soort precedenten ertoe kunnen leiden dat ook Artifical Intelligences (AI’s) zelfstandige rechtspersoonlijkheid kunnen krijgen.

Rechtspersoonlijkheid is het concept dat iets anders dan een mens dezelfde status krijgt. De bekendste voorbeelden zijn bedrijven en verenigingen: die bestaan volgens de wet geheel los van hun bestuurders, aandeelhouders, leden en andere mensen die baat hebben bij die organisaties. Het idee erachter is dat de organisatie zo de individuele personen erachter kan ontstijgen, onder meer doordat die niet automatisch aansprakelijk zijn voor eventuele fouten of schulden veroorzaakt door het bedrijf. (En ja, dat is dan ook precies het probleem met rechtspersonen als het uit de hand loopt.)

Rechtspersoonlijkheid ken je toe aan een object wanneer je wil dat deze zelfstandig aan het rechtsverkeer deelneemt. Deze entiteit moet bijvoorbeeld geld of goederen kunnen bezitten, claims kunnen indienen of juist kunnen dragen en vergoeden. Het is handig dat een vereniging een rechtspersoon is bijvoorbeeld, omdat deze zo los komt van haar bestuurders, en met eigen vermogen activiteiten kan opzetten (zoals een zaaltje huren of donaties ontvangen) voor hun doel. Je kunt die entiteit dan ook aan nadere regels onderwerpen: dit is het stemrecht, en als je activiteiten zus en zo zijn dan zijn donaties belastingaftrekbaar.

Dat wil natuurlijk niet zeggen dat rechtspersoonlijkheid altijd de manier is om entiteiten te beschermen. In Nederland zijn dieren bijvoorbeeld geen rechtspersoon, maar toch beschermd tegen bijvoorbeeld mishandeling: het is mensen verboden dieren onnodig pijn te doen. Met zo’n regel is er specifiek voor dat belang dan geen rechtspersoonlijkheid meer nodig. Optreden tegen vervuiling in rivieren kan ook op zo’n manier, stel strafbaar het loze van vuil in de rivier. Het voornaamste voordeel van rechtspersoonlijkheid zou zijn dat de schadeclaim op zo’n vervuiler nu in de portemonnee van de rivier zelf terecht komt, in plaats van als boete bij de staat in de algemene schatkist. Ook kan de rivier dan zelf kiezen wie aan te klagen, in plaats van afhankelijk te zijn van het Openbaar Ministerie dat wellicht andere prioriteiten kiest.

Zou rechtspersoonlijkheid voor AI’s interessant zijn? Dat komt dus neer op de vraag welke belangen of beschermingen we vinden dat zij moeten hebben in het rechtsverkeer. Wat zou een AI doen met een eigen vermogen, bijvoorbeeld? Hebben haar bestuurders/programmeurs stemrecht nodig, moet de AI boven deze mensen uit kunnen stijgen? Moeten ze worden beschermd tegen anderen die ze schade gaan berokkenen?

Een argument voor rechtspersoonlijkheid dat ik vaak zie is aansprakelijkheid voor schade berokkend door AI’s, zoals bij zelfrijdende auto’s. Wie de weg op gaat en mensen schade berokkent (bijvoorbeeld door een aanrijding), moet die schade vergoeden aan het slachtoffer. Maar wie moet dat bij een zelfrijdende auto? Dat probleem is opgelost als je de AI in de auto tot rechtspersoon verklaart: dan heeft deze eigen vermogen, een verzekeringsplicht en ga zo maar door waarmee schadeclaims opgevangen kunnen worden. Maar het heeft ook bijeffecten, zoals dat je bij een aanrijding waarbij de autonome auto schade lijdt, aan die auto de schade moet vergoeden.

Voor mij is een belangrijke overweging hoe zelfstandig de AI aan het rechtsverkeer meedoet. De huidige AI’s doen dat nauwelijks. Een beslisboom, chatbot of machine learning model vind ik nauwelijks zelfstandig opererend. Mijn AI NDA Lynn opereert weliswaar autonoom, maar volledig binnen de grenzen die ik heb getrokken in haar programmering. Ze kan niet eens leren van haar fouten, dat doe ik door nieuwe trainingsdata erin te stoppen. Een systeem dat wél zelf leert van gemeten feedback op eerder handelen zou ik eerder die kant op vinden gaan.

