Moet ik als werknemer akkoord gaan met de privacyvoorwaarden van Google?

Geplaatst op in Ondernemingsvrijheid, 17 reacties

Een lezer vroeg me:

Mijn werkgever (een mkb bedrijf) is overgestapt naar een Google domein voor mail, en nu moeten wij bij ingebruikname akkoord gaan met de privacyvoorwaarden van Google. Kan ik dat weigeren? Natuurlijk, het gaat om werk mail, maar toch, Google accounts doen veel meer dan alleen werkgedrag in de gaten houden.

Dit lijkt me niet iets dat je kunt weigeren te doen. De werkgever bepaalt hoe het werk wordt uitgevoerd, en als hij ervoor kiest om Google als leverancier in te zetten dan heb jij het daarmee te doen. Dat je bij het gebruiken daarvan op een akkoord-knopje moet drukken, is dus gewoon deel van je werk.

Het is echter een misverstand dat je als werknemer dan ineens toestemming geeft aan Google voor wat dan ook. Ik geef toe, een gemakkelijke fout want er stáát immers “I agree” en er zit een privacyreglement bij ook nog. Maar als je als werknemer op zo’n knop druk, dan ga je hooguit namens je werkgever met dingen akkoord. Niet privé.

Natuurlijk kan Google allerlei dingen van je te weten komen wanneer je als werknemer met die diensten werkt. Maar ook dat is de verantwoordelijkheid van je werkgever. Als goed werkgever heeft hij de taak jouw privacy te waarborgen, en dus ook te zorgen dat leveranciers niet zomaar allerlei persoonlijke dingen van werknemers te weten komen. Hij zal dus bijvoorbeeld een bewerkersovereenkomst moeten treffen met die leveranciers, waarin staat dat deze niet gaat snuffelen in netwerkverkeer van werknemers. Je kunt hem daarop aanspreken als hij dat niet goed geregeld heeft.

En ik snap heus dat Google zich weinig aan zal trekken van zo’n Nederlands werkgevertje, maar daar zal het arbeidsrecht weinig rekening mee houden.

Arnoud

Is het een datalek om een domeinnaam te laten vervallen?

Geplaatst op in Intellectuele rechten, 29 reacties

Door het laten verlopen van een domeinnaam heeft Samsung miljoenen gebruikers risico laten lopen, zo laat de Portugese beveiligingsonderzoeker Joao Gouveia op Twitter weten. Dat las ik bij Security.nl. De domeinnaam hoort bij een door Samsung opgeheven dienst (S Suggest), die gebruikers populaire applicaties laat zien die gegarandeerd compatibel met hun apparaat zijn. De onderzoeker ziet nu miljoenen verzoeken vanaf Samsung-telefoons naar de domeinnaam. Is dat nu ook al een datalek?

Het is natuurlijk een blunder eerste klas. Een domeinnaam kost een paar euro, en een simpele “This service is not available anymore”-autoresponder moet ook geen bakken geld kosten. Maar zelfs de domeinnaam nergens heen laten wijzen had gekund, dan waren mensen ook wel snel gestopt met die app. En nu zou een kwaadwillende het protocol kunnen reverse engineeren en nepdata sturen, bijvoorbeeld suggesties voor phishing-apps die mensen dan klakkeloos installeren “want Samsung zegt dat deze compatibel is”.

Maar of het een datalek is? Daarvoor is vereist dat via dit domein persoonsgegevens lekken. Enkel dat een telefoon verbinding maakt met een app is denk ik niet genoeg daarvoor. (Tenzij je zegt dat headers zoals X-Asid persoonsgegevens zijn.)

Als de verbinding succesvol is en er wordt dan persoonlijke informatie opgestuurd door de app, dan komt die nu dus bij een ongeautoriseerd persoon terecht. Dus dan zou ik het wel een datalek noemen. Maar dat is wel een stevige als, en bovendien eentje die zich pas ruime tijd later kan voordoen.

