Hoe verander je van huisregels als forum?

Geplaatst op in Informatiemaatschappij, 6 reacties

Regelmatig krijg ik vragen van forums en andere sites waar mensen dingen mogen posten: ze willen nieuwe voorwaarden, maar hoe voer je dat in? Kun je ze gewoon op je website zetten, of moet je iedereen apart akkoord laten gaan en wat doe als mensen dan bezwaar maken?

Nieuwe gebruiksvoorwaarden maken is inderdaad niet zo moeilijk, maar je moet ze vervolgens ook invoeren. En dat kan misgaan wanneer je mensen al onder bestaande voorwaarden op je site hebt. Die mensen hebben juridisch gezien een contract met je, en de voorwaarden uit zo’n contract moeten worden nageleefd. Door hen – maar ook door jou.

De eerste stap is dus in je huidige voorwaarden nakijken wat deze zeggen over het wijzigen daarvan en hoe dat procedureel moet gebeuren. Vaak staat er dat dit zomaar mag, maar dat je het een maand of zo van tevoren moet melden. Dat is dan dus hoe het zal moeten.

Staat er niets over het mogen wijzigen, dan heb je tóch dat recht. Bij langlopende diensten is het namelijk sowieso toegestaan om deze op te zeggen als dienstverlener (leuk man, die informatiesamenleving), en als je mag opzeggen dan mag je ook wijzigen. Natuurlijk mag de gebruiker dan ook weer opzeggen, die hoeft geen genoegen te nemen met gewijzigde voorwaarden. Maar in de praktijk heb je daar weinig aan natuurlijk, want je wilt meestal niet weg bij zo’n dienst.

Staat er niets over een termijn, dan zul je zelf een redelijke termijn moeten geven waarbinnen je het gaat melden voordat ze in werking treden. Het is niet toegestaan om gewijzigde voorwaarden per direct in te laten gaan, dat is niet redelijk. Een week bij een gratis forumdienst lijkt mij redelijk. Bij een betaaldienst zou ik eerder één of twee maanden aanhouden.

Het aankondigen van de wijzigingen gebeurt zoals gemeld in de oude voorwaarden. Staat er niets, dan moet je wederom op zoek naar een redelijke invulling. Ik vind zelf het netst om iedereen bij de eerstvolgende inlog een bericht te sturen dat de voorwaarden gewijzigd zijn en wanneer ze in werking treden. Men kan die dan rustig lezen en besluiten al dan niet weg te gaan. Een akkoord afdwingen mag ook via dat kanaal, maar pas nadat die redelijke termijn is afgelopen natuurlijk.

Voor de privacyverklaring ligt het eigenlijk eenvoudiger. Die tekst moet namelijk gewoon uitleggen wat je doet met mensen hun privacy. Akkoord daarop is niet nodig, en ze mogen dus ook op ieder moment wijzigen.

En nee, dat betekent niet dat je dus zomaar jezelf nieuwe dingen kunt toestaan door ze in de privacyverklaring te noemen. De privacyverklaring is documentatie, een bijsluiter. Je zult nog steeds netjes toestemming moeten vragen om bijvoorbeeld je gebruikers nieuwsbrieven te sturen of hen te tracken met een prachtige nieuwe tool. Maar regel je dat die toestemming gevraagd wordt, dan kun je zonder nadere mededeling de privacyverklaring uitbreiden met uitleg over die nieuwsbrief of tool.

Arnoud

Valt iedere bit straks onder de Privacyverordening?

Geplaatst op in Privacy, 27 reacties

Naar aanleiding van de recente vraag of een klassenfoto privacygevoelig is, kreeg ik diverse opmerkingen onder meer via Twitter:

Net als het getal 098773557 . Want misschien een bsn. Het AVG virus noem ik dat, elk stukje data wordt er uiteindelijk door besmet.

De Privacyverordening als virus, het moet niet gekker worden. Maar ik snap de zorg, want inderdaad kunnen heel wat brokjes informatie persoonsgegevens zijn, zeker met de nieuwe, brede definitie van dat begrip die we vanaf 25 mei gaan krijgen.

Ik geloof onmiddellijk dat het getal 098773557 ergens een persoonsidentificatie is, maar die definitie is echter niet zo breed dat een sequentie van tekens een persoonsgegeven is enkel omdat het ergens gekoppeld zou kunnen zijn aan een persoon.