De argumentatie erachter zou dan zijn dat het op dat moment niet redelijk meer is dat de personen achter de AI nog verantwoordelijk gehouden worden voor hetgeen die AI doet. Na een flink aantal rondjes bijleren is die AI dan immers niet meer vergelijkbaar met het ding waarmee men begon. Dat zou zoiets zijn als wanneer mijn kat ontsnapt en een eigen leven begint op de Veluwe: is het beest dat daar na vijf jaar rondsluipt, nog wel ‘mijn’ kat te noemen? Verdien ik de schadeclaims wanneer het Wim zijn hond opvreet?

Tegelijk blijf ik zitten met het punt dat als het maar om één ding gaat, en dan ook nog eens aansprakelijkheid, er meer oplossingen zijn dan dit zware middel. Je kunt immers ook van de eigenaren eisen dat ze zich verzekeren, bijvoorbeeld. Of een wettelijke regeling over aansprakelijkheid opnemen in de wet die een andere oplossing biedt. Want het punt is wel, als je een AI tot rechtspersoon verheft dan mogen ze gelijk (vrijwel) álles dat mensen ook mogen. Dus ik denk dat je die route niet snel moet willen.

Arnoud

Politie haalt netwerk van honderden illegale modems uit de lucht

Geplaatst op in Regulering, 31 reacties

Honderden Nederlanders hebben met een illegale modem gratis internet en televisie gehad, las ik bij Nu.nl. De maker van de gekloonde modems is gearresteerd voor computervredebreuk en oplichting, en de kopers worden mogelijk vervolgd voor heling, las ik dan. Maar dan ben ik dus een tikje in de war, want volgens mij gaat het om iets andere misdrijven.

Wie internet of televisie wil afnemen, heeft daarvoor een modem nodig. Die ontvangt en verwerkt (demoduleert) de signalen die je huis binnenkomen, waarna de rest van je netwerk daar mee aan de slag kan. Ieder modem heeft een unieke code, die wordt herkend door het netwerk en op basis daarvan wordt bepaald wat je zoal mag zenden en ontvangen. Door die code te klonen – herprogrammeren in een ander modem – krijg je dus toegang tot dienstverlening waar je eigenlijk niet bij mag.

Het is strafbaar om met een technische truc een telecommunicatiedienst af te nemen (art. 326c Sr):

Hij die, met het oogmerk daarvoor niet volledig te betalen, door een technische ingreep of met behulp van valse signalen, gebruik maakt van een dienst die via telecommunicatie aan het publiek wordt aangeboden, wordt gestraft met gevangenisstraf van ten hoogste vier jaren of geldboete van de vijfde categorie.

Ook de verkoop en het “uit winstbejag” in voorraad hebben van deze kastjes is strafbaar, zo staat in lid 2 van dit artikel: maximaal twee jaar cel of geldboete van de vierde categorie.

Ik denk dat ik dus even iets mis als ik dan heling, computervredebreuk en oplichting zie staan. Zijn de modems fysiek als objecten gestolen van Ziggo wellicht? Dat zou kunnen, want een van de verdachten werkt bij Ziggo. Maar als het bijvoorbeeld generieke modems zijn die het Ziggo-netwerk aankunnen (wat mogelijk en toegestaan is), of tweedehands ‘echte’ Ziggo-modems, dan zie ik niet welk strafbaar feit je pleegt door die modem in gebruik te nemen. Het klonen is een “technische ingreep” in de zin van bovenstaand wetsartikel.

De computervredebreuk zou dan zijn dat je binnendringt in het netwerk van Ziggo, je zendt en ontvangt immers signalen via dat netwerk terwijl je daar officieel niet mag zijn want je hebt immers geen abonnement. Maar mijn bezwaar daartegen is dat het hierboven aangehaalde artikel specifiek geschreven is voor dit soort strafbare feiten, en je hebt nu eenmaal de algemene regel dat je in principe altijd het specifiekste strafwetsartikel in stelling brengt.