Desondanks kan ik er niet bij dat Samsung dit heeft laten vallen.

Arnoud

Amazon-patent moet prijsvergelijken via wifi van winkel tegenhouden

Geplaatst op in Intellectuele rechten, 10 reacties

Amazon heeft onlangs goedkeuring ontvangen voor een patent, waarin een methode is beschreven om het vergelijken van prijzen via de wifi-verbinding van fysieke winkels tegen te gaan. Dat meldde Tweakers vorige week. Doel van die methode is te zorgen dat je niet snel online bestelt wat je zojuist in de winkel hebt gezien. Maar het patent noemt ook de optie van een tegenbod door de winkel, wat commercieel iets slimmer lijkt. Denk je dat ze na de ophef over 1-click patenteren iets geleerd hebben, tsja.

Uiteraard wil het weinig zeggen dat een bedrijf ergens patent op krijgt. Dat betekent alleen maar dat de patentverlenende instantie geen bezwaren zag, met name niet ten aanzien van nieuwheid (bestond dit al), inventiviteit (is het meer dan een triviale variatie) en technisch karakter (is dit significant meer dan een wiskundig of economisch principe). Het is zeer zeker geen voornemen of teken dat een bedrijf dit wil doen – en ook geen erkenning dat het iets bijzonders is, wat sommige uitvinders nog wel eens lijken te denken.

Het ligt echter wel in de lijn van Amazons nieuwste tak van sport: het fysiek laten winkelen van mensen, gekoppeld aan een online afrekenproces. Je hoeft zo niet meer langs een kassa, alles gaat via je telefoon behalve het dingen in je mandje leggen. En dit is ook waarom “huh, dan gebruik je toch gewoon je 4g verbinding” niet werkt: het afrekenproces vereist dat je via het lokale wifi-netwerk verbonden bent met Amazon. Daarmee hebben ze je.

Het octrooi is alleen in de VS verleend, dus in Europa hoeven we hier niet voor te vrezen. Het verbaast me sowieso al dat het in de VS is toegekend – mij lijkt dit een vrij duidelijk voorbeeld van een sinds Alice niet meer octrooieerbaar softwarepatent. Uit het verleningsdossier haal ik dat het argument hem erin zat dat een browser wordt bestuurd, en dat dat meer zo zijn dan enkel het idee “ze mogen de prijzen niet zien”. Meh.

Bij Tweakers las ik nog de vraag hoe zich dit zou verhouden tot netneutraliteit. Het is nogal een forse ingreep en direct gericht op commercieel voordeel van de aanbieder. Maar onder de Europese Netneutraliteitsverordening gelden die regels alleen voor aanbieders van openbare internettoegang, en daar vallen winkels met wifi niet onder.

Arnoud

Nee, als je bij een particulier bestelt dan wordt het op jouw risico verzonden!

Geplaatst op in Ondernemingsvrijheid, 25 reacties

Leuk stukje lifestyle bij Nu.nl: Pakketje niet bezorgd? Dit kun je doen. “Bij het bezorgen van pakketten gaat regelmatig iets mis: bezorgers zeggen dat ze aan je deur zijn geweest terwijl jij nooit een bel hebt gehoord, je bestelling wordt zomaar in ontvangst genomen door iemand anders of je pakketje komt gewoon nooit aan.” Inclusief mooie quote van de toezichthouder die netjes bevestigt dat winkels op hun risico versturen, maar dan val ik van mijn stoel bij “Als je als consument iets bij een particulier bestelt, geldt in principe hetzelfde. “Er kunnen ook andere afspraken gemaakt worden”, aldus Gras”. Dat klopt niet, aldus Engelfriet.

Bij verkoop van bedrijf aan consument is het simpel: de verkoper is aansprakelijk, dat staat letterlijk in de wet (art. 7:11 BW). Maar bij verkoop tussen consumenten onderling (art. 7:9 BW) staat er niet meer dan dat de verkoper moet zorgen dat de gekochte zaak wordt afgeleverd bij de koper. Niet expliciet wie verantwoordelijk is voor verlies of beschadiging bij transport.