Waar het om gaat, is of het getal of andere sequentie met redelijke inspanning te herleiden is tot een persoon. Dat hoeft niet perse door jou te kunnen, het gaat erom of objectief gezien die herleiding mogelijk is. Een IP-adres is daarom dus al snel een persoonsgegeven: via de internetprovider is het te herleiden tot de natuurlijke persoon die abonnee is. Dat die provider daar niet snel aan meewerkt, doet er niet toe. Het is eenvoudig genoeg.

Voor mij gaat het mis bij het genoemde getal: ik heb geen idee hoe ik van daar moet komen tot een persoon, op welke wijze dan ook. Dat ergens iemand dat als sleutel in een lijst heeft, zal best – maar hoe weet ik wie die lijst heeft?

Je zou een redelijke aanname kunnen doen dat een groot bedrijf zoals Shell haar personeel personeelsnummers geeft, en dat 098773557 dan een geldig nummer is. Of een CRM-pakket blijkt met dergelijke identifiers te werken, en je weet een aantal bedrijven te noemen die dat gebruiken en dus (zo mag je vermoeden) iemand hebben als klant of personeel met dat nummer.

Dan blijf je echter terugkomen bij het feit dat met dit nummer wel op een of andere manier bedoeld moet zijn om te wijzen naar die persoon. Waar blijkt dat uit? De tweet in dit voorbeeld geeft nergens enige hint van een persoon wiens bsn dit zou moeten zijn. Daarmee gaat de herleidbaarheid dus al heel snel mis.

Als meneer had getwitterd “Net als het getal 098773557 – ID van een klant van me – …”, dan zou ik het misschien wel een persoonsgegeven noemen. Hij kan dan immers het ID herleiden tot die klant, en dat maakt objectief gezien het gegeven inderdaad persoonlijk. Die tweet wordt daarmee dan in feite giftig afval, en je zou hem dan als een datalek kunnen zien.

Specifiek bij zo’n voorbeeld zou je denk ik het getal nog wel mogen retweeten en betrekken in discussie. De informatievrijheid zou in zo’n geval namelijk ook meewegen, en de kans op identificatie en schade is vrij klein, dus in de belangenafweging onder de AVG kom je denk ik al snel bij een rechtvaardiging uit.

Arnoud

Whoa, kun je echt de cel in gaan omdat je in opdracht sjoemelsoftware programmeert?

Geplaatst op in Regulering, 32 reacties

Een softwareontwikkelaar van Volkswagen is in de VS tot 40 maanden cel veroordeeld voor zijn aandeel in het sjoemelsoftwareschandaal, las ik bij Reuters. De man was volgens het vonnis deelnemer aan een samenzwering met als doel een “stunning fraud on the American consumer.” Wat gelijk behoorlijk wat ophef gaf: je kunt dus strafrechtelijk de cel in gaan wanneer je doet wat je baas zegt.

In theorie is dat inderdaad mogelijk. Artikel 51 Wetboek van Strafrecht bepaalt dat zowel natuurlijke personen als rechtspersonen (bedrijven, verenigingen, stichtingen etc) strafrechtelijk vervolgd kunnen worden. In dit geval was Volkswagen als bedrijf degene die de sjoemel oftewel fraude heeft begaan, dus is vervolging tegen het bedrijf mogelijk.

Maar volgens lid 2 van dat artikel zijn de natuurlijke personen binnen het bedrijf óók te vervolgen wanneer het gaat om “hen die tot het feit opdracht hebben gegeven, alsmede tegen hen die feitelijke leiding hebben gegeven aan de verboden gedraging”. Dat is dus een risico voor die werknemers, maar er staat een belangrijke beperking: ze moeten op een of andere manier een bevoegdheid hebben gehad om het strafbare feit te initiëren of uit te laten voeren. Dus kort gezegd zijn managers en projectleiders persoonlijk te vervolgen, maar de onderknuppels en stagiairs niet.

(Natuurlijk ben je wel persoonlijk te vervolgen ongeacht je positie als je zelf strafbare feiten begaat zonder dat daar een opdracht of iets dergelijks aan ten grondslag ligt. Denk aan een boekhouder die facturen vervalst om daar zelf beter van te worden, of een programmeur die bedrijfsdata verkoopt aan de concurrent. Pas als de handeling het bedrijf redelijkerwijs kan worden toegerekend, komt aansprakelijkheid van het bedrijf in zicht.)