Praktisch is er ook nog het punt dat mensen bij computervredebreuk nog kunnen zeggen dat ze niet wilden binnendringen, en dat artikel vereist nu eenmaal opzet. Terwijl bij het telecom-artikel hierboven je ook zonder opzet de wet kunt overtreden, zolang je maar wist of moest weten dat het eigenlijk een betaaldienst was.

Arnoud

Wanneer mogen wij de mailbox van een werknemer van een klant openen?

Geplaatst op in Privacy, 10 reacties

Een lezer vroeg me:

Mijn bedrijf verzorgt hosted e-mail en calendaring diensten, en wij beheren dan ook de mailboxen van medewerkers van onze klanten. Soms krijgen wij de vraag van een klant om een mailbox te openen, bijvoorbeeld omdat iemand uit dienst is of omdat er een geschil is. Wanneer mogen wij dit toestaan?

Vaste lezers, roep maar even mee: ook op het werk heb je privacy, en een werkgever mag dus niet zomaar in je mailbox kijken. Daar moet een goede reden voor zijn, en er moet rekening worden gehouden met je privacy. Een werkgever moet dus in een reglement uitwerken wanneer er zonder toestemming in een mailbox mag worden gekeken en wat het protocol dan is. Bijvoorbeeld, de manager en HR-directeur kijken samen en men negeert het mapje “Persoonlijk”. Of, we zoeken alleen op trefwoorden gelijk aan namen van zakelijke relaties.

Dat iemand uit dienst is, zou ik een goede reden vinden om een collega de mailbox in beheer te geven. Ik zou wel aanraden dat die mailbox even opgeschoond wordt, en ik hoorde laatst de slimme suggestie dat je de werknemer op zijn laatste dag vraagt of hij dat zelf heeft gedaan (en zo niet, doe het nu gelijk even).

Bij geschillen ligt het wat ingewikkelder, want daar is dan niet echt een objectieve reden – men gaat gewoonlijk dan juist op zóek naar redenen, om ontslag te forceren door aan te tonen dat er geheimen naar buiten zijn gesmokkeld of met relaties concurrerend contact is onderhouden bijvoorbeeld. Nu zijn dat natuurlijk op zich redenen, maar je mag pas gaan zoeken als je al een vermoeden hebt dat die redenen er zijn. Een snuffeltocht (fishing expedition) is niet toegestaan.

Een complicatie hier is dat de vraag nu wordt neergelegd bij een externe leverancier van ICT-diensten. Het doet denken aan die recente discussie over login-logs, waarbij dit ook aan een externe leverancier werd gevraagd. Het antwoord is hetzelfde:

De clouddienstverlener zou natuurlijk kunnen zeggen, het is niet mijn taak hierop te letten, want ik ben slechts bewerker / verwerker in opdracht. Dat klopt natuurlijk, maar een verwerker heeft onder de AVG wel degelijk een zorgplicht om na te gaan of hij wel binnen de wet handelt. Hoewel de verwerkingsverantwoordelijke de doelen en middelen van de verwerking bepaalt en daarbij instructies geeft ontslaat dit de verwerker niet van de plicht het te melden wanneer naar zijn mening de instructie in strijd is met de AVG of andere wetgeving over persoonsgegevens. Hij mag dus weigeren de gegevens te geven als het verzoek daarom duidelijk niet door de beugel kan.

Bij mailboxen geldt dus precies hetzelfde. Ook de hosted e-mail provider heeft een zorgplicht onder de AVG en moet dus zelf nagaan of het verzoek in orde is. Dat kan natuurlijk niet voor de volle 100% nagegaan worden, maar iets meer dan “tsja het is de klant, en hij betaalt dus hij bepaalt” moet er wel zijn. Een protocol hierover toevoegen aan je opdrachtovereenkomst of verwerkersovereenkomst lijkt me dan ook een heel goed idee.

Arnoud

Wacht, de ICT-manager mag niet ook de privacy officer zijn?

Geplaatst op in Privacy, 22 reacties

Een Duits bedrijf heeft een boete gekregen omdat haar IT-manager ook de rol van functionaris gegevensbescherming oftewel privacy officer had, las ik bij IAPP. Daarmee werd de wettelijk verplichte onafhankelijke status van de FG aangetast. Dat wordt nog een uitdaging dus als deze functie ook in Nederland een grote vlucht gaat nemen – in veel organisaties is de taak van privacy officer parttime, en doet deze persoon daarnaast nog een andere functie. Vaak security, maar ook ICT algemeen komt veel voor. En nee, dat mag bij ons straks onder de AVG ook niet zomaar.