De vraag is dan dus, wat is ‘afleveren’. De wet (art. 6:41 BW) omschrijft dat als “ter plaatse waar [het gekochte] zich bij het ontstaan van de verbintenis bevond”. Bij de verkoper dus. Als koper moet je het product dus gaan halen, en als je dan na aankoop vraagt om het toch te laten opsturen dan is dat op jouw risico.

In veel gevallen staat er in de advertentie dat er zal worden opgestuurd. In die situatie is de verkoper aansprakelijk: ten eerste omdat de plaats van aflevering dan “ter plaatse van de koper” is, en ten tweede omdat contractueel afgesproken is dat de verkoper gaat bezorgen en het niet-aankomen dan wanprestatie is.

Oftewel: het is dus in principe risico koper, tenzij andere afspraken zijn gemaakt. Precies andersom dus dan Nu.nl meldt. Die andere afspraak kan al in de advertentie staan (“Ik verstuur op jouw risico” is genoeg) maar het moet wel érgens staan.

Arnoud

EU-Hof verklaart The Pirate Bay illegaal en baant weg voor blokkade

Geplaatst op in Intellectuele rechten, 39 reacties

Het Europese Hof van Justitie heeft uitspraak gedaan in de zaak die door Brein is aangespannen tegen providers Ziggo en Xs4all, las ik bij Tweakers. Het Hof verklaarde – weinig verrassend – dat de piratensite inbreuk maakte op auteursrechten. Maar ze zeggen geen woord over in hoeverre een blokkade nu gerechtvaardigd is, dus waarom alle media dat nu roept? In ieder geval: ik ben nog steeds heel benieuwd of dat er gaat komen.

De uitspraak van het Hof is op verzoek van onze Hoge Raad, waar de zaak van Brein tegen de Nederlandse providers enige tijd terug terecht was gekomen. Nadat de rechtbank Den Haag had geoordeeld dat XS4All, UPC en consorten de Pirate Bay moesten blokkeren voor hun klanten, draaide het Gerechtshof dat in hoger beroep terug.

Het argument van het Gerechtshof daarbij was vooral dat de blokkade weinig effectief was: er waren genoeg alternatieven en manieren om de blokkade te omzeilen. Maar de Hoge Raad concludeerde in 2015 al dat dat argument iets te streng was. Kort gezegd: een blokkade is effectief als de geblokkeerde site dan minder bezocht wordt, en het doet er niet toe dat er andere sites zijn met vergelijkbare diensten. Ook dat een blokkade nooit 100% zou werken, betekent niet dat deze niet effectief kan zijn.

Ergens was het handig geweest als het Hof had doorgepakt en de criteria uit haar uitspraak van 2012 in de Kino.to zaak nader had uitgewerkt. Daarin werd gezegd dat een blokkade van een piratensite bij een ISP in principe kan, als de maatregel voldoende doeltreffend is, en ook redelijk. Inderdaad, daar heb je weinig aan. Maar omdat onze HR niet had gevraagd hoe dat nou zit met die blokkade-criteria, geeft het Hof daar ook geen antwoord op.

In zoverre is het dus weinig nieuws. We wisten al dat hyperlinks en torrents naar illegaal materiaal inbreuk opleverden, sinds de GeenStijl- en Filmspeler-zaken. Dat dat ook geldt voor torrentsites, verrast me totaal niet. (Toegegeven, de HR kon dit niet weten toen ze de vragen stelden aan het Hof.) Men zal dus nu zelf aan de bak moeten om die Kino-criteria uit te werken. En eerlijk gezegd heb ik géén idee of men een blokkade toe zou wijzen.

Arnoud

Mag ik de API achter een app zelf aanroepen?