Uit de berichten kan ik niet helemaal halen wat precies de rol was van deze ontwikkelaar, maar ik krijg niet het idee dat hij helemaal onderaan de boom zat en zich verplicht voelde dit te bouwen. Hij is echter ook weer geen manager of directeur, zodat het niet meteen te zeggen is hoe hij onder Nederlands recht strafbaar zou zijn. Ik denk van wel, wanneer hij senior genoeg zou zijn om enige inspraak of beslisbevoegdheid te hebben in het ontwerp of de invoering van deze software.

Wat moet je nu doen als ontwikkelaar, stel dat je zo’n opdracht krijgt. Allereerst zeg ik er wel bij dat het moet gaan om écht duidelijk strafbare zaken en dat dit ook voor jou kenbaar had moeten zijn. Verstuur je facturen die een ander vervalste, dan ben je natuurlijk niet strafrechtelijk aansprakelijk. Die kenbaarheid zal de doorslag geven verwacht ik. Daarbij speelt jouw professionele kennis een grote rol. Had je dit kunnen weten, had iedereen in jouw gebied dit kunnen weten of had dit alleen maar na diepgaande juridische analyses duidelijk kunnen worden?

Bij twijfel is mijn advies altijd, escaleren naar boven en/of naar Juridische Zaken. Je mag verwachten dat daar mensen zitten die dan ook zeggen, oei dit kan strafbaar zijn, laten we het niet doen. Dus dan komt er vanzelf een rem op. En de bedrijfsjurist is normaal ook iemand met als taak het bedrijf beschermen tegen claims, waardoor je ook daarvan mag verwachten dat deze er een stokje voor steekt als het duidelijk strafbaar is. Het is nooit verkeerd om iets aan de bedrijfsjurist te vragen bij zulke twijfels, en naar je manager toe lijkt me dat ook goed verkoopbaar: je wilt weten waar de grenzen liggen zodat je het netjes kunt bouwen binnen de wet.

De Volkswagenzaak is uniek omdat hier tot het hoogste niveau ingestemd lijkt te zijn geweest met de fraude. Dan heb je niemand meer om naar te escaleren of om te laten voorkomen dat er strafbare zaken gebeuren. Dan houdt het juridisch wel een beetje op. Klokkenluiden kan natuurlijk, maar heeft altijd grote persoonlijke gevolgen want of het OM er wat mee doet is altijd de vraag, maar dat je werkgever achter jou aankomt is vrijwel een gegeven. Ontslag nemen ligt voor de hand maar dat raakt mensen natuurlijk gigantisch in hun persoonlijke levenssfeer. Daar heb ik ook geen oplossing voor.

Arnoud

De klassenfoto valt ook gewoon onder de privacywet!

Geplaatst op in Privacy, 28 reacties

De Autoriteit Persoonsgegevens (AP), de Nederlandse privacytoezichthouder, roept scholen op zorgvuldig om te gaan met beeldmateriaal van leerlingen. Dat meldde Nu.nl dinsdag. In een persbericht legt de privacytoezichthouder uit dat klassenfoto’s (en ander beeldmateriaal waar leerlingen herkenbaar op staan) ook gewoon onder de Wet bescherming persoonsgegevens vallen, en dus in principe alleen met toestemming mogen worden gepubliceerd. Iets waar maar weinig scholen zich aan houden.

Dat foto’s te zien zijn als persoonsgegevens, is op zich niet heel nieuw. Een persoonsgegeven zegt iets over een persoon, en die term is niet alleen bedoeld voor administratieve gegevens zoals namen en adressen of cijferlijsten. Ook een foto zegt iets – uiterlijk, geschatte leeftijd, in welke klas je zit, soms ook eventuele fysieke afwijkingen en ga zo maar door. Dat maakt een foto dus net zo goed een beschermd gegeven als een tussenrapport.

Voor scholen zijn foto’s traditioneel een leuke manier om iets extra’s naar de ouders te doen. De klassenfoto waarop de gehele school of klas poseert is het bekendste voorbeeld, maar ook de snelle snapshot in de klas of op kamp is natuurlijk erg populair. Voor al dat soort zaken geldt dat het valt onder de Wet bescherming persoonsgegevens valt. Ook als de leraar in een opwelling een leuke spontane foto maakt of als er een app wordt gebruikt die bedoeld is om het contact tussen ouders en school te stimuleren.