De functionaris gegevensbescherming (FG) ook wel privacy officer genoemd is een wettelijk gedefinieerde functie. Het gaat om een onafhankelijk opererend persoon in de organisatie die mensen adviseert, begeleidt en traint op het gebied van privacy en persoonsgegevens, maar ook toeziet op een correcte naleving van de wet. (Hij is geen verlengstuk van de toezichthouder, meer dan iets dringend afraden bij de directie kan hij niet doen.)

De FG opereert onafhankelijk, zo bepaalt artikel 38 lid 3 van de AVG:

De verwerkingsverantwoordelijke en de verwerker zorgen ervoor dat de functionaris voor gegevensbescherming geen instructies ontvangt met betrekking tot de uitvoering van die taken. Hij wordt door de verwerkingsverantwoordelijke of de verwerker niet ontslagen of gestraft voor de uitvoering van zijn taken. De functionaris voor gegevensbescherming brengt rechtstreeks verslag uit aan de hoogste leidinggevende van de verwerkingsverantwoordelijke of de verwerker.

De FG mag dus niet worden aangestuurd door een hoger persoon in de hiërarchie. Hij hoort dus eigenlijk direct onder de directie aangesteld te zijn en daar direct aan te rapporteren.

Naast zijn werk als FG mag deze persoon ook andere taken vervullen, maar het bedrijf of organisatie dient er dan voor te zorgen dat hierbij geen belangenconflict kan optreden. Dat was dus de fout hier: omdat deze persoon ook de rol van ICT manager had, moest hij zichzelf controleren op naleving van de privacywet bij de ICT-dienstverlening. En dat is een klassiek voorbeeld van een belangenconflict.

Maar voor de duidelijkheid: dit speelt alleen bij organisaties die een FG moeten aanstellen. Wanneer je dat niet verplicht bent, is het natuurlijk prima om welke werknemer dan ook een extra pakket taken te geven die lijken op wat een FG zou moeten doen. En dat er dan belangenconflicten ontstaan, is alleen maar zakelijk jammer voor jezelf. (En het lijkt me geen leuk werk voor die persoon.)

De AVG noemt drie situaties waarin een FG verplicht is (zie ook de richtlijnen van de AP)f:

  1. Overheidsorganisaties, zowel landelijk als lokale overheden, moeten altijd een FG benoemen. Dit geldt ook voor zorginstellingen en onderwijs dat vanuit de overheid wordt gefinancierd (zie deze blog van mijn collega’s)
  2. Stelselmatige observatie, wanneer een bedrijf of instelling stelselmatig of systematisch mensen volgt dan moet het bedrijf een FG aanstellen. Dat klinkt als recherchebureaus maar ook internetmarketingactiviteiten kunnen eronder vallen. Ook online volgen en profileren is een vorm van “stelselmatige observatie”. Dus doe je meer dan privacyvriendelijk Google Analytics dan kan een FG wel eens verplicht zijn.
  3. Omgang met bijzondere persoonsgegevens, zoals over gezondheid of seksualiteit. Wie daar structureel mee werkt, moet ook een FG benoemen. Dit raakt dus zorginstellingen maar ook vakbonden (het lidmaatschap van een vakbond is een bijzonder persoonsgegeven).

Een veel gehoorde suggestie is dat de security officer binnen het bedrijf ook de rol van FG zou kunnen vervullen. Dat kan denk ik prima naast elkaar, aangenomen dat de vereiste onafhankelijkheid en rapportage rechtstreeks naar de directeur geborgd is. Een belangenconflict tussen deze twee functies zie ik niet snel, tenzij er een situatie ontstaat waarin je vanuit security oogpunt iets geheim wilt houden dat vanwege privacywetgeving gemeld of gepubliceerd moet worden (of andersom).