Geplaatst op in Innovatie, 26 reacties

Een lezer vroeg me:

De app van mijn bank is leuk en aardig, maar ik wil eigenlijk bepaalde kerncijfers in mijn thuisdashboard getoond hebben. Technisch kom ik daar wel uit, maar mag ik die API aanroepen voor mezelf? Het is in principe dezelfde informatie heen en weer als de app zou doen, maar ik doe het niet op de officiële manier. Krijg ik dan problemen?

Zuiver juridisch gezien zie ik hier geen probleem mee. Als je gerechtigd bent een API aan te roepen, dan is het niet strafbaar of onrechtmatig om die aan te roepen. Je gaat hier dus niet voor de cel in, en de bank zal ook geen schadeclaim kunnen indienen.

Als je rare trucs gaat toepassen om de API dingen te laten doen die niet de bedoeling zijn, dan kan dat anders liggen. Informatie opvragen waar je eigenlijk niet bijhoort, mag je niet zomaar doen. In theorie is dat computervredebreuk.

Praktisch gezien kun je er wel problemen mee krijgen, in ieder geval één simpele: als de bank jouw aanroepen ziet als misbruik of bedreiging, dan blokkeren ze die. Dat zal al snel betekenen dat je ook via de officiële app niet meer bij je bankgegevens kunt of overboekingen kunt doen, en dat lijkt me erg vervelend voor een consument. Want zonder internetbankieren je bankzaken doen is een hele uitdaging tegenwoordig.

Ik zou dit dus alleen doen als de bank het goedvindt, of als je zeker weet dat de aanroepen niet te onderscheiden zijn van ‘echte’ aanroepen.

Arnoud

Tot waar kan een programmeur auteursrecht claimen op generatoroutput?

Geplaatst op in Intellectuele rechten, 9 reacties

Een lezer vroeg me:

Als je een generator maakt, bijvoorbeeld om tekst of visuele kunst te produceren, valt de output daarvan dan onder het auteursrecht van de programmeur? Ik had altijd begrepen dat wanneer een compiler voor software bijvoorbeeld eigen routines toevoegt, ze in theorie een mede-auteursrecht kunnen claimen. Hoe ver gaat dat in theorie?

Nu computers steeds meer zelf kunnen leren en genereren, wordt het mogelijk om computers zelf creatieve teksten te laten maken of kunst te laten genereren. Een visueel voorbeeld is the Next Rembrandt, en natuurlijk zijn er nog veel meer.

Auteursrecht krijg je wanneer je een eigen intellectuele schepping produceert. Als je dat criterium loslaat op een tool die zulke kunst genereert, dan is het duidelijk dat de tool onder je auteursrecht valt. Maar in hoeverre dat ook voor de output geldt?

In principe alleen wanneer jouw creativiteit herkenbaar is in die output. Bij compiler-output is het nog redelijk goed te zien dat er bepaalde input naar de output gaat, zoals standaardbibliotheken of stukjes code die ieder programma nodig heeft dat wordt gecompileerd. Dat is in principe een rechttoe-rechtaan kopie van code waar de programmeur van de compiler auteursrecht op heeft.

Bij optimalisaties door die compiler ligt het al lastiger. Dat is meer een stukje herkenning van iets inefficiënts waarna een truc wordt toegepast. Maar de output zou ik niet direct een gewijzigde versie van code uit de compiler willen noemen.

Bij kunst uit een computer neig ik er naar om te zeggen, nee dat is in het geheel geen gewijzigde versie meer van de input. Weliswaar bevat het programma in de kern (het algoritme) de mogelijkheden om tot die uitvoer te komen, maar die uitvoer is te abstract, te ongerelateerd aan de broncode van de software om nog van een wijziging daarvan te spreken.

Arnoud

Telt inroepen van PayPal aankoopbescherming als annulering?

