Smartphones op school: streng verboden?

Geplaatst op in Informatiemaatschappij, 69 reacties

Veel scholen worstelen met telefoons in de klas, las ik in NRC onlangs. Met onder meer diverse scholen met smartphoneverboden, en eentje die als ultieme sanctie een week de telefoon kan afpakken. Ondertussen krijg ik regelmatig mails van ouders (én leerlingen) die zo’n telefooninbeslagname willen aanvechten en hoe dat juridisch zit. Dus ja, hoe zit dat juridisch?

Het grote probleem vanuit juridisch perspectief is eigenlijk dat er nauwelijks iets geregeld is op dit gebied. De wet houdt het bij het vereiste dat er een reglement moet zijn de rechten en plichten van de leerlingen vastgelegd worden (art. 24g Wet voortgezet onderwijs) en dat daarin moet staan hoe handhaving van de goede gang van zaken binnen de instelling in zijn werk gaat.

In principe is een school vrij in hoe ze haar regels wil inrichten en hoe streng ze wil zijn met sancties. Veel meer dan dat een en ander redelijk en proportioneel moet zijn, eist de wet daar niet bij. Dus als een school zegt, de telefoon gaat uit als je het pand betreedt en mag pas weer aan als je de deur weer uit bent, dan is dat in principe legaal. Zeker omdat er -zie het NRC artikel- genoeg onderzoek is dat laat zien dat smartphones lessen en samenwerking op school kunnen verstoren.

Zou het mogen, wat ik verderop las: “De uiterste sanctie is dat de telefoon een nacht op school moet blijven”. Die betwijfel ik, dat die legaal is. Ik kan geen enkel redelijk argument bedenken waarom zo’n belangrijk en duur bezit van de leerling een nacht op school moet blijven (zelfs als het in een kluis is).

Maar het is lastig dit echt te onderbouwen, zeker als je in zware juridische termen als verduistering gaat gebruiken. Een school mag immers ook leerlingen verplichten het schoolplein op te ruimen (dwangarbeid, slavernijverbod), strafregels te schrijven (ook dwang) of zelfs na te blijven (vrijheidsberoving). Als dat mag, waarom zou tijdelijk inhouden van een telefoon niet mogen?

Of is een smartphone écht iets unieks en nieuws? Daar valt wat voor te zeggen, je doet er vandaag de dag zowat alles mee, van bankzaken tot communicatie met iedereen, het kopen van wat je nodig hebt en ga zo maar door. Dat middel dan afpakken zou dan eerder equivalent zijn aan de persoon zelf een nacht op school in sluiten, en dat is vrij evident onrechtmatig.

Arnoud

Ministers stelt ontwikkelaars aansprakelijk voor softwarefouten

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 23 reacties

Demissionair staatssecretaris Klaas Dijkhoff heeft in een Kamerbrief gezegd zegt dat softwareontwikkelaars op verschillende manieren aansprakelijk zijn voor schade die als gevolg van hun product ontstaat. Dat las ik bij Tweakers. Juridisch gezien zegt hij weinig nieuws; de regels over conformiteit bij producten bevatten immers geen uitzondering voor de software-delen van producten. Nieuw is wel de expliciete opmerking dat er ook aansprakelijkheid bestaat “als de software niet voldoet aan de veiligheid die is overeengekomen of die de afnemer redelijkerwijs mocht verwachten.” Hoi hoi, ontwikkelaars aansprakelijk voor security bugs?

In de brief presenteert de staatssecretaris het Cybersecuritybeeld Nederland 2017. De omgang met security bugs en security updates is daarbij een belangrijk aandachtspunt.

De Kamer wilde specifiek weten hoe het zat met aansprakelijkheid voor ontwikkelaars of verkopers van onveilige producten. Ik roep al jaren dat het tijd wordt om productsecurity in de wet te zetten, maar uit deze brief blijkt dat ik achterloop: dat staat al jaren gewoon in de wet. Producten mogen immers geen gebrekkige veiligheid hebben, anders is de leverancier of producent daarvoor aansprakelijk (art. 6:185 BW).

