Jatten werkt: Instagram verplettert Snapchat met zijn Stories

Geplaatst op in Innovatie, 8 reacties

Een jaar geleden kopieerde Instagram de belangrijkste functie van Snapchat: de verdwijnende fotoverhalen, genaamd Stories. En met succes, las ik bij RTL Z. Beter goed gejat dan slecht bedacht, leken ze bij Instagram te hebben gedacht. En ja, dat is volkomen legaal, zo een feature overnemen van een concurrerende dienst. Er is weinig tot niets te doen aan het ‘jatten’ van ideeën of concepten voor je nieuwe internetdienst.

Ongeveer wekelijks krijg ik van mensen vragen hoe ze hun idee kunnen vastleggen, of voorkomen dat een ander hun concept gaat overnemen en tot een groter succes gaat maken. Het korte antwoord: vergeet het maar, juridisch gezien is er niets aan te doen.

Natuurlijk zijn er juridische rechten, zoals het auteursrecht, merkenrecht of octrooirecht. Maar die gaan je weinig helpen. Een merkrecht helpt je alleen tegen gebruik van de náám van je dienst. Kwestie dus van andere naam verzinnen. Ook het auteursrecht zal niet helpen, want dat beschermt tegen overname van de broncode van je software, en die kan je concurrent toch al niet te pakken krijgen.

Patenten oftewel octrooien zijn het aangewezen middel om features van een product te beschermen, ook als ze geheel onafhankelijk zijn gebouwd en onder eigen naam op de markt komen. Maar specifiek in de ICT sector is ook dat erg moeilijk. Ik hoef maar ‘softwarepatent’ te zeggen en de halve sector begint te schuimbekken, en met reden want er zijn me een partij idiote patenten verleend op totale trivialiteiten, volslagen bekende ideeën en ga zo maar door. Dat kon ook allemaal door steeds ruimere jurisprudentie, met name in de VS.

Recent lijkt daar een kentering in te zijn gekomen door het Alice-arrest uit 2014, waarin grofweg werd gezegd dat bekende dingen automatiseren niet patenteerbaar is en dat je voor een uitvinding toch echt een stukje technische, hardwarematige verbetering nodig hebt. 99% van de lopende softwarepatenten voldoet daar niet aan. Langzaam maar zeker begint het softwarepatent dan ook ten onder te gaan.

Praktisch gezien zie ik dan ook weinig tot niets dat je kunt doen tegen zulk ‘jatwerk’ van je concurrenten. Ja, één ding: zorgen dat je steeds blijft innoveren, zodat men altijd twee features achterloopt. Ergens wel grappig, want het is dus juist het gebrek aan patenten in deze wereld dat zorgt voor de innovatie.

Arnoud

Linkedin mag startup hiQ niet verbieden haar site te scrapen

Geplaatst op in Informatiemaatschappij, 18 reacties

Een federale rechter in de VS heeft LinkedIn bevolen om niet langer de toegang tot publiekelijk beschikbare profielgevens te beperken, meldde Tweakers eergisteren. Het bedrijf hiQ verkoopt statistische analyses van de werknemers van bedrijven, en scrapete daarvoor onder meer publieke informatie vanaf Linkedin. Die was daar niet van gediend, en eiste een verbod onder meer vanwege het strafbare binnendringen in haar systeem. Maar de rechter wijst de eisen af.

HiQ is als bedrijf gericht op analyseren van werknemers, en kan bijvoorbeeld bepaald gedrag van werknemers voorspellen, zoals wanneer iemand ontslag neemt. Hierbij is input vanaf LinkedIn erg belangrijk, zo belangrijk zelfs dat ze zeggen als bedrijf failliet te gaan als de toegang tot LinkedIn hen ontzegd zou worden.

Maakt dat uit, zou je denken. LinkedIn is als bedrijf toch vrij om te kiezen met wie ze zaken doet, en als ze iemand willen weren dan is het hun zaak. Als een schoenenwinkel mij de deur wijst, dan moet ik op blote voeten lopen, en dat ik een sollicitatie heb is dan toch echt mijn probleem.