Geplaatst op in Ondernemingsvrijheid, 19 reacties

Een lezer vroeg me:

Bij een webwinkel had ik wat besteld, en betaald met Paypal. Het object kreeg ik echter maar niet, dus ik heb via PayPal de Aankoopbescherming ingeroepen. De verkoper reageerde echter niet, waardoor ik mijn geld terugkreeg van Paypal. Maar nu eist de verkoper via een incassobureau betaling, en zeggen ze dat ik alleen maar een stornering heb gedaan maar dat de overeenkomst nog steeds staat! Hoe zit dat nu?

De Aankoopbescherming van Paypal is een dienst van het betaalbedrijf waarbij je een geschil wegens geen of afwijkende levering kunt aankaarten. Je hebt 180 dagen vanaf de betaaldatum om dat te doen, en Paypal laat de verkoper dan reageren. Komen partijen er zo niet uit, dan kan het geschil omgezet worden naar een claim, wat inhoudelijk vooral betekent dat PayPal zich er dan inhoudelijk mee gaat bemoeien.

Dat bemoeien betekent in feite dat ze dan inhoudelijk beslissen en wel bindend:

Wanneer een geschil in een claim is omgezet, zal PayPal een uiteindelijke beslissing nemen in het voordeel van de koper of van de verkoper. … PayPal behoudt zich het recht voor naar eigen inzicht een beslissing te nemen in het voordeel van koper of verkoper, op basis van criteria die PayPal passend voorkomen. Wanneer PayPal een eindbeslissing neemt in het voordeel van koper of verkoper, dienen beide partijen zich naar deze beslissing te schikken.

Die laatste zin met name lees ik als een bindend besluit, zeg maar net zoals de Rijdende Rechter adviezen geeft waar je je bij neer te leggen hebt. De winkel kan dan dus niet meer alsnog betaling vorderen. Het is dus wezenlijk anders dan enkel je betaling ongedaan maken, zoals bij veel creditcards mogelijk is. Enkel storneren is nog geen annuleren (ontbinden).

Juridisch is het mogelijk om af te spreken dat een derde een geschil gaat oplossen en dat je hangt aan zijn of haar beslissing. Art. 7:900 BW en verder werken deze zogeheten vaststellingsovereenkomst uit. Het is dus toegestaan om dit in algemene voorwaarden af te spreken. Als consument kun je daar onderuit – zo’n algemene voorwaarde staat op de zwarte lijst, tenzij de consument de mogelijkheid krijgt om alsnog naar de gewone rechter te stappen. Maar als bedrijf hang je als dat in de voorwaarden staat.

Het verbaast me wel dat een winkel niet zou merken dat PayPal een geschil had voorgelegd. Heeft iemand als winkelier daar ervaring mee? Krijg j dat te horen of moet je zelf kijken of er nieuwe geschillen zijn?

Arnoud

Ex-werknemer Nederlandse vps-provider wist alle server- en klantgegevens

Geplaatst op in Ondernemingsvrijheid, 12 reacties

Auw. Een medewerker van hostingprovider Verelox uit Den Haag heeft alle servergegevens verwijderd, las ik bij Tweakers. Dat betekent dat ook alle klantgegevens zijn gewist, en mogelijk ook niet allemaal meer terug te halen zijn. Buitengewoon pijnlijk voor het bedrijf, want hierdoor moet Verelox druk aan de bak om alle servers weer te herstellen. Wat te doen?

Natuurlijk is deze medewerker persoonlijk aansprakelijk voor de schade. Een werknemer is normaal nooit aansprakelijk, maar dit is vrij evident de uitzondering voor opzettelijk of bewust roekeloos handelen. Zo lees ik dat hij backdoors had aangebracht om deze schade aan te kunnen richten. Dat doe je echt niet per ongeluk. In theorie is zelfs aangifte van het strafbare feit vernieling van gegevens (art. 350a Strafrecht, twee jaar cel) mogelijk.