Laat ik nu altijd gedacht hebben dat dat gaat over fysieke veiligheid, ontploffingen en vergiftigingen en zo. Maar dat ziet de staatssecretaris dus anders:

De producent is kort gezegd aansprakelijk voor een productie-, informatie- of ontwerpgebrek, waardoor de software niet de veiligheid biedt die ervan mag worden verwacht. Hij kan zich wel verweren tegen aansprakelijkheid, bijvoorbeeld door te stellen dat het op grond van de stand van de technische kennis op het tijdstip waarop hij de software leverde, onmogelijk was het bestaan van het veiligheidsgebrek te kennen.

In de comments bij Tweakers kwam nog de issue langs dat je hiermee ook aansprakelijk bent voor eventuele bugs in open source in je product. Dat klopt, maar is een feature en geen bug. Het doet er immers niet toe van wie jij je onderdelen betrekt. Als jij een product op de consumentenmarkt brengt, dan moet het veilig zijn, punt. Je regelt het maar met je leveranciers.

En ja ik weet dat open source licenties allemaal zeggen “wij zijn niet aansprakelijk” en dat is legaal in leverancier-afnemer relaties (dus met de producent van zo’n apparaat). Maar dat betekent alleen dat die producent een risico neemt door met open source te werken.

Dus goed nieuws wat mij betreft; nu wel doorpakken en daadwerkelijk de ACM laten optreden tegen brakke Internet Der Dingen-apparaatjes.

Arnoud

Moet ik als werknemer akkoord gaan met de privacyvoorwaarden van Google?

Geplaatst op in Ondernemingsvrijheid, 17 reacties

Een lezer vroeg me:

Mijn werkgever (een mkb bedrijf) is overgestapt naar een Google domein voor mail, en nu moeten wij bij ingebruikname akkoord gaan met de privacyvoorwaarden van Google. Kan ik dat weigeren? Natuurlijk, het gaat om werk mail, maar toch, Google accounts doen veel meer dan alleen werkgedrag in de gaten houden.

Dit lijkt me niet iets dat je kunt weigeren te doen. De werkgever bepaalt hoe het werk wordt uitgevoerd, en als hij ervoor kiest om Google als leverancier in te zetten dan heb jij het daarmee te doen. Dat je bij het gebruiken daarvan op een akkoord-knopje moet drukken, is dus gewoon deel van je werk.

Het is echter een misverstand dat je als werknemer dan ineens toestemming geeft aan Google voor wat dan ook. Ik geef toe, een gemakkelijke fout want er stáát immers “I agree” en er zit een privacyreglement bij ook nog. Maar als je als werknemer op zo’n knop druk, dan ga je hooguit namens je werkgever met dingen akkoord. Niet privé.

Natuurlijk kan Google allerlei dingen van je te weten komen wanneer je als werknemer met die diensten werkt. Maar ook dat is de verantwoordelijkheid van je werkgever. Als goed werkgever heeft hij de taak jouw privacy te waarborgen, en dus ook te zorgen dat leveranciers niet zomaar allerlei persoonlijke dingen van werknemers te weten komen. Hij zal dus bijvoorbeeld een bewerkersovereenkomst moeten treffen met die leveranciers, waarin staat dat deze niet gaat snuffelen in netwerkverkeer van werknemers. Je kunt hem daarop aanspreken als hij dat niet goed geregeld heeft.

En ik snap heus dat Google zich weinig aan zal trekken van zo’n Nederlands werkgevertje, maar daar zal het arbeidsrecht weinig rekening mee houden.

Arnoud

Is het een datalek om een domeinnaam te laten vervallen?

