Mag een online spel bezorgd de politie naar je huis sturen?

Geplaatst op in Privacy, 18 reacties

Beetje raar verhaal: een Nederlandse League of Legends-speler kreeg bezoek van de politie na een tip van de maker van dat spel, las ik bij Numrush (dank, tipgever). Nee, geen reverse swatting van het bedrijf maar een stukje bezorgdheid: “Ze hebben ons laten weten dat je suïcidaal bent en daarom komen we een kijkje bij je nemen. Om te checken of alles goed met je gaat”, aldus de aanbellende agenten. En nee, dit waren ook geen medespelers of trollen in politiekostuum. Dus eh, wacht, wat krijgen we nou?

Numrush lijkt de oorzaak te hebben gevonden:

Soms gaat het niet zo lekker in de game, is hij aan het verliezen, en dan wil Xavieros zich nog wel eens uitdrukkingen met termen als “I want to kill myself” of “ow god please kill me”.

Daarnaast had hij mogelijk zich wel eens teneergeslagen geuit in de chat vanwege een hernia en andere frustraties. Dit leidde tot de conclusie dat het bedrijf berichten scant met algoritmes (of keywordscans) en bij bepaalde combinaties dan een suïcide-vermoeden concludeert en dan de autoriteiten inlicht. Wat ergens wel netjes voelt maar ook een tikje raar.

Mag het? Dit raakt aan persoonsgegevens, meer specifiek de zogeheten bijzondere persoonsgegevens van gezondheid en dergelijke. En die mag je als bedrijf eigenlijk helemaal niet verwerken. (Ik moet nu zeggen dat de GDPR of AVG hier streng op gaat zijn want dan verkoop ik meer boeken daarover, maar ook onder de Wbp mag dit eigenlijk al niet.)

Helemaal niet, nou ja er is een uitzondering: het zogeheten “vitaal belang” uit de Wbp en straks de AVG, zeg maar een dringende medische noodzaak. Ik citeer dat boek dan maar even, dan was die link geen reclame:

Een vitaal belang raakt aan het leven van die persoon. Te denken valt aan verwerkingen van medische gegevens bij een ongeval, of meer algemeen humanitaire doeleinden, onder meer voor het monitoren van een epidemie en de verspreiding daarvan of in humanitaire noodsituaties, met name bij natuurrampen of door de mens veroorzaakte rampen. Verwerking van persoonsgegevens op grond van het vitale belang voor een andere natuurlijke persoon is in beginsel alleen toegestaan indien de verwerking kennelijk niet op een andere rechtsgrond kan worden gebaseerd (overweging 46).

Een serieuze vrees dat iemand zichzelf om het leven gaat brengen, zou je kunnen zien als het dienen van een vitaal belang. De ultieme zaakwaarneming zeg maar. En het is vrij lastig in die situaties toestemming te vragen, waardoor dus deze route open staat.

Verdedigbaar dus, juridisch gezien. Maar het blijft gek aanvoelen. Ik weet niet hoe dit te zeggen zonder heel cru te klinken, maar is het echt zo’n reëel probleem specifiek bij online games, dat mensen daar een zelfdoding aankondigen en dat vervolgens uitvoeren ook? Is dat probleem zo groot dat het maatschappelijk relevant wordt dat aanbieders daar wat aan gaan doen? Ik heb denk ik iets gemist.

Arnoud

Wat is het verschil tussen data delen en data verkopen?

Geplaatst op in Security, 10 reacties

Audiobedrijf Bose werd vorige maand aangeklaagd wegens het bespioneren van zijn gebruikers, las ik bij Nu.nl. De Bose Connect-app zou bijhouden naar welke muziek en podcasts gebruikers luisteren. Het bedrijf heeft de app aangepast, maar ontkent dat die data wordt verkocht aan derden. En dan lees ik “Het bedrijf ontkent echter niet dat de gegevens gedeeld worden met derde partijen” en denk ik, wat is dan het verschil?

Steeds meer apparaten vergaren informatie over hun eigenaren en sturen dat naar de fabrikant. Van slimme televisies die luisteren naar wat er wordt gezegd tot beeldbewerking op afstand. Maar ook heel simpel een website die je bezoekt, verzamelt van alles over je. Commercieel heel waardevolle informatie voor derden, met name voor adverteerders. Want weten wat iemands interesses zijn, maakt het mogelijk gericht te adverteren.