Kan een directielid ook FG zijn? De chief information security officer of de cto zou dan ook deze pet op kunnen hebben, en dan heb je meteen de rapportage naar de directie geregeld. Maar nee, dat leidt te snel tot belangenconflicten, want je rapporteert dan aan jezelf. Bovendien geldt als vuistregel dat een toezichthoudende rol niet samengaat met een uitvoerende (executive) rol: wie bepaalt wat er gaat gebeuren, moet niet ook gaan toezien op wat er gaat gebeuren. Dus afdelingshoofden en directieleden zijn niet geschikt.

Arnoud

Mag De Nederlandsche Bank de banken gaan hacken?

Geplaatst op in Security, 10 reacties

Een team onder de vlag van De Nederlandsche Bank (DNB) gaat de Nederlandse financiële infrastructuur hacken, las ik in het FD. Het ‘red team’ (oeh spannend) krijgt de opdracht om daadwerkelijk in te breken bij banken en financiële instellingen, waar slechts een klein groepje mensen afweet van de poging. Uiteraard wordt er niet daadwerkelijk schade aangericht, en het doel is van elkaar te leren en de beveiliging te vergroten. Maar toch doet het raar aan – DNB is immers de toezichthouder op diezelfde banken.

Ik ben wel enthousiast over dit initiatief, juist omdat het afkomstig is van zo’n belangrijke speler in de sector. Dit houdt de organisaties bij de les, je kunt niet volstaan met intern beleid maken en zeggen dat je het doet doet, of fouten bij een interne cyberaanval onder de pet houden. Dus in de basis lijkt me dit een goed idee.

Onduidelijk is voor mij nog of banken vrijwillig meedoen of verplicht worden. Ik kan er geen regel over vinden, en de inspiratie komt uit Engeland waar het vrijwillig is. Maar je zult vast iets uit te leggen hebben, zowel naar je collega-banken als naar de toezichthouders (want ook de AFM houdt toezicht op banken).

Juridisch interessant kan het worden als het een verplichting wordt. Want dan zou een bank dus tegen haar wil gehackt worden, en ook al gaat er dan niets stuk, het blijft dan computervredebreuk. (Tenzij er een bestuursrechtelijke bevoegdheid is waarmee dit binnendringen zou mogen, maar die ken ik niet.) Het lijkt me eerlijk gezegd sterk dat men zo ver zou gaan, maar ik zou het wel mooi vinden – dit is écht toezicht houden.

Arnoud

Zou je een robot vertrouwen die je juridisch advies geeft?

Geplaatst op in Innovatie, 32 reacties

Afgelopen week kwam nog een interessante kwestie langs over NDA Lynn haar kwaliteiten: wie zou er durven te varen op het advies van een robot? Want nou ja, het blijft software en die maakt fouten. En leuk en aardig dat ze gemiddeld 94,1% van de zinnen correct herkent, maar een geniepige zin die net in die 6,9% valt wordt dan dus gemist. Bovendien, hoe kun je achterhalen wat Lynn nu doet, echt uitleg op zinsniveau krijg je niet. Dus moet je dat wel vertrouwen, zo’n robotadvies?

Het punt van die uitleg is een algemene zorg bij AI beslissingen en -adviezen. Veel AI opereert als black box, je gooit er een input in en je krijgt te horen wat de output is, maar over het waarom zwijgt het systeem. En als je dan in die doos kijkt, dan helpt dat maar beperkt. Vaak komt het neer op “het leek meer op categorie A dan categorie B”, maar zien welke factoren daarbij de doorslag gaven, is erg moeilijk. Ook het doorgronden van die factoren is soms een puzzel; Lynn vond bijvoorbeeld een tijd NDA’s onder Californisch recht strenger, omdat mijn traindataset toevallig veel strenge Californische en wat relaxtere Europese NDA’s bevatte.

De angst voor dit soort onduidelijkheid speelt met name bij besluiten over personen. De AVG bevat een streng verbod op geautomatiseerde besluiten op basis van profielen, en AI-gebaseerde analyses “u krijgt geen hypotheek” vallen daar natuurlijk onder. Vandaar dat er tegenwoordig veel wordt geïnvesteerd in uitlegbare AI.