Geplaatst op in Intellectuele rechten, 29 reacties

Door het laten verlopen van een domeinnaam heeft Samsung miljoenen gebruikers risico laten lopen, zo laat de Portugese beveiligingsonderzoeker Joao Gouveia op Twitter weten. Dat las ik bij Security.nl. De domeinnaam hoort bij een door Samsung opgeheven dienst (S Suggest), die gebruikers populaire applicaties laat zien die gegarandeerd compatibel met hun apparaat zijn. De onderzoeker ziet nu miljoenen verzoeken vanaf Samsung-telefoons naar de domeinnaam. Is dat nu ook al een datalek?

Het is natuurlijk een blunder eerste klas. Een domeinnaam kost een paar euro, en een simpele “This service is not available anymore”-autoresponder moet ook geen bakken geld kosten. Maar zelfs de domeinnaam nergens heen laten wijzen had gekund, dan waren mensen ook wel snel gestopt met die app. En nu zou een kwaadwillende het protocol kunnen reverse engineeren en nepdata sturen, bijvoorbeeld suggesties voor phishing-apps die mensen dan klakkeloos installeren “want Samsung zegt dat deze compatibel is”.

Maar of het een datalek is? Daarvoor is vereist dat via dit domein persoonsgegevens lekken. Enkel dat een telefoon verbinding maakt met een app is denk ik niet genoeg daarvoor. (Tenzij je zegt dat headers zoals X-Asid persoonsgegevens zijn.)

Als de verbinding succesvol is en er wordt dan persoonlijke informatie opgestuurd door de app, dan komt die nu dus bij een ongeautoriseerd persoon terecht. Dus dan zou ik het wel een datalek noemen. Maar dat is wel een stevige als, en bovendien eentje die zich pas ruime tijd later kan voordoen.

Desondanks kan ik er niet bij dat Samsung dit heeft laten vallen.

Arnoud

Amazon-patent moet prijsvergelijken via wifi van winkel tegenhouden

Geplaatst op in Intellectuele rechten, 10 reacties

Amazon heeft onlangs goedkeuring ontvangen voor een patent, waarin een methode is beschreven om het vergelijken van prijzen via de wifi-verbinding van fysieke winkels tegen te gaan. Dat meldde Tweakers vorige week. Doel van die methode is te zorgen dat je niet snel online bestelt wat je zojuist in de winkel hebt gezien. Maar het patent noemt ook de optie van een tegenbod door de winkel, wat commercieel iets slimmer lijkt. Denk je dat ze na de ophef over 1-click patenteren iets geleerd hebben, tsja.

Uiteraard wil het weinig zeggen dat een bedrijf ergens patent op krijgt. Dat betekent alleen maar dat de patentverlenende instantie geen bezwaren zag, met name niet ten aanzien van nieuwheid (bestond dit al), inventiviteit (is het meer dan een triviale variatie) en technisch karakter (is dit significant meer dan een wiskundig of economisch principe). Het is zeer zeker geen voornemen of teken dat een bedrijf dit wil doen – en ook geen erkenning dat het iets bijzonders is, wat sommige uitvinders nog wel eens lijken te denken.

Het ligt echter wel in de lijn van Amazons nieuwste tak van sport: het fysiek laten winkelen van mensen, gekoppeld aan een online afrekenproces. Je hoeft zo niet meer langs een kassa, alles gaat via je telefoon behalve het dingen in je mandje leggen. En dit is ook waarom “huh, dan gebruik je toch gewoon je 4g verbinding” niet werkt: het afrekenproces vereist dat je via het lokale wifi-netwerk verbonden bent met Amazon. Daarmee hebben ze je.

Het octrooi is alleen in de VS verleend, dus in Europa hoeven we hier niet voor te vrezen. Het verbaast me sowieso al dat het in de VS is toegekend – mij lijkt dit een vrij duidelijk voorbeeld van een sinds Alice niet meer octrooieerbaar softwarepatent. Uit het verleningsdossier haal ik dat het argument hem erin zat dat een browser wordt bestuurd, en dat dat meer zo zijn dan enkel het idee “ze mogen de prijzen niet zien”. Meh.