Dit is op zich Ouder dan het Internet(tm): ook daarvoor al werd er driftig gehandeld in databestanden zodat je wist waar je een direct mailing het beste heen kon sturen. Verkoopcijfers van huizen, interesse in dure meubels en ga zo maar door. Verkoop van klantenbestanden en -informatie werd privacytechnisch dan ook al snel een punt van zorg.

Dit zie je op veel websites en diensten dan ook terug in de privacyverklaring: Wij verkopen uw gegevens niet aan derden. En voor zover ik weet houdt iedereen zich daar ook netjes aan. En dat is maar goed ook, want bestandenhandel is sinds de Wet bescherming persoonsgegevens eigenlijk altijd verboden – en onder de AVG of GDPR van volgend jaar helemáál.

Erg is dat niet, want er is een veel slimmer alternatief. In plaats van bestanden met waardevolle persoonsgegevens aan derden te verkopen, verhuur je een reclameplekje voor die derden op een generiek omschreven (dus niet persoonsgebonden) plekje op je site. Facebook zal mij nooit data verkopen waarin staat welke gebruikers advocaat zijn, IT-savvy en druk bezig zich in te lezen over die AVG die eraan komt. Maar ik kan wel gericht reclame tonen voor mijn boek over de AVG op precies het segment advocaat, IT-savvy en vond-ik-leukte-AVG-artikelen.

Effectief is dat hetzelfde, maar verkopen is het niet. Ik denk dus dat dat ongeveer is wat men met dat “delen maar niet verkopen” bedoelde. En het is dus legaal denk ik, omdat je geen persoonsgegevens verkoopt maar alleen geaggregeerde data. Hoe je dat wettelijk zou verbieden, weet ik niet. Dat kan dan beter bij de bron aangepakt worden: je mag zulke gegevens niet verzámelen zonder aparte toestemming, en dergelijke toestemming mag niet verbonden worden aan de koop van een ‘slim’ apparaat.

Arnoud

Mag Microsoft nu wel gebruik van andere browsers aan banden leggen?

Geplaatst op in Innovatie, 40 reacties

In Windows 10 S wordt het een stuk lastiger om van browser te wisselen, meldde de NOS recent. Microsofts nieuwe browser Edge blijft altijd standaard aanwezig: andere browsers kun je wel installeren met enige moeite, maar ze zullen nooit als standaardbrowser kunnen opereren. Maar hee, in 2013 kregen ze een megaboete voor precies dat: te weinig keuze in browsers op Windows. Waarom durven ze het dan nu wel?

De boete uit 2013 was voor de situatie in 2009, en acht jaar geleden is in ICT-land haast een eeuwigheid. Microsoft had lange tijd haar browser Internet Explorer als vaste standaard voorgeïnstalleerd bij Windows, en de concurrent (Netscape bijvoorbeeld, wie kent dat nog) kwam er zo nauwelijks tussen. Ja, je kon het downloaden maar wie dééd die moeite? Weet je wel hoe veel gedoe dat is, iets downloaden en installeren?

Ja precies, dat is wel even iets anders tegenwoordig. Software binnenhalen is een seconde of twee en een klik in de appstore naar keuze. Dus dat maakt het al makkelijker om er tussen te komen.

Op zich was het ook in 2009 niet automatisch een probleem als je producten bundelde. Het werd pas een probleem als je een economische machtspositie (niet helemaal hetzelfde als een monopolie) had, en dat had Microsoft op dat moment vrij evident in de markt voor operating systems. Zo’n machtspositie mag je niet misbruiken, onder meer niet door mensen een ander product verplicht ook te laten kopen.

Vandaag de dag is dat echt wezenlijk anders. Microsoft Windows is nog steeds een relevant platform, maar lang niet meer zo groot als destijds in 2009 of daarvoor. Apple heeft een significant deel van de markt voor besturingssystemen – maar nog belangrijker, Google heeft met Android een nóg groter deel.