Nou ja, niet helemaal. We zitten hier met het punt dat het gaat om openbare informatie waar iedereen zo bij kan zonder account of akkoord op de voorwaarden. Er is dan niet eenvoudig een grondslag om “ga weg en kom niet meer terug” te zeggen. LinkedIn dacht die gevonden te hebben in de Computer Fraud and Abuse Act, zeg maar de Amerikaanse Wet Computercriminaliteit. Men had hiQ herhaaldelijk gemaand weg te gaan, en hiQ kwam terug: binnendringen in een computersysteem dus, aldus LinkedIn.

Naar de letter van de Amerikaanse wet zou je kunnen spreken van binnendringen (access without authorization). Als je de toegang is ontzegt, dan is opnieuw binnengaan immers zonder toestemming. Maar gezien de wetsgeschiedenis (de wet is uit 1984) kun je daar ook weer vraagtekens bij stellen, is zo’n hacking-artikel eigenlijk wel bedoeld voor de toegang tot openbare websites? Dat gaat wel érg ver, en dan krijg je het punt dat we hier zitten met een kort geding waarbij we niet echt in detail alles kunnen uitzoeken.

Om die reden sneuvelt ook het tegenargument van hiQ, dat een website met de omvang van Linkedin eigenlijk een openbare ruimte is net zoals het dorpsplein. Daar mogen mensen niet zomaar de toegang tot ontzegd worden. Maar dat is voor de rechter ook weer te speculatief, dan zou je als website bijvoorbeeld ook geen inhoud meer mogen modereren.

Uiteindelijk komt de rechter bij het algemene belang uit. Deze rechtszaak vraagt namelijk om een temporary injunction, en voordat zo’n eis wordt toegewezen in de VS moet er wel heel wat aan de hand zijn. De normale regel in het Amerikaanse (common law) recht is namelijk dat als mensen je schade berokkenen, ze die maar moeten vergoeden. Ze dwingen hun handelen te staken met een gerechtelijk verbod is een uitzondering, die alleen wordt toegewezen als de schade groot is en een belangenafweging duidelijk in jouw voordeel uitkomt.

Hier is daar geen sprake van. De juridische argumenten van LinkedIn over de CFAA zijn niet zeer overtuigend, de schade voor het sociale netwerk is beperkt en de impact van een verbod voor hiQ is buitengewoon groot. Dan is de uitkomst van die afweging natuurlijk evident: geen verbod.

Arnoud

Mag je op Twitter dreigen met militair ingrijpen?

Geplaatst op in Uitingsvrijheid, 8 reacties

Amerikaans president Donald Trump heeft via Twitter opnieuw een waarschuwing gegeven aan Noord-Korea, las ik in De Morgen. “Alle militaire eenheden zijn volledig klaar”, klinkt het. En eerder, omineuzer: fire and fury zou het regenen, als Noord-Korea niet ophoudt met haar dreigementen. Wat de semi-serieuze vraag oproept, mag dat wel, op Twitter een ander land dreigen met militair ingrijpen of zelfs nucleaire aanval?

De Twitter TOS en meer specifiek de Twitter Rules zijn duidelijk:

Any accounts and related accounts engaging in the activities specified below may be temporarily locked and/or subject to permanent suspension.
Violent threats (direct or indirect): You may not make threats of violence or promote violence, including threatening or promoting terrorism. (…)
Hateful conduct: You may not promote violence against or directly attack or threaten other people on the basis of race, ethnicity, national origin, sexual orientation, gender, gender identity, religious affiliation, age, disability, or disease.

Het zou bij dergelijke acties niet uit moeten maken wat je status is, of je nu spreekt als gewone individuele burger of als politicus. Alleen zijn dit soort regels natuurlijk niet bedoeld voor situaties waarin landen uitingen doen. Het strafrecht (waar deze normen aan ontleend zijn) is immers bedoeld voor de burger, niet voor een regeringsleider die officiële uitspraken doet. (En ja, wat Trump twittert is officieel.) Het voelt dus niet helemaal logisch om de Twitter TOS te hanteren om een presidentiële uitspraak met regeringsbeleid erin aan te pakken. Alsof je de Kijkwijzer wat laat vinden van een grensconflict.