Publicatie van persoonsgegevens op internet (waar de discussie met foto’s meestal over gaat) vereist in principe toestemming van de betrokkenen. Of, omdat het hier om minderjarigen gaat, toestemming van hun ouders of verzorgers. En dat is de heikele praktijk: veel scholen werken nog steeds met wie-zwijgt-stemt-toe of nemen in op het inschrijfformulier op dat je toestemming geeft voor van alles en nog wat. Dat is dus illegaal.

Toestemming moet vrijwillig worden gegeven, en ondubbelzinnig zijn. Je moet dus kort gezegd apart de vraag krijgen, wilt u dit of niet. En wie nee zegt, moet daar geen negatieve gevolgen van ondervinden. Ik ken bijvoorbeeld een school waar is gedreigd met niet mee op kamp als er geen toestemming voor fotograferen & op de schoolwebsite kwam.

Daarnaast moet de toestemming specifiek zijn, dus “ik geef toestemming voor foto’s” is niet rechtsgeldig, omdat je dan niet weet wélke foto’s en wat daarmee gebeurt. Het beste is dus een protocolletje te maken als school waarin je uitwerkt welke toestemming en waar en hoe die wordt verkregen.

Een ander aspect is de beveiliging. Een foto zomaar op internet is een datalek. Ook als er toestemming was voor de foto – of is er bij het toestemming vragen ook gezegd, deze komt op internet en is voor iedereen zichtbaar? Beter is foto’s af te schermen zodat alleen de ouders uit die klas erbij kunnen.

De AP heeft een en ander nader uitgewerkt in haar Dossier Scholen en de AVG, waar het meteen vooruit blikt naar de nieuwe regels.

(Dit staat allemaal los van het portretrecht. Daar is onder omstandigheden toestemming niet nodig maar volgt een belangenafweging. Maar bij kinderen komt die belangenafweging eigenlijk altijd uit bij niet mogen gebruiken zonder toestemming, en bovendien verdwijnt het portretrecht volgend jaar zodra de Privacyverordening in werking treedt. Die regelt immers álles over persoonsgegevens, dus ook over fotoprivacy, en nationale regels over portretten mogen dan niet meer.)

Arnoud

Hoe rechtsgeldig is e-mail in communicatie met de overheid?

Geplaatst op in Privacy, 14 reacties

Heeft de Hoge Raad ineens e-mail rechtsgeldig verklaard, kreeg ik van diverse mensen als vraag. Recent wees men arrest in een zaak over parkeerheffingen, waarbij een bezwaarschrift per e-mail mocht worden ingediend. Dat kun je lezen als “e-mail is rechtsgeldig”, wat ze bijvoorbeeld bij MR doen, maar het ligt volgens mij iets subtieler. E-mail is nog steeds geen rechtsgeldige manier om bezwaarschriften in te dienen bij de overheid, maar als je met de overheid mailt dan mag men niet volstaan met een druk op de delete-knop.

De zaak werd aangespannen door een persoon die in Den Haag een naheffing parkeerbelastingen (“parkeerboete”) opgelegd had gekregen. Hij had per e-mail bezwaar gemaakt tegen deze boete.

Nu is het in Den Haag mogelijk om elektronische bezwaarschriften in te dienen, alleen heeft men daar een apart websitekanaal voor waar met DigiD op wordt ingelogd. Vandaar ook dat men deze man snel afdeed:

“In de Regeling ‘gebruik elektronische weg op het gebied van belastingen en rechten in de gemeente Den Haag’ is vastgesteld dat elektronische berichten aan de gemeente uitsluitend via de gemeentelijke website, met gebruikmaking van DigiD, kunnen worden ingediend. De regeling vermeldt verder dat de gemandateerde ambtenaren elektronische berichten die niet op voorgeschreven wijze zijn ingediend weigeren. Gelet op het bovenstaande wijs ik u erop dat bezwaarschriften die per e-mail (Vraag aan de gemeente) of per fax worden ingediend, niet langer worden behandeld.

Daarmee was voor de gemeente de kous af, maar de burger ging in beroep bij de rechtbank tegen deze reactie. En nu wordt het wat ingewikkeld. De rechtbank wees het beroep af omdat er geen besluit was genomen door de gemeente. Die reactie hierboven is immers alleen een stukje informatie, en tegen een folder kun je niet in beroep.