Want nee, de markt is niet meer de desktop met hier en daar een laptop, de markt is verschoven naar smartphones, tablets en hier en daar een laptop. En op die markt is Microsoft een kleine. En mededingingsrechtelijk gezien mogen kleine partijen hun gang gaan met bundelen of verplichte instellingen. Dat lost de markt zelf op: als mensen dit niet leuk vinden, dan kopen ze geen Windows S meer maar een Android tablet of misschien wel een iPad.

Arnoud

Mag je de telefoon van je partner van spyware voorzien?

Geplaatst op in Regulering, 15 reacties

Een dikke 18 procent van de Britten en Amerikanen denkt dat het legaal is om de telefoon van je partner van spyware te voorzien, las ik bij Boing Boing. Bij kinderen was dat zelfs meer dan 50%, waarbij wel vrijwel iedereen van de ja-zeggers vond dat er wel een reden tot zorg moest zijn. Dat was ook bij volwassenen vaak een reden, maar de angst dat de partner vreemdging woog ook zwaar mee. En tsja, als er dan gewoon appjes zijn waarmee je dat kunt nagaan, waarom niet?

Het is in principe verboden om spyware op iemands telefoon te installeren. Er zijn wetten genoeg: de cookiewet verbiedt het installeren van software zonder duidelijke toestemming van de eigenaar, en de strafwet (art. 139c Sr) verbiedt het afluisteren van privételecommunicatie.

Voor strafbaarheid is wel vereist dat het afluisteren wederrechtelijk is, en dat wordt ingewikkeld als je in een relatie zit. Zeker als je getrouwd bent (oké, in gemeenschap van goederen) kom je al snel tot de conclusie dat er weinig strafbaars is: het is dan immers ook jouw telefoon, en je eigen spullen mag je voorzien van spyware als je wilt.

De cookiewet zou iets meer mogelijkheden moeten bieden, omdat toestemming daar nadrukkelijk door de betrokkene zelf moet worden gegeven. Maar ook dan kun je zeggen dat je als partner gemachtigd bent om namens elkaar privacytoestemming te geven. Dat kan dus ook behoorlijk ingewikkeld worden. Maar uiteindelijk kom je dan bij het algemene punt dat de strafwet (of de cookiewet) niet echt bedoeld is voor binnen relaties. Privacy en snuffelen moet je samen oplossen.

Bij kinderen geldt eigenlijk hetzelfde verhaal. Ook kinderen hebben privacy, maar daar staat de ouderlijke zorgplicht tegenover. Kort gezegd moet je als ouder een duidelijke reden hebben, een aanleiding die maakt dat je niet anders kúnt dan die spyware inzetten. En ik denk ook dat je het achteraf moet vertellen en bespreken, maar dat is niet helemaal een juridisch argument.

Zou je dit bij een losse scharrel doen of die leuke persoon m/v op het werk of in het café, dan wordt het natuurlijk anders. Dat is vrij evident strafbaar. Alleen is het dan weer lastiger om erachter te komen dat dat gebeurt.

Wie heeft er tips om zulke spyware te detecteren? Of beter, hoe voorkom je dat je partner/scharrel/ex/buurman zoiets op je telefoon zet, in een situatie waarin ahem niet te voorkomen is dat je op enig moment het fysiek beheer over je telefoon even kwijt bent.

Arnoud

Mag een bedrijf zomaar alles in de privacyverklaring zetten?

Geplaatst op in Informatiemaatschappij, 9 reacties

“We may collect, use, transfer, sell and disclose non-personal information for any purpose.” Zomaar een zin uit zomaar een privacyverklaring? Nou nee, deze stond in de Unroll.me verklaring, een handig bedoelde nieuwsbriefafmeldapp die stiekem van taxibedrijf Uber afkomstig bleek. Uber gebruikte de app om te ontdekken wie er met concurrent Lyft reed, om zo het succes van Lyft te kunnen meten. Dat gaf de nodige ophef, omdat mensen dit best wel bespioneren vinden. Maar het stáát er toch gewoon, aldus Uber?

Uit diverse onderzoeken blijkt keer op keer dat mensen privacyverklaringen en algemene voorwaarden niet lezen. (En dat het 200 à 300 uur op een mensenleven zou kosten om dat wél te doen, en dat is dan zónder eventuele wijzigingen). Dat maakt de reactie van Uber (mooi gekarakteriseerd als “Sorry you’re upset”) maatschappelijk gezien wat twijfelachtig. Als je wéét dat mensen een tekst niet lezen, is het niet netjes om te verwijzen naar die tekst als enige rechtvaardiging.