De kans dat Twitter wat gaat doen tegen het account van Trump lijkt me dan ook minimaal. Weliswaar zeggen ze dat de regels voor iedereen gelden, maar men weegt nieuwswaarde mee en je kunt veel vinden van Trump, maar nieuwswaarde heeft het zeker wat hij Twittert.

Arnoud

Wanneer zijn toestemmingsvinkjes nou verplicht?

Geplaatst op in Privacy, 9 reacties

Een lezer vroeg me:

Hoe zit het nu precies met die vinkjes die je overal moet zetten om toestemming te geven voor van alles en nog wat? Sommige sites doen dat niet (met algemene voorwaarden), anderen zelfs niet met nieuwsbrieven. Wat zegt de GDPR hierover?

Het is een misverstand dat je alleen akkoord kunt gaan met algemene voorwaarden door een vinkje of iets dergelijks. De wet eist niet meer dan dat je gewezen bent op de voorwaarden en dat je mocht begrijpen dat ze van toepassing zouden zijn. Dat kan prima door enkel de tekst “Door op ‘Bestellen’ te klikken, gaat u tevens akkoord met de verkoopvoorwaarden.” op te nemen net boven de bestelknop. (Wel even linken naar een downloadbare versie van die voorwaarden.)

Meer algemeen zegt de wet eigenlijk nergens dat een aparte handeling nodig is om instemming met wat dan ook te verkrijgen. Rechtshandelingen zijn vormvrij, zoals dat heet. Het mag op iedere manier, zolang maar duidelijk is dát die handeling opgevat gaat worden als instemming. Dat vinkje is dus eigenlijk sowieso nergens voor nodig en volgens mij vooral gemakzucht om het zo op te nemen.

Of nou ja, één wet wel, namelijk de privacyverordening oftewel AVG/GDPR. Wanneer daaronder toestemming vereist is, dan moet die “door middel van een verklaring of een ondubbelzinnige actieve handeling” worden verkregen. Dit houdt in dat de handeling waarmee toestemming wordt gegeven, niet voor meerdere interpretaties vatbaar mag zijn. Een bestelknop in een webwinkel kan dus niet tevens worden gebruikt om toestemming mee te vragen, zoals met een tekst “Door uw bestelling te plaatsen, gaat u tevens akkoord met ontvangst van onze nieuwsbrief” onder die knop. Het is immers niet ondenkbaar dat mensen wel de prominent vormgegeven knop zien maar niet de tekst daaronder.

Specifiek wordt daarbij verder nog bepaald:

Indien de betrokkene toestemming geeft in het kader van een schriftelijke verklaring die ook op andere aangelegenheden betrekking heeft, wordt het verzoek om toestemming in een begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal zodanig gepresenteerd dat een duidelijk onderscheid kan worden gemaakt met de andere aangelegenheden.

De toestemmingsvraag moet dus echt apart komen te staan. En ik denk dat het in de praktijk dan vrijwel onvermijdelijk is dat er een vinkje bij komt te staan, al is het maar om vast te stellen dat de persoon echt bedoeld had die toestemming te geven. Een apart vormgegeven paragraaf over privacytoestemming voldoet wel aan het ‘zodanige presentatie’ vereiste, maar ik aarzel of je dat ondubbelzinnig genoeg kunt vinden.

Arnoud

Ook berichten op de zakelijke telefoon kunnen privé zijn

Geplaatst op in Ondernemingsvrijheid, 21 reacties

Wat doe je als je als werkgever het vermoeden krijgt dat een personeelslid haar concurrentiebeding overtreedt? Dan ga je natuurlijk op zoek naar bewijs. Vandaag de dag is dan de laptop of zakelijke telefoon van die werknemer een handige bron van bewijs: deze biedt immers toegang tot mailaccounts, WhatsAppgespreken en ga zo maar door. Maar zoals uit dit vonnis blijkt, moet je als werkgever echt uitkijken met daar zomaar in gaan snuffelen.