Bij Tweakers las ik nog de vraag hoe zich dit zou verhouden tot netneutraliteit. Het is nogal een forse ingreep en direct gericht op commercieel voordeel van de aanbieder. Maar onder de Europese Netneutraliteitsverordening gelden die regels alleen voor aanbieders van openbare internettoegang, en daar vallen winkels met wifi niet onder.

Arnoud

Nee, als je bij een particulier bestelt dan wordt het op jouw risico verzonden!

Geplaatst op in Ondernemingsvrijheid, 25 reacties

Leuk stukje lifestyle bij Nu.nl: Pakketje niet bezorgd? Dit kun je doen. “Bij het bezorgen van pakketten gaat regelmatig iets mis: bezorgers zeggen dat ze aan je deur zijn geweest terwijl jij nooit een bel hebt gehoord, je bestelling wordt zomaar in ontvangst genomen door iemand anders of je pakketje komt gewoon nooit aan.” Inclusief mooie quote van de toezichthouder die netjes bevestigt dat winkels op hun risico versturen, maar dan val ik van mijn stoel bij “Als je als consument iets bij een particulier bestelt, geldt in principe hetzelfde. “Er kunnen ook andere afspraken gemaakt worden”, aldus Gras”. Dat klopt niet, aldus Engelfriet.

Bij verkoop van bedrijf aan consument is het simpel: de verkoper is aansprakelijk, dat staat letterlijk in de wet (art. 7:11 BW). Maar bij verkoop tussen consumenten onderling (art. 7:9 BW) staat er niet meer dan dat de verkoper moet zorgen dat de gekochte zaak wordt afgeleverd bij de koper. Niet expliciet wie verantwoordelijk is voor verlies of beschadiging bij transport.

De vraag is dan dus, wat is ‘afleveren’. De wet (art. 6:41 BW) omschrijft dat als “ter plaatse waar [het gekochte] zich bij het ontstaan van de verbintenis bevond”. Bij de verkoper dus. Als koper moet je het product dus gaan halen, en als je dan na aankoop vraagt om het toch te laten opsturen dan is dat op jouw risico.

In veel gevallen staat er in de advertentie dat er zal worden opgestuurd. In die situatie is de verkoper aansprakelijk: ten eerste omdat de plaats van aflevering dan “ter plaatse van de koper” is, en ten tweede omdat contractueel afgesproken is dat de verkoper gaat bezorgen en het niet-aankomen dan wanprestatie is.

Oftewel: het is dus in principe risico koper, tenzij andere afspraken zijn gemaakt. Precies andersom dus dan Nu.nl meldt. Die andere afspraak kan al in de advertentie staan (“Ik verstuur op jouw risico” is genoeg) maar het moet wel érgens staan.

Arnoud

EU-Hof verklaart The Pirate Bay illegaal en baant weg voor blokkade

Geplaatst op in Intellectuele rechten, 39 reacties

Het Europese Hof van Justitie heeft uitspraak gedaan in de zaak die door Brein is aangespannen tegen providers Ziggo en Xs4all, las ik bij Tweakers. Het Hof verklaarde – weinig verrassend – dat de piratensite inbreuk maakte op auteursrechten. Maar ze zeggen geen woord over in hoeverre een blokkade nu gerechtvaardigd is, dus waarom alle media dat nu roept? In ieder geval: ik ben nog steeds heel benieuwd of dat er gaat komen.

De uitspraak van het Hof is op verzoek van onze Hoge Raad, waar de zaak van Brein tegen de Nederlandse providers enige tijd terug terecht was gekomen. Nadat de rechtbank Den Haag had geoordeeld dat XS4All, UPC en consorten de Pirate Bay moesten blokkeren voor hun klanten, draaide het Gerechtshof dat in hoger beroep terug.

Het argument van het Gerechtshof daarbij was vooral dat de blokkade weinig effectief was: er waren genoeg alternatieven en manieren om de blokkade te omzeilen. Maar de Hoge Raad concludeerde in 2015 al dat dat argument iets te streng was. Kort gezegd: een blokkade is effectief als de geblokkeerde site dan minder bezocht wordt, en het doet er niet toe dat er andere sites zijn met vergelijkbare diensten. Ook dat een blokkade nooit 100% zou werken, betekent niet dat deze niet effectief kan zijn.