Juridisch gezien klopte het natuurlijk wel, in ieder geval in de VS. Daar geldt: alles mag qua privacy, zolang je het vooraf maar netjes zegt. Privacyverklaringen putten zich daar ook altijd uit in lappen tekst met wat men doet en kan doen, en wijzigen wekelijks omdat ze wat nieuws erbij bedacht hebben.

In Europa mag dat niet zomaar: dingen met persoonsgegevens doen vereisen toestemming (of een rechtvaardiging onder een contract, plus nog wat uitzonderingen), en die kun je niet opeisen in een privacyverklaring of in algemene voorwaarden. Een privacyverklaring legt uit wat er gebeurt áls er toestemming is. Maar de toestemmingsvraag moet op zichzelf duidelijk en specifiek zijn. Dus ook “Ik geef toestemming voor alles uit de privacyverklaring” is niet genoeg.

Het probleem is vooral dat deze praktijken zijn ontstaan vanuit een tijd waar toestemming vragen – of privacyschendingen – een uitzondering was. Natuurlijk, in de jaren zestig ging je ook de openbare ruimte in: het café, de supermarkt en ga zo maar door. Logisch dat de caféeigenaar dan keek wat je deed, en de supermarkteigenaar kon wellicht bedenken dat als veel mensen bier kopen, het handig is de chips er naast te zetten. In die context is “hang even een bordje op als je rare dingen doet” heel begrijpelijk. En omdat het een uitzondering is, valt het op en dan leren mensen er ook weer wat van.

Met toestemming hetzelfde. Volgens mij is nooit voorzien bij het invoeren van wetgeving over persoonsgegevens dat iedereen dagelijks vele malen toestemming zou geven. Elke keer als ik de wettelijke eisen stel, moet ik denken aan het soort informed consent dat je als patiënt moet geven bij een medische behandeling. Duidelijke uitleg, een vrijwillige keuze en specifiek aangeven wat je wel of niet wilt. Bij internet-toestemming krijg je een folder van zes kantjes (met sticker “Let op: kan inhoudelijk afwijken van de werkelijkheid”) en blijken je nieren ineens tracking pixels te bevatten. Dat werkt niet helemaal, om het zachtjes te zeggen.

Alleen: hoe moet het dan wel? Wettelijke regulering, dus keihard opnoemen wat er wel en niet mag, lijkt me te blokkerend voor innovatie. De toezichthouder in abstracto laten oordelen over nieuwe ontwikkelingen? En dan vooraf of achteraf? Daar zie ik ook weer weinig in.

Arnoud

Mag een bedrijf toestemming afleiden uit het feit dat je ze mailt?

Geplaatst op in Privacy, 8 reacties

Een lezer vroeg me:

In het privacystatement van Vereniging Eigen Huis staat: “Het anderszins verwerken van uw persoonsgegevens geschiedt alleen voor zover u Vereniging Eigen Huis daarvoor ondubbelzinnig toestemming heeft verleend. Die toestemming kan blijken uit het enkele feit dat u per e-mail of anderszins een vraag aan Vereniging Eigen Huis stelt.” Is dat laatste wel rechtsgeldig? Hoe kan men nu uit zo’n “enkel feit” toestemming afleiden?

Toestemming wordt als begrip in de Wet bescherming persoonsgegevens gedefinieerd als een “vrije, specifieke en op informatie berustende wilsuiting waarmee de betrokkene aanvaardt dat hem betreffende persoonsgegevens worden verwerkt”. Dat is een vrij open definitie, maar natuurlijk kan een bedrijf of instelling niet zelf bepalen hoe wettelijke termen moeten worden uitgelegd.

Volgens mij klopt het wel zoals VEH het formuleert. In principe mag je persoonsgegevens alleen verwerken met toestemming. Toestemming moet vrijwillig worden gegeven, maar het is niet verplicht dat expliciet te laten doen. Toestemming mag je onder de privacywet ook concluderen uit ander handelen, zolang maar duidelijk is dat die handeling bedoeld was als (mede) een toestemmingshandeling.