Daarnaast zal dit moeten worden behandeld als een datalek: als persoonsgegevens worden gewist zonder dat er backups zijn (of als de backups óók worden gewist) dan is dat hetzelfde als bij ongeautoriseerde toegang. Zeker omdat het denkbaar is dat die admin een kopie van de data heeft meegenomen om te publiceren of te verkopen. Ook die schade kan worden verhaald.

Dit is wel een geval waarin het recht in theorie duidelijk is, maar in de praktijk niets oplevert. Want of er wat te halen valt, is natuurlijk vers twee. En de strafrechtelijke route levert je ook niet perse meer op. Je kunt je daar voegen voor een schadevergoeding, maar dat komt op hetzelfde neer als een eigen civiele schadeprocedure.

Het toont voor mij maar weer duidelijk aan hoe afhankelijk we zijn van digitale data en bijbehorende diensten, en hoe makkelijk we daarin machtsposities laten ontstaan. Onmisbare mensen moet je meteen ontslaan, vertelde een HR-manager me ooit. Dat geldt ook voor systeembeheerders. Alleen, hoe borg je je dataveiligheid tegen de persoon die de dataveiligheid moet borgen?

Arnoud

123inkt mag huismerkcartridges voor HP-printers blijven verkopen

Geplaatst op in Intellectuele rechten, 29 reacties

Het Nederlandse bedrijf 123inkt mag huismerkcartridges van HP blijven verkopen, las ik bij Tweakers. HP had geprobeerd de verkoop te blokkeren met een patent op een geheugenchip voor dergelijke cartridges, waarmee de printer niet-originele cartridges kan herkennen. Maar dat octrooi is door het Hof Den Haag grotendeels ongeldig verklaard, en 123inkt maakt geen inbreuk op wat er overbleef.

HP verzet zich al geruime tijd tegen de verkoop van huismerkcartridges met inkt voor haar printers. Een van de wapens in haar arsenaal is een octrooi op een inktcartridge die voorzien is van een geheugen met foutcorrectie-mechanisme. De foutcorrectiecode wordt na iedere keer printen aangepast (als ik het goed lees), en mede daardoor kunnen cartridges als echt van HP of niet worden gezien.

Als 123inkt eigen cartridges wil verkopen die door HP printers worden geaccepteerd, dan moest zij dus wel een dergelijke chip ook aanbrengen. En daardoor kon HP met haar octrooi in actie komen. Het arrest maakt daar echter korte metten mee; de belangrijkste claims uit het octrooi zijn ongeldig en op wat er overblijft, maakt 123inkt geen inbreuk.

De breedste claims op de cartridges sneuvelen omdat ze al bekend waren uit een ouder octrooi. Dat mag natuurlijk niet: een octrooi kan alleen geldig zijn als het iets nieuws en innovatiefs beschrijft. Een specifiek aspect bleef wel overeind, namelijk wat te doen als de cartridge geen update krijgt van de printer tijdens de communicatie. Dat was inventief, maar daar maakte 123inkt geen inbreuk op. Dat deel van de uitvinding werd namelijk in de printer uitgevoerd en niet in de cartridge.

Het octrooirecht kent ook de zogeheten indirecte inbreuk. Je verkoopt dan middelen waarmee iemand anders inbreuk kan plegen. Dat verweet HP ook aan 123inkt: die cartridges zouden bezitters van de printer aanzetten tot inbreuk. Maar ook dat accepteert het Gerechtshof niet. Wie een HP printer koopt, krijgt impliciet een licentie onder alle relevante HP octrooien die daarin zitten, dus ook dit octrooi. Een gebruiker van die printer mág dus gewoon die uitvinding toepassen, ook met niet-HP-chips.

Een mooie overwinning dus voor 123inkt, met name dat laatste stuk. Het bevestigt dat je als bezitter van een printer gewoon het recht hebt daar andere onderdelen in te steken, en dat een octrooi je daarin niet mag blokkeren.

Arnoud