Ergens was het handig geweest als het Hof had doorgepakt en de criteria uit haar uitspraak van 2012 in de Kino.to zaak nader had uitgewerkt. Daarin werd gezegd dat een blokkade van een piratensite bij een ISP in principe kan, als de maatregel voldoende doeltreffend is, en ook redelijk. Inderdaad, daar heb je weinig aan. Maar omdat onze HR niet had gevraagd hoe dat nou zit met die blokkade-criteria, geeft het Hof daar ook geen antwoord op.

In zoverre is het dus weinig nieuws. We wisten al dat hyperlinks en torrents naar illegaal materiaal inbreuk opleverden, sinds de GeenStijl- en Filmspeler-zaken. Dat dat ook geldt voor torrentsites, verrast me totaal niet. (Toegegeven, de HR kon dit niet weten toen ze de vragen stelden aan het Hof.) Men zal dus nu zelf aan de bak moeten om die Kino-criteria uit te werken. En eerlijk gezegd heb ik géén idee of men een blokkade toe zou wijzen.

Arnoud

Mag ik de API achter een app zelf aanroepen?

Geplaatst op in Innovatie, 26 reacties

Een lezer vroeg me:

De app van mijn bank is leuk en aardig, maar ik wil eigenlijk bepaalde kerncijfers in mijn thuisdashboard getoond hebben. Technisch kom ik daar wel uit, maar mag ik die API aanroepen voor mezelf? Het is in principe dezelfde informatie heen en weer als de app zou doen, maar ik doe het niet op de officiële manier. Krijg ik dan problemen?

Zuiver juridisch gezien zie ik hier geen probleem mee. Als je gerechtigd bent een API aan te roepen, dan is het niet strafbaar of onrechtmatig om die aan te roepen. Je gaat hier dus niet voor de cel in, en de bank zal ook geen schadeclaim kunnen indienen.

Als je rare trucs gaat toepassen om de API dingen te laten doen die niet de bedoeling zijn, dan kan dat anders liggen. Informatie opvragen waar je eigenlijk niet bijhoort, mag je niet zomaar doen. In theorie is dat computervredebreuk.

Praktisch gezien kun je er wel problemen mee krijgen, in ieder geval één simpele: als de bank jouw aanroepen ziet als misbruik of bedreiging, dan blokkeren ze die. Dat zal al snel betekenen dat je ook via de officiële app niet meer bij je bankgegevens kunt of overboekingen kunt doen, en dat lijkt me erg vervelend voor een consument. Want zonder internetbankieren je bankzaken doen is een hele uitdaging tegenwoordig.

Ik zou dit dus alleen doen als de bank het goedvindt, of als je zeker weet dat de aanroepen niet te onderscheiden zijn van ‘echte’ aanroepen.

Arnoud

Tot waar kan een programmeur auteursrecht claimen op generatoroutput?

Geplaatst op in Intellectuele rechten, 9 reacties

Een lezer vroeg me:

Als je een generator maakt, bijvoorbeeld om tekst of visuele kunst te produceren, valt de output daarvan dan onder het auteursrecht van de programmeur? Ik had altijd begrepen dat wanneer een compiler voor software bijvoorbeeld eigen routines toevoegt, ze in theorie een mede-auteursrecht kunnen claimen. Hoe ver gaat dat in theorie?

Nu computers steeds meer zelf kunnen leren en genereren, wordt het mogelijk om computers zelf creatieve teksten te laten maken of kunst te laten genereren. Een visueel voorbeeld is the Next Rembrandt, en natuurlijk zijn er nog veel meer.

Auteursrecht krijg je wanneer je een eigen intellectuele schepping produceert. Als je dat criterium loslaat op een tool die zulke kunst genereert, dan is het duidelijk dat de tool onder je auteursrecht valt. Maar in hoeverre dat ook voor de output geldt?