Het lijkt mij dat als iemand je een mail stuurt met een vraag, je wel mag concluderen dat je toestemming hebt om die persoon terug te mailen. Ik denk dat je ook nog wel toestemming hebt om een week later na te mailen of de oplossing beviel en of ze een enquete in willen vullen.

Verder hoef je denk ik niet bang te zijn dat men die toestemming dan gebruikt om bijvoorbeeld verkoop van je gegevens aan de hoogste bieder te rechtvaardigen. Dat kan namelijk niet onder de privacywet: toestemming moet specifiek en doelgebonden zijn. Deze tekst maakt dat duidelijk met “voor zover”. Ze zeggen dus zelf niet meer te doen dan waarvoor je toestemming hebt gegeven.

Toestemming om een antwoord op je vraag te mailen is wezenlijk iets anders dan toestemming om op een nieuwsbrief te komen, of om je gegevens aan een derde te verstrekken. In programmeertaal: toestemming is geen boolean maar een array met toegestane handelingen. En in dit geval zal er dus niet meer gebeuren dan een reactie op je mail.

Arnoud

Mag je andermans brakke IoT-apparaten op afstand onschadelijk maken?

Geplaatst op in Innovatie, Security, 25 reacties

De brickerbot is terug, las ik bij Ars Technica. Het gaat om een initiatief van de mysterieuze “Janit0r”, een handige hacker die brakke apparaatjes met internetverbinding kaapt en gebruikt om hun broertjes en zusjes permanent stuk te maken (“bricken”, oftewel de enige resterende functionaliteit is die van een baksteen). Dit omdat dergelijke apparaten zó veel schade aanrichten dat het niet mooi meer is, en geen hond zin heeft daar wat aan te doen.

De frustratie is begrijpelijk. Aanvallen door gekaapte Internet-of-Things apparaten lopen aan alle kanten de spuigaten uit. Zo zette een denial-of-service aanval door gehackte videorecorders en webcams het wereldrecord voor grootste aanval ooit. En dat is belachelijk: hoe moeilijk is het nu werkelijk om een webcam of recorder te beveiligen tegen triviale kapingen?

Het probleem is, zoals security-expert Bruce Schneier recent mooi aangaf, dat niemand zich geroepen voelt er wat tegen te doen. Consumenten vinden het niet hun probleem dat een apparaat lek is. Leveranciers pakken de snelle winst en verwachten geen toename in de verkoop als er “Nu extra veilig tegen hacks” of “100% niet-kaapbaar garantie” op de doos staat. Internetproviders merken weinig van de aanvallen, omdat de data in één specifiek netwerk te klein is om overlast te geven. En voor toezichthouders is het probleem te diffuus om op te treden, nog los van ontbrekende wetgeving. Brakke apparaten aan internet hangen is volstrekt legaal.

De oplossing zit natuurlijk in dat laatste: verplicht leveranciers tot ICT-veilige apparatuur. Net zoals apparaten niet mogen ontploffen en niet giftig mogen zijn, mogen apparaten niet onveilig zijn in de zin van hackbaar of te kapen voor ddos-aanvallen. Dat is niet moeilijk, wel een hoop gedoe en natuurlijk kost het geld, maar als álle leveranciers dat moeten dan blijft het speelveld gelijk.

De tactiek van de Janit0r is slim. Door die apparaten fysiek onbruikbaar te maken, komt het probleem bij de consument te liggen. Die moet nu gaan klagen bij de winkel (waardoor het probleem verschuift) of hij heeft een nutteloos apparaat (waardoor het probleem weg is). En de winkel zou dan bij genoeg klachten zijn inkoopbeleid moeten gaan herzien.

Lastig is natuurlijk: dat mag eigenlijk niet, andermans apparaat permanent uitschakelen. Dat is binnendringen en schade aanrichten, en dat is een strafbaar feit.

Tenzij je zegt: het gaat hier om zaakwaarneming, de juridische figuur waarbij je je bemoeit met andermans zaken om verdere schade te voorkomen. Je mag bij de buren een ruitje intikken als je ziet dat er nog een spreekwoordelijk pannetje melk aan staat terwijl ze net op vakantie zijn gegaan. En als de tuinslang ’s nachts ineens op volle kracht sproeit, mag je die dichtdraaien. Dan mag je dus ook die datalekkende apparaten dichtdraaien, zou dan het argument zijn.