De Hoge Raad ziet het echter anders. Er is bezwaar gemaakt, zij het niet op de juiste manier (namelijk per e-mail). Zo’n verzuim kan gebeuren en de gemeente moet de burger dan gelegenheid geven dit te herstellen. Enkel ter informatie melden dat het bericht niet wordt behandeld, is daarvoor te weinig. De mail had een termijn moeten geven om alsnog op papier of via die site het bezwaar in te dienen. Heel mooi om te weten, maar verre van “e-mail is rechtsgeldig”.

Arnoud

Dutch Filmworks gaat in oktober illegale downloaders opsporen en laten betalen

Geplaatst op in Intellectuele rechten, 103 reacties

Filmdistributeur Dutch Filmworks heeft aangekondigd illegale downloaders van films vanaf oktober op te sporen en te laten betalen via een schikkingsvoorstel. Dat meldde Tweakers vorige week. De filmmaatschappij is al eventjes bezig, onder meer begin deze maand met toestemming van de privacytoezichthouder om IP-adressen aan NAW-gegevens te mogen koppelen van mensen die torrenten. Maar ik blijf erbij: dit is bangmakerij en geen effectieve bestrijding.

Zoals ik begin deze maand al zei, in theorie is het vrij simpel om achter illegale downloaders aan te gaan. Wie op Bittorrent up- of downloadt, zal daarbij immers zijn IP-adres onthullen aan de andere ‘peers’ in het netwerk. Wat je dus doet, is je aansluiten op dat netwerk en doen alsof je het bestand ook wilt hebben. De IP-adressen komen dan als vanzelf binnen. Daarmee kun je dan naar de betreffende internetproviders om NAW-gegevens te eisen, waarna je de betreffende persoon sommeert en aanklaagt.

Maar daar gaan we dan. Allereerst, hoe sterk moet je bewijs zijn dat iemand zat te downloaden? Is dan één registratie van één ontvangen blokje van de film genoeg, of moet deze persoon als seed geregistreerd staan en aantoonbaar jou alle blokken hebben gestuurd?

Ten tweede, wat gaan de providers doen? In de pers roepen die allemaal dat ze natuurlijk geen NAW-gegevens gaan geven zonder gerechtelijk bevel. Dat klinkt stoer, maar je loopt dan wel tegen dat vermaledijde Lycos/Pessers arrest aan dat bepaalt dat je bij evidente inbreuk gewoon die gegevens moet verschaffen. Heel veel kans geef ik ze dus niet. Althans, niet tot 25 mei: vanaf dan treedt de Privacyverordening in werking en die eist gewoon wettelijke regelingen voor dit soort zaken. En een HR-arrest is geen wet. En ik ben benieuwd welke politicus zo’n wet durft voor te stellen.

En ten derde, wat ga je eisen bij de rechter? Want leuk allemaal dat ze in Duitsland 800 euro per film vragen (en 600 per aflevering van een serie), maar ik ben er nog steeds niet achter wat voor schadeberekening daar nu echt achter zit. En wat daar verder ook van zij, in Nederland geldt gewoon de regel dat je je wérkelijke schade vergoed moet krijgen, en dat is hier simpelweg de gemiste verkoopprijs van de film of serie. Dus als iemand meer dan 50 euro per download aan schade onderbouwd krijgt, dan koop ik een hoed en eet ik die op.

Natuurlijk, de proceskosten. De leuke stok om mensen mee te slaan: bij auteursrechtinbreuk moet de verliezer de héle advocaatrekening betalen van de eiser. Dus dan wordt procederen om 50 euro ineens weer de moeite waard als je weet dat je wint (en je wint als DFW want downloaden ís inbreuk, zelfs als de schade maar 1 cent is). Maar in maart bepaalde de Raad voor de Rechtspraak in haar nieuwe indicatietarieven voor IE-zaken dat bij “zeer eenvoudige” zaken deze proceskostenveroordeling niet opgaat. Dat is gewoon liquidatietarief, dus een paar honderd euro hooguit.

En dan nog: die kosten zijn pas aan de orde wanneer het tot een procedure komt. Wie in reactie op een sommatiebrief de aankoopprijs van de DVD overmaakt, heeft volgens mij zonder enige twijfel de schade (meer dan) vergoed die DFW zou hebben geleden.

Dus alles bij elkaar snap ik niet goed wat nu de gedachte achter deze strategie is. Bangmakerij, verder kom ik niet. Want dit gaat rondzingen, DFW gaat boetes opleggen als je iets downloadt, en de taal in die brieven zal natuurlijk ontworpen zijn om je te doen vrezen voor duizenden euro’s aan kosten per klik. En nee, je rechtsbijstandsverzekering dekt het niet (IE-geschillen zijn altijd uitgesloten in consumentenrechtsbijstandsverzekeringen). Ik zou bijna DFW-content gaan downloaden om het op een proefproces aan te laten komen.