In principe alleen wanneer jouw creativiteit herkenbaar is in die output. Bij compiler-output is het nog redelijk goed te zien dat er bepaalde input naar de output gaat, zoals standaardbibliotheken of stukjes code die ieder programma nodig heeft dat wordt gecompileerd. Dat is in principe een rechttoe-rechtaan kopie van code waar de programmeur van de compiler auteursrecht op heeft.

Bij optimalisaties door die compiler ligt het al lastiger. Dat is meer een stukje herkenning van iets inefficiënts waarna een truc wordt toegepast. Maar de output zou ik niet direct een gewijzigde versie van code uit de compiler willen noemen.

Bij kunst uit een computer neig ik er naar om te zeggen, nee dat is in het geheel geen gewijzigde versie meer van de input. Weliswaar bevat het programma in de kern (het algoritme) de mogelijkheden om tot die uitvoer te komen, maar die uitvoer is te abstract, te ongerelateerd aan de broncode van de software om nog van een wijziging daarvan te spreken.

Arnoud

Telt inroepen van PayPal aankoopbescherming als annulering?

Geplaatst op in Ondernemingsvrijheid, 19 reacties

Een lezer vroeg me:

Bij een webwinkel had ik wat besteld, en betaald met Paypal. Het object kreeg ik echter maar niet, dus ik heb via PayPal de Aankoopbescherming ingeroepen. De verkoper reageerde echter niet, waardoor ik mijn geld terugkreeg van Paypal. Maar nu eist de verkoper via een incassobureau betaling, en zeggen ze dat ik alleen maar een stornering heb gedaan maar dat de overeenkomst nog steeds staat! Hoe zit dat nu?

De Aankoopbescherming van Paypal is een dienst van het betaalbedrijf waarbij je een geschil wegens geen of afwijkende levering kunt aankaarten. Je hebt 180 dagen vanaf de betaaldatum om dat te doen, en Paypal laat de verkoper dan reageren. Komen partijen er zo niet uit, dan kan het geschil omgezet worden naar een claim, wat inhoudelijk vooral betekent dat PayPal zich er dan inhoudelijk mee gaat bemoeien.

Dat bemoeien betekent in feite dat ze dan inhoudelijk beslissen en wel bindend:

Wanneer een geschil in een claim is omgezet, zal PayPal een uiteindelijke beslissing nemen in het voordeel van de koper of van de verkoper. … PayPal behoudt zich het recht voor naar eigen inzicht een beslissing te nemen in het voordeel van koper of verkoper, op basis van criteria die PayPal passend voorkomen. Wanneer PayPal een eindbeslissing neemt in het voordeel van koper of verkoper, dienen beide partijen zich naar deze beslissing te schikken.

Die laatste zin met name lees ik als een bindend besluit, zeg maar net zoals de Rijdende Rechter adviezen geeft waar je je bij neer te leggen hebt. De winkel kan dan dus niet meer alsnog betaling vorderen. Het is dus wezenlijk anders dan enkel je betaling ongedaan maken, zoals bij veel creditcards mogelijk is. Enkel storneren is nog geen annuleren (ontbinden).

Juridisch is het mogelijk om af te spreken dat een derde een geschil gaat oplossen en dat je hangt aan zijn of haar beslissing. Art. 7:900 BW en verder werken deze zogeheten vaststellingsovereenkomst uit. Het is dus toegestaan om dit in algemene voorwaarden af te spreken. Als consument kun je daar onderuit – zo’n algemene voorwaarde staat op de zwarte lijst, tenzij de consument de mogelijkheid krijgt om alsnog naar de gewone rechter te stappen. Maar als bedrijf hang je als dat in de voorwaarden staat.

Het verbaast me wel dat een winkel niet zou merken dat PayPal een geschil had voorgelegd. Heeft iemand als winkelier daar ervaring mee? Krijg j dat te horen of moet je zelf kijken of er nieuwe geschillen zijn?

Arnoud