Wat vinden jullie? Terecht gepast ingrijpen of niet?

Arnoud

Wanneer heeft een kunstmatige intelligentie auteursrecht op een filmscript?

Geplaatst op in Intellectuele rechten, 16 reacties

Een kunstmatige intelligentie (AI) schrijft alle tekst voor David Hasselhoff in een nieuwe korte scifi-film, las ik bij Tweakers. De AI heeft een grote databank met filmteksten, en componeert daarmee nieuwe combinaties (via een LSTM) die acteur David Hasselhoff dan uitspreekt. Wat de vraag oproept, van wie zijn die teksten eigenlijk?

Hoofdregel uit de auteurswet is dat de partij die een creatief werk maakt, daar het auteursrecht op heeft. Het gaat dan om de natuurlijk persoon die het werk maakt, of in voorkomende gevallen zijn werkgever. Een opdrachtnemer zoals een ingehuurde programmeur, fotograaf of tekstschrijver heeft dus zélf het auteursrecht en niet zijn opdrachtgever.

Daar hebben we alleen niet heel veel aan in dit geval, want een AI is geen natuurlijk persoon. De wet erkent robots en software niet als personen.

Een eerste gedachte is dan, dan zal de programmeur van Benjamin wel de rechten hebben. De robot is dan zeg maar een heel slim toetsenbord met automatisch aanvullen of zelf scherpstellende camera met volgsysteem of iets dergelijks, daarvan vinden we ook niet dat die zelf auteursrechten hebben.

Ergens voelt dat alleen een beetje té makkelijk. Er zit ergens een fundamenteel verschil tussen afmaken wat een mens in gang zetten of een geautomatiseerde standaardhandeling enerzijds en een onverwachte creatieve uiting van een geavanceerd neuraal netwerk? Want niet te ontkennen valt dat die Benjamin érg creatieve uitingen doet, waar die programmeur vooraf totaal geen uitspraken over had kunnen doen. Als een werk zó onvoorspelbaar tot stand komt, is het dan nog wel logisch dat de rechten op dat werk bij de schepper van de software komen te liggen?

(De techniek komt er heel kort gezegd op neer dat het netwerk leert welke woorden typisch volgen op een bepaald woord, en dan vervolgens los gaat op een startzin of -woord. Ongeveer zoals een vrije-associatieoefening bij brainstormen. Je kunt je dus zelfs afvragen óf er wel creativiteit in het werk zit, als het alleen maar is “na ‘de’ komt meestal ‘hond'”.)

Arnoud

Mag je reclame maken in je vlog?

Geplaatst op in Ondernemingsvrijheid, 15 reacties

In zo’n 90 procent van de populaire Nederlandstalige YouTube-vlogs worden producten aangeprezen, meldde Nu.nl vorige week. In driekwart van de gevallen is niet altijd duidelijk of het hier gaat om betaalde aandacht of niet. Dit constateerde het Commissariaat voor de Media in een onderzoek naar populaire vlogs. Het onderzoek is aanleiding om te pleiten voor duidelijkheid in vlogs: sluikreclame is niet de bedoeling. Maar hoe zit het juridisch?

Dat vlogs vol met reclame zitten, zou niet moeten verbazen. In bijna 90% van de vlogs en clips zijn duidelijk een of meerdere merken of producten te zien. In meer dan 60% van die gevallen komen merken en producten niet terloops aan bod, maar krijgen ze nadrukkelijk en positief de aandacht, zo constateert het CvdM. Omdat er dan ook vaak betaalde links (affiliatelinks) bij zitten, lijkt mij dat je dat inderdaad wel reclame kunt noemen.

Reclame maken in een vlog is op zich niet verboden. De pijn zit hem eerder in zaken als sluikreclame. En dat is wel verboden, in de Mediawet waar het CvdM de toezichthouder voor is. Alleen: de Mediawet gaat over klassieke radio- en televisiemedia, niet over internetfilmpjes. Dus meer dan aanmoedigen, voorlichten en adviseren kan men op dit moment niet doen.