Toevallig heeft BigML (de technologie achter NDA Lynn) dat ook – het systeem produceert heel grof gezegd een stapel gigantische beslisbomen en geeft het gewogen gemiddelde van elke boom z’n uitkomst als de uitslag. Je kunt dus exact zien hoe een classificatie tot stand komt: er stond “state of California” achterin, ik zag ook “security measures” dus dit is een strenge NDA. Het is uitleg, maar niet eentje waar je perse veel aan hebt.

De cynicus mag nu reageren dat uitleg van een menselijke jurist óók lastig te volgen is voor een leek. Maar daar gaan we dan toch in mee, en de reden is simpel: die jurist vertrouwen we. Hij heeft er voor geleerd, hij doet dit al tien jaar, hij heeft een dik pand en een sjiek pak dus de zaken gaan goed, hij is verzekerd tegen claims en ga zo maar door.

Een AI heeft dergelijke vertrouwensfactoren niet, dus is het veel moeilijker om in te schatten of het klopt. In een Engels onderzoek bleek bijvoorbeeld slechts 7% van de mensen een AI advies over financiën te vertrouwen. Gek genoeg zou 14% wel onder het mes gaan bij een robotchirurg. Waar zit hem het verschil? Het mentale model dat we hebben bij deze handelingen, denk ik. Dat een robot heel precies en met vaste hand kan snijden, dat is voor te stellen. Dat hij ook geen millimeter af zal wijken van waar hij moet zijn, dat is ook nog wel logisch. Maar dat een robot mijn financiële situatie snapt en een passende hypotheek uitzoekt, nee dat is bizar.

Wat zit daar dan achter? Is het het fysieke, dat we een robotarm met mesje kunnen zien en ongeveer kunnen inschatten dat dat kan werken? Of is het de intelligentie die nodig is – bij een chirurg is dat vrij rechtomlijnd, bij een advies is het veel fuzzy’er. Een hart is een concreet item dat je tegen kunt komen in een borstkas, en daar doe je dan wat mee. De opties lijken daarmee eindig. Terwijl bij een advies het veel lastiger voorstelbaar is dat zo’n robot alle situaties kan inschatten. Dus dat is enger, en dan denkt men: doe maar niet.

Dus, hoe krijgt een adviesrobot het vertrouwen in zijn kunnen omhoog? Kwestie van gewoon doen en wachten tot men omslaat?

Arnoud

Mag een bedrijf vragen om een kopie van je ID bij een inzageverzoek?

Geplaatst op in Privacy, Security, 23 reacties

Een lezer vroeg me:

Wanneer je je wettelijk recht op inzage of verwijdering van je persoonsgegevens wilt uitoefenen, wordt steeds vaker gevraagd of je een kopie van je identiteitsbewijs wilt opsturen. Is dat eigenlijk wel toegestaan?

Onder de Wet bescherming persoonsgegevens, en straks de Algemene Verordening Gegevensbescherming (AVG of GDPR) heb je het recht om inzage te krijgen in alle persoonsgegevens die een bedrijf of instantie over je heeft, en ook het recht om daarin correcties aan te brengen of deze te laten verwijderen (mits niet meer relevant).

Dat laatste recht heet onder de AVG ook wel het recht te worden vergeten, maar dat is meer een marketingterm dan iets anders. Het gaat gewoon om het recht om irrelevante of verouderde gegevens te laten verwijderen uit bestanden.

Het recht van inzage wordt onder de AVG verder nog uitgebreid: je hebt dan recht op een elektronische kopie in een gebruikelijk bestandsformaat, zodat je de data elders kunt hergebruiken. (Wel met de beperking dat de data dan wordt verwerkt met jouw toestemming of krachtens een overeenkomst.)

Organisaties moeten binnen vier weken reageren op het verzoek. Natuurlijk moeten ze daarbij zorgvuldig omgaan met je gegevens, en onderdeel daarvan is verifiëren of jij wel echt de persoon bent om wie het gaat. Dit met een identiteitsbewijs nagaan is dus een logische manier.

In principe mag een bedrijf dus vragen om een kopie ID, hoewel men dan wel natuurlijk zorgvuldig om moet gaan met die kopie. Je zou voor de grap eens kunnen informeren welke beveiligingsmaatregelen men daarbij neemt, want ook dat is deel van je inzagerecht (informatierecht).