Arnoud

Mag een collega je laptop locken en in Word aan je uitleggen waarom?

Geplaatst op in Ondernemingsvrijheid, 43 reacties

Een lezer vroeg me:

Een collega van me kreeg gisteren ruzie met een andere collega: hij had diens laptop onbeheerd gespot zonder vergrendeling, dus deze snel op slot gedaan. Hij had in Word een nieuw bestand gemaakt en daarin in grote letters “Je laptop stond onbeheerd open, heel onverstandig, groeten Wim” gezet zodat de collega na unlocken zou snappen wat er was gebeurd. Maar die collega spreekt nu van computervredebreuk en privacyschending, en wil bij HR een klacht indienen. Loopt mijn collega nu enig risico?

Als we het hebben over werkcomputers, dan is er zeer zeker geen sprake van computervredebreuk of ander strafbaar feit wanneer collega’s aan elkaars spullen zitten. Net zo min als wanneer je collega achter jouw bureau gaat zitten. Het is namelijk niet ‘zijn’ bureau of laptop, die is van het werk en jullie hebben beiden als werknemer toestemming de werkmiddelen te gebruiken.

Natuurlijk kan het vervelend zijn als collega’s aan elkaars spullen zitten. Maar dat wordt opgelost met de wettelijke regel dat je je als goed werknemer moet gedragen: wat is fatsoenlijk, wat is normaal in deze situatie.

Ik zou zeggen dat er niets mis is met een collegas PC locken en net daarvoor even een berichtje open zetten “Je laptop zat niet op slot”. Natuurlijk ga je niet eerst rondkijken of er wat te lachen valt in de privémapjes of browsergeschiedenis. Ik zie dus geen reden voor een klacht, laat staan voor een berisping of zelfs maar een stevig gesprek.

Gezien het steeds groeiender belang van security denk ik dat het goed is als werkgevers hier eens expliciet regels over gaan maken. Wat mag je wel doen met een onbeheerde pc en wat niet?

Een in de praktijk goed werkende mogelijkheid is het krokettenprotocol (in het zuiden des lands ook bekend als het vlaaiprotocol): als iemands computer onbeheerd open staat, dan ben je geautoriseerd om de betreffende collegas/groep/afdeling een mail te sturen “Ik neem morgen [kroketten|vlaai] mee”. Daarna de laptop op slot en verder nergens aan komen.

Arnoud

Sonos-speakers mogelijk onbruikbaar bij weigeren privacyvoorwaarden

Geplaatst op in Innovatie, 29 reacties

Gebruikers die niet instemmen met de nieuwe privacyvoorwaarden van Sonos, riskeren mogelijk dat hun speakers op termijn niet meer werken. Dat meldde Nu.nl eerder deze week. De speakerfabrikant gaat de apparaten voorzien van stemassistent Alexa van AmazonGoogle, en dat vereist een akkoord op privacyvoorwaarden. Wie dat weigert, kan geen updates meer installeren en zal dus op zeker moment functionaliteit verliezen. Ja, dat krijg je er van als je van een producten- naar een dienstenmaatschappij verschuift.

Voor veel mensen is dit nogal een verrassing: koop je een duur apparaat, en krijg je na een jaar of zo te horen dat er ineens allerlei privacy-dingen aan vast zitten waar je mee akkoord moet gaan als je niet wilt blijven zitten met een dure presse-papier. Maar juridisch klopt het, en niet omdat je bij aankoop maar beter de voorwaarden had moeten lezen: een Sonos is een abonnement, geen productaanschaf.

Natuurlijk, dat ding met stekker is een best wel feitelijk object dus dat koop je. Maar dat ding is op zich voor weinig dingen bruikbaar. Daar heb je een account voor nodig, zodat je bijvoorbeeld radiostations kunt ontvangen, een koppeling met Spotify of andere diensten kunt maken en andere muziekbronnen kunt streamen. En daar zit hem de crux: het zwaartepunt van de transactie om de Sonos te krijgen is die dienstverlening, dus wordt die transactie in principe als dienst gezien.