De werknemer was in dienst bij een bedrijf voor tandheelkundige zorg. Op zeker moment kreeg het bedrijf een vermoeden dat de werknemer dingen ondernam voor een concurrent, en dat daarbij ook mogelijk vertrouwelijke informatie richting die concurrent zou zijn gegaan. Dat zou in strijd zijn met het concurrentiebeding uit haar arbeidsovereenkomst.

Tijd voor een onderzoek dus. De zakelijke telefoon bood een ingang: via die telefoon kon men eenvoudig toegang krijgen tot communicatie via Facebook, Gmail en Whatsapp. (Zo te lezen was de werknemer automatisch ingelogd vanaf die telefoon op deze diensten, zonder apart wachtwoord.) Na de werknemer op nonactief gesteld te hebben, kreeg men de telefoon terug en kon erop worden gekeken. Daaruit bleek dat er inderdaad communicatie was met werknemers en management van een concurrent.

Maar mag je nu in zulke informatie kijken? Nee, aldus de rechter. Ook al is het een zakelijke telefoon, die gesprekken zijn privé en daar heb je dus van weg te blijven als werkgever.

Nu whatsapp en hotmail tot de privé-domein van [gedaagde] behoren, heeft Ivory door zich daarin toegang te verschaffen zonder instemming van [gedaagde] zonder meer inbreuk gemaakt op haar recht op privacy (artikel 8 EVRM). Deze inbreuk is dermate ernstig, te meer nu [gedaagde] als gevolg daarvan zelf geen toegang meer had tot haar whatsapp en hotmail, dat het belang van Ivory bij de inbreuk, namelijk het achterhalen hoe ver de concurrerende activiteiten van [gedaagde] reiken, onvoldoende is om de ernst van de inbreuk te rechtvaardigen. Er is dan ook sprake van onrechtmatig verkregen bewijs.

Maar zoals wel vaker gezegd, dat betekent niet dat het bewijs dus buiten beschouwing blijft. In Nederland is onrechtmatig verkregen bewijs bruikbaar als bewijs. Dat je het bewijs onrechtmatig verkreeg, is iets waar je apart op afgerekend wordt.

In dit geval zitten er verder weinig consequenties aan, wat ik wel opmerkelijk vind. De berichten laten zien dat de werknemer inderdaad bezig was onder de duiven van de werkgever te schieten, onder meer door prospects door te spelen aan de concurrent zodat die ze over kon nemen. Ook werden financiële informatie en klantgegevens doorgemaild. Dat is vrij ernstig en inderdaad een overtreding van het concurrentiebeding. Mogelijk dat de rechter daardoor weinig sympathie meer over had om de werkgever af te rekenen op het onrechtmatig snuffelen? (Of het is zo simpel als dat er geen schadevergoeding werd gevorderd, dus ook niet kon worden toegewezen.)

Arnoud

Bedienen van telefoon in houder is ook een vorm van vasthouden

Geplaatst op in Regulering, 46 reacties

Onder het begrip vasthouden moet ook worden verstaan het met een hand bedienen van een telefoon terwijl deze geplaatst is in een telefoonhouder die bevestigd is op het dashboard. Dat bepaalde de rechtbank Noord-Nederland vorige maand (pas dinsdag gepubliceerd) in een van de vele vonnissen rond wat je nu wel en niet mag doen met een telefoon als bestuurder van een motorvoertuig. Een tikje vreemd misschien want het ding zit niet in je hand. Maar dit is waarom rechters do-what-I-mean compilers van het recht zijn.

Een man kreeg in december vorig jaar een boete voor het vasthouden van een mobiele telefoon tijdens het besturen van een motorvoertuig (art. 61a Reglement verkeersregels en verkeerstekens). Maar hij ging in bezwaar, want:

Betrokkene heeft ter zitting aangevoerd dat hij zijn mobiele telefoon niet heeft vastgehouden. Betrokkene heeft zijn mobiel altijd in een dashmount die geïnstalleerd is aan de linkerkant van het dashboard bij de linker raamstijl. Betrokkene heeft zijn arm altijd ter hoogte van de raamstijl, hetgeen voor hem een comfortabele houding is.