Natuurlijk is het altijd verstandig om op zo’n kopie je foto en BurgerServiceNummer door te strepen en over de kopie de naam te schrijven van het bedrijf waar je deze heen stuurt. Dat voorkomt identiteitsfraude en beperkt de impact van datalekken.

Arnoud

Minister pakt Russische site met privédocumenten van Nederlanders niet aan

Geplaatst op in Security, 11 reacties

Tegen de Russische website DocPlayer, die automatisch pdf-bestanden van internetgebruikers publiceert, wordt geen actie ondernomen. Dat meldde Nu.nl vorige week. De site publiceert 4,3 miljoen bestanden staan die door een computerprogramma worden verzameld en gepubliceerd. “Echter, het valt niet op voorhand te stellen dat deze gegevens illegaal verkregen zijn.” Want als ze uit openbare bronnen verkregen zijn, dan is het niet strafbaar. Eh, wacht, wat?

In september ontstond ophef over de site, toen RTL meldde dat daar miljoenen documenten te vinden waren met privéinformatie die via onduidelijke bronnen verkregen zouden zijn. Daarover werden kamervragen gesteld, wat ging de minister hier aan doen?

Vrij weinig dus. Op zich niet zo heel gek, wat kún je ook tegen zo’n site die in Duitsland staat. Zei hij sarcastisch. Maar iets serieuzer, als minister kun je hier natuurlijk echt weinig aan doen, die taak ligt immers bij toezichthouders zoals de Autoriteit Persoonsgegevens of bij de mensen die getroffen zijn door deze publicatie. Hoe vervelend ook, het is een civiele kwestie – je moet zelf een rechtszaak aanspannen als je auteursrechten worden geschonden of je privacy te grabbel wordt gegooid.

Indienen van een verwijderverzoek bij de site (haha) en bij Google (wie weet) zou dus de eerste aangewezen stap moeten zijn. Daarnaast een handhavingsverzoek bij de AP, hoewel de minister daar meteen een bezwaar oproept: de site zit in Duitsland, dus is de AP niet bevoegd. Nee, maar ze zouden toch kunnen bemiddelen bij de Duitse collega’s wellicht?

Het argument dat die gegevens “bewust of onbewust door gebruikers op het internet zijn geplaatst en daarna door deze site zijn verzameld” is natuurlijk compleet irrelevant en het is jammer dat dat zo prominent vooraan in de antwoorden staat. Want dat dóet er niet toe; ook als je zelf bewust iets op je site plaatst dan nog mag het niet worden gekopieerd in zo’n handigejongenssite.

Arnoud

Vader mag van rechter geen foto’s van zijn kind op Facebook delen

Geplaatst op in Privacy, 53 reacties

Een gescheiden vader uit Twente mag op Facebook geen foto’s van zijn 2-jarige kind meer delen, las ik bij de NOS. De kinderrechter bepaalde dat dit niet in het belang is van het kind en de broze omgangsregeling die net getroffen is. (Volgens mij was de man niet getrouwd met de moeder.) Met de ietwat opmerkelijke uitspraak dat je bij een Facebook-publicatie het sociale netwerk eigenaar maakt van de foto zodat die er alles mee mag doen. Nee, dat klopt niet.

Steeds vaker speelt bij echtscheidingen en ouderschapsregelingen de vraag hoe om te gaan met kinderbeelden op sociale media. In principe zijn de regels simpel: je hebt als ouders rekening te houden met de privacy van je kind (dat volgt uit het Kinderrechtenverdrag), en je moet dus bij alles een afweging maken of dit de privacy van je kind wel waard is. Het kan natuurlijk dat je daarvoor kiest, zoals wanneer je je kind aan een film laat meewerken, maar het moet een bewuste keuze zijn.

Helemaal ingewikkeld wordt het wanneer de ouders er niet hetzelfde in staan, zoals in deze rechtszaak. De moeder had als enige het gezag, en de vader vorderde nu een omgangsregeling. Daarbij werd een twistpunt dat de vader af en toe foto’s van het kind op Facebook plaatste, iets dat de moeder absoluut niet wilde hebben. Het argument van de vader was dat de foto zo veel mogelijk werd afgeschermd, waar de moeder tegenover zette dat je nooit écht controle hebt op iets dat internet op gaat.