Er is Europese regelgeving in de maak die de mogelijkheid creëert voor het CvdM om ook bindende uitspraken over Youtube-media te doen. Hoe dit er precies gaat uitzien, is nog niet bekend en het zal nog wel een jaar of twee duren ook.

Illegaal streamen is inbreuk, en een streamingkastje met links mag je niet verkopen

Geplaatst op in Intellectuele rechten, 11 reacties

Mediaspelers die zo zijn ingesteld dat je er zonder te betalen films, tv-series en -zenders mee kunt kijken, kunnen niet door de beugel, las ik bij de NOS. Het Hof van Justitie oordeelde woensdag (zaak C-527/15) dat een mediakastje dat geleverd wordt met links naar illegaal aanbod zélf inbreuk maakt op het auteursrecht. Oh, en streamen uit illegale bron is inderdaad inbreuk op auteursrechten.

De uitspraak is het gevolg van een Nederlandse rechtszaak van stichting Brein tegen het bedrijf Filmspeler.nl, waarbij de discussie zich toespitste over de vraag allereerst of streamen wel onder het downloadverbod valt, en daarna of een link naar een illegale stream dan op zichzelf inbreuk op auteursrechten opleverde.

Downloaden uit illegale bron mag niet, zo weten we sinds 2014. Het Hof van Justitie bepaalde toen dat een kopie uit illegale bron niet toegestaan mag zijn, ook niet onder een “ruimhartige” thuiskopieregeling zoals wij die al decennia kenden. Maar vrijwel direct kwam toen de discussie: valt streamen onder dat verbod?

De voornaamste reden om streamen geen downloaden te noemen, is omdat er niet echt een kopie wordt gemaakt zoals die term altijd wordt bedoeld. Weliswaar staan er eventjes wat bits in je werkgeheugen, maar dat is een nogal tijdelijke kopie die alleen maar nodig is voor het gebruik van het werk. En de wet kent dan een uitzondering:

Onder de verveelvoudiging van een werk van letterkunde, wetenschap of kunst wordt niet verstaan de tijdelijke reproductie die van voorbijgaande of incidentele aard is, en die een integraal en essentieel onderdeel vormt van een technisch procédé dat wordt toegepast met als enig doel
a) de doorgifte in een netwerk tussen derden door een tussenpersoon of
b) een rechtmatig gebruik
van een werk mogelijk te maken, en die geen zelfstandige economische waarde bezit.

Het Hof concludeert nu vrij eenvoudig dat een stream uit illegale bron hier niet onder valt. Er is immers geen sprake van “rechtmatig gebruik”, die stream hoort niet online te staan dus kun je die niet rechtmatig gebruiken, dus is dit geen uitgezonderde (legale) tijdelijke kopie. Het is gewoon inbreuk. (Ja, dit is voorbeeld 481 van “als de rechthebbenden het niet leuk vinden dan mag het niet”.)

Dan de vraag of een mediaspeler inbreuk maakt op auteursrechten. Je zou zeggen van niet, de illegale streams (of downloads) staan immers niet op het kastje. Maar sinds het Sanoma-arrest van september vorig jaar weten we dat hyperlinks naar illegaal aanbod zélf inbreukmakend zijn, als de plaatser van de link wist of had moeten weten van het illegale karakter. En een commerciële plaatser wordt geacht dat te weten.

Het is dan ook geen enkele verrassing meer dat het Hof nu zegt, die hyperlinks in een kastje dat je verkoopt zijn inbreukmakend. Het kastje is immers commercieel bedoeld, het wordt verkocht. Dus wéét je (wordt je geacht te weten) dat die links er niet in mogen staan. Die kastjes mogen dus niet zo worden verkocht.

Een mediaspeler die enkel aangeleverde bestanden kan spelen (bijvoorbeeld vanaf een USB-schijf) valt hier uiteraard niet onder. Zo’n speler is niet voorgeprogrammeerd om illegaal aanbod te ontsluiten. Interessant wordt het nog als er in bijvoorbeeld de Play Store van Google een torrent-client staat, die mensen dan zelf moeten downloaden. Ik denk dat dat nog net kan, omdat de verkoper van het kastje geen invloed heeft op wat mensen uit de Play Store downloaden. Maar de koper mag dan uiteraard alleen legaal materiaal torrenten.

Arnoud