Taalkundig gezien is dus inderdaad geen sprake van overtreding van het verbod: de man hield de telefoon niet fysiek vast. Hij bediende deze wel, maar met een vinger het scherm aanraken kun je moeilijk taalkundig als ‘vasthouden’ aanduiden. Maar wetsteksten worden op meer manieren gelezen dan enkel taalkundig. Ook het doel van een wet, en hoe het artikel was bedoeld door de wetgever, weegt zwaar bij bepalen of iets er nu onder valt of niet.

In dit geval was het doel van dit wetsartikel de verkeersveiligheid verhogen. Het is al decennia bekend dat handmatig telefoneren en het gelijktijdig besturen van een motorvoertuig, invalidenvoertuig of bromfiets vormt een gevaar voor de verkeersveiligheid vormt. Een belangrijk aspect daarvan is dat je dan maar één hand over had om het voertuig te besturen (denk aan schakelen of sturen). Vandaar dat het verbod is geformuleerd als “vasthouden”.

Datzelfde probleem doet zich voor als je de smartphone weliswaar in een carkit hebt zitten maar vervolgens een hand gebruikt om deze te bedienen. Ook dan is die hand niet beschikbaar om het stuur te bedienen et cetera. Daarom rekent de rechter dit nu ook onder het verbod. Dit was de bedoeling van de wet en daarom is dit een overtreding van de wet.

En nee, het betekent niet dat je nu te allen tijde twee handen aan het stuur moet hebben of dat je niet mag bellen met een handsfreekit. Het betekent grofweg dat je van je telefoon af moet blijven tijdens het rijden. Dus ook niet een gesprek accepteren, als dat via een toets op je scherm of telefoon gaat.

Arnoud

Hoe hard zoek je de openbaarheid als je dingen op Facebook zet?

Geplaatst op in Ondernemingsvrijheid, Privacy, 31 reacties

De privacywetgeving hoort niet van toepassing te zijn als iemand zelf de openbaarheid zoekt, las ik bij Netkwesties. Als mensen beslissen allerlei zaken openbaar te maken, betekent dat tegelijkertijd dat zij het ‘risico’ nemen dat anderen, waaronder wellicht potentiële werkgevers, daar kennis van nemen. Een standpunt dat hier ook recent voorbij kwam, zij het op een voor mij wat ergerlijke manier: het is me iets te makkelijk, dat “iedereen kiest voor Facebook dus wat je daar zet is vogelvrij”.

De kern van dit standpunt komt erop neer dat Facebook en andere sociale media inzetten een bewuste keuze is, die weloverwogen wordt gemaakt door een gemiddeld omzichtige consument na zich adequaat geïnformeerd te hebben. Na die keuze is het inderdaad wat raar om ineens te gaan schermen met allerlei privacybezwaren. Wie zijn arts aanklaagt voor een amputatie na middels diverse gesprekken over de beste medische behandeling daar welbewust voor gekozen te hebben, zal ook niet snel gelijk krijgen.

Alleen: dat de gemiddelde burger zo’n omzichtige consument is, klopt natuurlijk van geen kant. Mensen kiezen niet welbewust en na zorgvuldig inlezen voor die diensten, men gebruikt het omdat iedereen het gebruikt, het er netjes en overzichtelijk uitziet en het wel snor lijkt te zitten. Wie zou er immers niet een keurige nette dienst afnemen van een groot beursgenoteerd bedrijf? Betrouwbaarder kan haast niet, zou je denken.

En er zitten ook keurige knopjes in om je privacy mee te bedienen. Alleen, zo makkelijk is dat nog niet. Uit onderzoek blijkt dat slechts een derde van de mensen snapt hoe Facebook-privacyinstellingen werken. De meeste mensen denken te snel dat ze iets privé hebben gemaakt. Je moet er een behoorlijke studie van maken om zeker te weten wat je doet als je dingen dicht wil zetten.

Sterker nog: je kúnt je haast niet adequaat inlezen in wat die diensten doen. De privacyverklaring staat vol wollige taal, en wie dat allemaal door wil spitten is daar 76 werkdagen per jaar mee kwijt. En nog erger, die privacyverklaringen zijn niet volledig dus zelfs als je die 76 dagen er voor gaat zitten, kom je er nog niet uit.