De wet kent al heel wat decennia regels over dienstverlening. Alleen zijn die geschreven voor situaties waarin mensen (of bedrijven met mensen) die diensten leveren. Denk aan schoonmakers, nannies, bezorgdiensten, vuilophaling, onderhoudscontracten en dergelijke. De regels uit de wet zijn dan ook geschreven om die situaties te reguleren. Zo staat er best goed geregeld wanneer een dienstverlener mag opzeggen of hoe en wanneer hij recht heeft op geld.

Wat niet in de wet staat, is hoe de voorwaarden mogen worden gewijzigd. Daar komen mensen onderling wel uit, was de gedachte. Specifiek bij consumentencontracten staat er een en ander op de zwarte en grijze lijsten voor algemene voorwaarden, om hen te beschermen tegen al te eenzijdige voorwaarden van dienstverleners. Kort gezegd komt het erop neer dat je kosteloos van je contract af kunt als men het zomaar ineens helemaal omgooit.

Dat is heel leuk bij een vuilophaaldienst of een schoonmaker, maar bij een Sonos heb je daar weinig aan. Daar wil je juist niet opzeggen, want dan heb je niets meer aan het apparaat. Je wilt eigenlijk juist dat bij afwijzen van de voorwaarden de huidige diensten geleverd blijven, zodat je in ieder geval kunt genieten van de dienst zoals oorspronkelijk afgenomen. Maar daar biedt de wet geen grondslag voor.

Conformiteit van het apparaat dan? Dat doet ineens niet meer wat je ervan mocht verwachten. Daar twijfel ik dus over. Volgens mij is er nog steeds niets mis met het apparaat. De slechte werking of geschonden verwachtingen zitten hem in de dienst die bij het apparaat hoort, en volgens mij kun je dat niet toerekenen aan het apparaat. (Iets juridischer: ik zie de overeenkomst namelijk niet als een koopovereenkomst, maar als een gemengde koop/dienst-overeenkomst met het zwaartepunt op de dienst.)

Nieuw mantra: Je bent geen eigenaar van je data, alle diensten die je koopt mogen zomaar stoppen of wijzigen en apparaten kunnen zomaar onbruikbaar worden. Leuk man, die informatiemaatschappij.

Arnoud

Translink deelde reisgegevens studenten met DUO voor fraudebestrijding

Geplaatst op in Privacy, Regulering, 34 reacties

Translink, het bedrijf achter de ov-chipkaart, gaf reisgegevens door aan DUO. Dat meldde Tweakers gisteren. DUO gebruikte deze gegevens om studenten op te sporen die zouden frauderen met een uitwonende beurs. En de ophef zit hem dan in het feit dat die reisgegevens werden verstrekt zonder dat daar een officier van justitie aan te pas komt. Wat in Nederland totaal geen ding is, maar iedereen praat elkaar na dat dat nodig zou zijn.

TransLink Systems (TLS) beheert reisgegevens van alle personen die reizen met een ov-chipkaart in Nederland, waaronder natuurlijk een heleboel studenten met reisproduct. Uit die reisgegevens zijn allerlei interessante gegevens af te leiden, waaronder waar iemand woont: als iemand zegt uitwonend student te zijn in Amsterdam, maar elke dag zijn er veel korte ritjes in Deventer en af en toe retourtreinritten naar Amsterdam Amstel, dan kun je vraagtekens zetten bij dat uitwonend zijn.

DUO vond dat laatste zo interessant dat ze structureel die gegevens besloot op te vragen bij TLS. Daarbij werd gewerkt met een risicoprofiel, er werd dus niet zomaar bij iedereen meegekeken.

Maar dat is niet genoeg natuurlijk: dergelijke reisgegevens zijn persoonsgegevens, en dat moet dus netjes gebeuren binnen de Wet bescherming persoonsgegevens. Hier gaat het dan ook nog eens om een overheidsinstantie (DUO is de Dienst Uitvoering Onderwijs van het Ministerie van Onderwijs, Cultuur en Wetenschap) en dan moet het al helemáál strak geregeld zijn: er moet een wettelijke regeling zijn die specifiek hierover gaat en die fatsoenlijk rekening houdt met de privacy van eerlijke mensen.

In de zaak van een student in mei ging het mis op dat eerste. Er is geen wettelijke grondslag voor wat DUO deed. Een protocol tussen DUO en TLS is geen wet.