De rechtbank erkent dat, maar in een tikje ongelukkige bewoordingen:

Echter, op het moment dat een foto op Facebook staat, is deze eigendom van Facebook. Facebook kan de foto bijvoorbeeld doorverkopen aan derden. Zo kan het zijn dat een foto opeens opduikt in een reclamecampagne of voor andere doeleinden wordt gebruikt. Degene die de foto heeft geplaatst heeft er dan geen controle meer over.

Het is natuurlijk onjuist dat Facebook eigenaar wordt van foto’s die je daar plaatst, en de voorwaarden van Facebook staan ook niet toe dat zij deze mogen doorverkopen aan derden. Maar de laatste zin klopt wel, die foto kán overal opduiken en praktisch gezien heb je daar weinig tot geen grip op. En dat is dan een goede reden om te zeggen, dit mag niet, dit is niet in het belang van het kind.

Uiteindelijk komt de rechtbank dan ook tot de enige juisteconclusie: de vader mag geen foto’s van het kind op sociale media plaatsen, mede gezien de lange weg die vader en moeder al zijn gekomen om tot een omgangsregeling te komen. En om dan terug te komen op de NOS-kop en tekst: wel érg tendentieus, het is niet zo dat vaders in het algemeen geen kinderfoto’s op Facebook mogen zetten natuurlijk.

Arnoud

Als je meedoet aan een Kickstarter, koop je het product dan?

Geplaatst op in Ondernemingsvrijheid, 10 reacties

Een lezer vroeg me:

Ik heb via een crowdfundingactie op Kickstarter ingetekend op een product bij een Nederlands bedrijf. De actie was geslaagd en het product werd geproduceerd, alleen blijkt nu mijn pakketje kwijtgeraakt op transport van de fabrikant in het buitenland naar mij. Ik heb gereclameerd maar het bedrijf zegt dat ik geen poot heb om op te staan, omdat het product in feite een “cadeautje” is in ruil voor mijn investering. Daarom is de verzending mijn risico. Klopt dat?

Onder de normale regels zou dit natuurlijk geen discussie zijn. Als je als consument wat koopt bij een bedrijf, dan moet het bedrijf zorgen dat de bestelling veilig bij je aankomt en zij zijn aansprakelijk voor een goede levering. Het doet er daarbij niet toe of je direct bij het bedrijf koopt of via een bemiddelaar.

Hier kun je je afvragen of je wel te maken hebt met een gewone consumentenkoop. Bij Kickstarter is immers sprake van een bijzonder proces, je tekent in voor iets dat nog niet bestaat en dat pas gemaakt gaat worden áls er genoeg mensen intekenen en het product haalbaar blijkt.

Een kado voor investeerders lijkt me onzinnig. Uit de terms of use van Kickstarter:

When a creator posts a project on Kickstarter, they’re inviting other people to form a contract with them. Anyone who backs a project is accepting the creator’s offer, and forming that contract. … When a project is successfully funded, the creator must complete the project and fulfill each reward. Once a creator has done so, they’ve satisfied their obligation to their backers.

Oftewel, als je een project opzet dan doe je een juridisch bindend aanbod aan je backers om een ‘reward’ te verstrekken en je bent dan ook verplicht die ‘reward’ te verstrekken. Je moet een product geven als de ander je geld geeft. Dat is volgens mij de definitie van een koop.

Het enige waar ik over twijfel, is of dit te zien is als een koop door een consument. Want alleen dan geldt die strenge regel uit de wet dat het product op risico van de verkoper moet worden bezorgd. Het voelt niet als een typische consumentenhandeling dat je intekent om een bedrijf te funden. Tegelijkertijd krijg je met deze wijze van werken niets meer of minder dan wanneer je het product gewoon in de webshop zou kopen, dus het is ook weer niet een zakelijke investering waarbij je bijvoorbeeld aandelen krijgt.

Dus ja, uiteindelijk denk ik dat het toch gewoon een consumentenkoop is. Het bedrijf moet dus zorgen dat de Kickstarter reward aankomt, en wel op haar eigen risico.

Arnoud