En zelfs als je wél eruit komt, de boel goed dichttimmert en oplet wat je post, dan nog loop je tegen vrienden en kennissen aan die zonder nadenken dingen posten met jouw naam of foto erin. Een fotoverslag van een leuk feestje met als grappig commentaar dat jij weer helemaal teut was “maar je zal je wel ziek gemeld hebben vandaag he” om eens wat te noemen. Of tegen een naamgenoot die het wat minder nauw met de werkethiek neemt.

Natuurlijk zijn er mensen die welbewust hun hele leven delen. Die zullen er ook weinig bezwaar tegen hebben dat hun werkgever dat leest. Maar daar zal ook weinig echt privés te vinden zijn. Deze regels over werknemers googelen zijn natuurlijk niet voor deze groep bedoeld. Het gaat om het gros van de mensen dat niet weet, en eigenlijk ook niet kán weten hoe Facebook en consorten werken, die in een vervelende positie komen als hun socialmediainformatie al te makkelijk gebruikt kan worden.

Die mensen wegzetten als “ze kiezen er welbewust voor” vind ik gewoon wereldvreemd. Hetzelfde geldt voor “je hoeft niet op Facebook te zitten”, waar ik eerder al over tireerde.

(En dat raakt aan een aanverwant punt waar het Netkwesties-stuk overheen scheert: de benodigde zorgvuldigheid om die informatie op waarde te schatten. Weet jij als werkgever of zo’n bericht waar is? Klopt de datum wel? Is het echt je werknemer? En is het opschepperij/stoerdoen naar vrienden of serieus bedoeld?)

Arnoud

Bij annulering koop op afstand moet je meteen mensen hun geld teruggeven (duh)

Geplaatst op in Ondernemingsvrijheid, 8 reacties

Dat je als webwinkelier mensen hun geld terug moet geven als ze hun annuleringsrecht gebruiken, is algemeen bekend volgens mij. Ook vrij bekend lijkt me dat je dat teruggeven gewoon ongevraagd moet doen, en wel via hetzelfde betalingsmiddel als waarmee men betaalde. Toch was er een boete van de ACM én gerechtelijk vonnis nodig om een internetwinkel hiervan te doordringen. Werken met een piepsysteem en dan een waardebon(!) geven, is niet genoeg.

Het ACM-onderzoek laat een paar pareltjes zien waar ik van mijn stoel val. Vanaf 2014 kwamen signalen binnen bij Consuwijzer.nl dat deze shop niet volgens de wet aangaf hoe het zat met het retourrecht, en dat niet iedereen uit eigen beweging van de winkel zijn geld terugkreeg.

Wat je wel kreeg, was een waardebon. Dat mag niet, tenzij de consument daar specifiek om vraagt natuurlijk. En dan: Wanneer een consument na terugzending van het product informeerde wanneer zijn geld zou worden teruggestort, verstuurde de onderneming standaardmail 1 waarin werd aangegeven dat de retourzending niet conform de retourprocedure was aangeboden. Als een van de redenen om niet tot terugbetaling over te gaan gaf de onderneming aan dat een IBAN-nummer ontbrak op het retourformulier. Daaronder werd in het e-mailbericht vermeld: “Omdat wij graag uw retourzending alsnog correct willen afhandelen hebben wij u zojuist handmatig een waardebon toegestuurd t.w.v. de geretourneerde artikelen.”

Ook de leveringskosten werden niet terugbetaald, terwijl ook dat wettelijk verplicht is.

De webwinkel zag dit als het probleem van de consument: het bracht immers behoorlijk wat werk met zich mee als je achter mensen hun bankrekeningnummer aan moet, terwijl een waardebon opsturen snel en makkelijk is. En mensen die echt hun geld willen, die gaan wel piepen.

Maar dat mag niet, aldus de rechtbank. Dit is een misleidende handelspraktijk: hiermee wordt de consument op het verkeerde been gezet over zijn wettelijke rechten. Een hoop mensen zullen denken dat ze met de waardebon genoegen moeten nemen. Zeker omdat men bij navraag te horen kon krijgen dat men geen recht meer heeft op teruggave maar een waardebon krijgt toegezonden, omdat hij verzuimd heeft zijn rekeningnummer op te geven.