Ook de Algemene Wet Bestuursrecht is geen wet, althans geen voldoende precieze wettelijke grondslag zoals onder de Wbp vereist:

Naar het oordeel van de rechtbank voldoen de artikelen 5:16 en 5:17 van de Awb niet aan dit vereiste. Deze artikelen bepalen dat een toezichthouder bevoegd is inlichtingen te vorderen en bevoegd is inzage te vorderen van zakelijke gegevens en bescheiden. Uit de memorie van toelichting volgt dat onder zakelijke gegevens moet worden verstaan ‘gegevens die gebruikt worden ten dienste van het maatschappelijk verkeer’. Zoals hierboven al is overwogen zijn de door verweerder opgevraagde Trans Link gegevens op de persoon van eiser herleidbaar. Deze gegevens zijn daarmee niet langer zakelijk in de zin van artikel 5:17 Awb.

Daarmee is het niet toegestaan die gegevens te vergaren. Gezien de ernst van de onrechtmatige verwerking worden de aldus verkregen gegevens uitgesloten van het bewijs. Dat is in Nederland uitzonderlijk bij gewone rechtszaken, maar het ging hier dus om een overheidsinstantie en die worden veel strenger daarop afgerekend.

DUO heeft al aangekondigd geen gebruik meer te maken van deze constructie om reisgegevens op te vragen totdat de Centrale Raad van Beroep zich over hoger beroep heeft gebogen.

En die officier van justitie dan? Die is totaal irrelevant, ook als het niet om overheidsinstanties zou gaan. Persoonsgegevens afgeven moet als de wet dat eist, en toezichthouders zoals DUO kunnen dat onder omstandigheden eisen. Privépartijen ook, onder het Lycos/Pessers arrest. Daar zit allemaal geen gerechtelijk bevel tussen of toetsing door een officier van justitie. Die kreet is een amerikaanserechtbankfictie. Het is eigenlijk nog veel simpeler: waar in de wet staat dat dit mag?

Arnoud

Een skin in je spel kan ook portretrechtinbreuk zijn

Geplaatst op in Ondernemingsvrijheid, 13 reacties

Voetballer Edgar Davids heeft een rechtszaak gewonnen tegen League of Legends-ontwikkelaar Riot Games, las ik bij Tweakers. Een van de te koop zijnde skins voor spelpersonages lijkt wel heel erg op de bekende voetballer met dreads en bril, en dat was voor de rechtbank genoeg om van portretrechtinbreuk te spreken. Dat men online gezegd had dat Davids inspiratie was voor de skin, hielp natuurlijk niet mee.

League of Legends is een groot online spel, waarbij je als team tegen een ander team strijdt. Je kunt daarbij je personages van een bepaald uiterlijk – een skin – voorzien, die ook online te koop zijn. In 2014 introduceerde ontwikkelaar Riot Games vier skins ter gelegenheid van het wereldkampioenschap voetbal, waaronder eentje die “Striker Lucian” heet.

Voetballer Edgar Davids herkende zichzelf in deze skin, met name door de overeenstemmende huidskleur, haardracht en bril – Davids is de enige professionele voetballer die een bril mag dragen tijdens wedstrijden, vanwege een oogaandoening. Riot Games ontkende echter dat sprake zou zijn van portretrechtinbreuk, hooguit enige toevallige gelijkenis.

Allereerst erkent de rechter expliciet dat ook een virtuele weergave, zoals in een te koop zijnde skin voor een spel, een portret kan zijn. Het gaat er immers om dat een persoon herkenbaar is, niet perse dat het een foto moet zijn of dat het een directe reproductie van de persoon is.

Riot stelde dat er hooguit sprake was van enige inspiratie, maar de rechter accepteert dat niet. De totaalindruk van het personage zoals dat uit diverse afbeeldingen blijkt, is die van Davids. Daar komt bij dat de personages geïntroduceerd waren vanwege het WK Voetbal (waar Davids aan meedeed) en dat Riot zélf getwitterd had dat “For all you wondering, Striker Lucian was inspired by soccer pro Edgar Davids”, inclusief zij-aan-zij portretten zodat je de overeenstemming kon zien. Dan houdt het wel een beetje op met de stelling dat het toeval is.

Bij een bekend persoon als Davids bestaat een commercieel portretrecht. Hij kan geld vragen voor zijn portret in de media, en dus ook in games. Het portret dan gratis gebruiken is een schending van dat portretrecht en Riot Games moet daar dan mee stoppen. Ook moeten ze schadevergoeding betalen, maar het is nog niet duidelijk hoe hoog die precies moet zijn. Dit gaat in een vervolgzaak nader onderzocht worden.

Arnoud