Verder verzaakt de winkelier hiermee zijn zorgplicht, zijn professionele toewijding zoals dat in het consumentenrecht heet. Een piepsysteem ten aanzien van wettelijke rechten is niet toegestaan, je moet gewoon zelf in actie komen en de consument zijn recht geven. Ongevraagd en uit eigener beweging.

De hoogte van de boete wordt door de rechtbank wel iets verlaagd, omdat de ACM was uitgegaan van meerdere aparte overtredingen en de rechtbank het ziet als één samenhangende overtreding. Daarnaast bleken ACM-leden op hun LinkedIn-pagina over de zaak te hebben geschreven, en dergelijke negative publiciteit is van invloed op de boete.

Deze webwinkel heeft meer jurisprudentie op zijn naam, namelijk dat je mag annuleren voor levering. Wat precies het doel is van deze shop om de grenzen van volgens mij vrij evidente wetsartikelen op te zoeken, ontgaat me.

Arnoud

Dutch Filmworks mag van Autoriteit Persoonsgegevens tegen bittorrenters gaan optreden

Geplaatst op in Intellectuele rechten, 53 reacties

De Autoriteit Persoonsgegevens heeft een ontwerpbesluit gepubliceerd waarin staat dat de toezichthouder van plan is om Dutch Filmworks toestemming te verlenen om illegale up- en downloaders op te sporen in torrentzwermen. Dat las ik bij Tweakers, met excuses voor de vertraging. DFW roept al een tijdje achter illegale downloaders aan te willen gaan, maar lijkt dus serieus te worden: toestemming van de privacytoezichthouder is immers een vereiste om grootschalig te gaan snuffelen naar persoonsgegevens in openbare netwerken.

In theorie is het vrij simpel om achter illegale downloaders aan te gaan. Wie op Bittorrent up- of downloadt, zal daarbij immers zijn IP-adres onthullen aan de andere ‘peers’ in het netwerk (de zwerm, in Tweakerstaal). Wat je dus doet, is je aansluiten op dat netwerk en doen alsof je het bestand ook wilt hebben. De IP-adressen komen dan als vanzelf binnen. Daarmee kun je dan naar de betreffende internetproviders om NAW-gegevens te eisen, waarna je de betreffende persoon sommeert en aanklaagt.

Het bijhouden van die IP-adressen telt echter als een verwerking van persoonsgegevens, en gezien het doel daarvan (opsporing strafbare/onrechtmatige feiten) is toestemming van de toezichthouder verplicht (art. 31 Wbp). Die krijg je alleen als je een duidelijk protocol uitwerkt en daarbij zo veel mogelijk rekening houdt met de privacy van de personen wiens gegevens je verwerkt.

Kort gezegd komt het protocol van DFW erop neer dat het zonder IP-adressen wel héél ingewikkeld wordt om up- en downloaders aan te spreken, want er is geen overige identificerende informatie. Andere routes dan het aanpakken van die personen zijn er niet; blokkeren bij internetproviders mocht immers niet van het Hof Amsterdam. Plus, wie onrechtmatig bezig is moet zich niet zomaar achter de privacywet kunnen verschuilen. Zeker niet omdat torrenten nooit ‘per ongeluk’ gebeurt; wie een torrent opvraagt doet dat bewust en dan moet je niet klagen als je wordt gepakt.

Het juridisch kader is verder vrij standaard. Een derde partij verzamelt de IP-adressen en legt daarbij op forensisch betrouwbare manier vast wat en hoe. Resultaten worden aan DFW verstrekt, waarna die naar de Nederlandse internetproviders kan stappen om NAW-gegevens te krijgen, “al dan niet vrijwillig”. Het enige dat ik mis, is hoe om te gaan met het onvermijdelijke verweer dat het niet de abonnementhouder maar de buurman/het kind/een huisvriend was die zat te downloaden.

Wie bezwaar wil maken, kan dat tot 25 augustus doen.

Arnoud