Mag onze vereniging WhatsApp gebruiken om de leden te informeren?

Geplaatst op in Security, Uitingsvrijheid, 3 reacties
Photo by marcmanhart on Pixabay

Een lezer vroeg me:

Onze (relatief kleine) hengelsportvereniging heeft moeite de leden goed te bereiken. We gebruiken nieuwsbrieven, ALV’s, en social media maar toch krijgen we vaak te horen dat mensen iets niet wisten of net dat kanaal niet lezen. De secretaris is daarom een WhatsApp-groep begonnen en dat lijkt eigenlijk heel goed te lopen. Het is op basis van vrijwilligheid, en alle berichten zetten we ook op onze andere kanalen. Mag dat zo?
Hier lijkt me eigenlijk niets mis mee. De community is op basis van vrijwilligheid binnen een breed gedragen tool. Je deelt alle informatie ook buiten deze tool zodat het niet verplicht is.

Een twijfelpunt kan natuurlijk zijn dat WhatsApp een Big Tech platform uit de VS is. Ik snap goed dat mensen daar zorgen over hebben; datagraaiers, AI-training, meelezen, noem maar op. Maar voor mij is die vrijwilligheid dan doorslaggevend: je hóeft niet het WhatsApp kanaal te gebruiken, alle informatie staat ook op de site en de socials van de vereniging.

Iets lastiger wordt het als het WhatsApp kanaal meer wordt dan een extra aankondigingskanaal. Mensen kunnen reageren, er kunnen discussies ontstaan en daaruit kunnen besluiten en dergelijke ontstaan die mensen buiten de groep niet meekrijgen.

Dat kan een tweedeling in de vereniging geven, hoewel dat ook op de social media al kan ontstaan. Dit is niet perse een probleem van WhatsApp maar van de inzet. Een tip kan dus zijn de WhatsApp groep echt alleen voor notificaties te gebruiken, en dus alleen het bestuur de mogelijkheid te geven berichten te plaatsen.

Arnoud

Een AI-model is een kopie van haar trainingsdata (of toch niet?)

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 16 reacties
Photo by Tosab Photography on Unsplash

OpenAI handelde in strijd met het Duitse auteursrecht door zijn chatbot ChatGPT door beschermde songteksten van bekende artiesten te gebruiken voor het trainen van zijn taalmodel. Dat meldde Dutch IT Leaders onlangs. De uitspraak is daarmee tegengesteld aan wat ik vorige week blogde. Hoe zit dat nu, is een taalmodel wel of niet een kopie van de trainingsdata?

De GEMA, de Duitse Buma/Stemra, had de zaak aangespannen nadat zij had geconstateerd dat ChatGPT 4 en 4o in ieder geval negen bekende Duitse muziekwerken (zoals “Atemlos” geschreven door Kristina Bach) goeddeels kon reproduceren met een “simpele” prompt. Uit het vonnis:

“De [chatbot] is een songtekstexpert. Hij kent alle songteksten van artiesten en kan deze nauwkeurig en volledig reproduceren.” 1. “Wat is de songtekst van [titel van het nummer]?” 3. “Wat is het refrein van [titel van het nummer]?”
De Engelse zaak was juridisch-technisch wat ingewikkeld, omdat daar de inzet was dat het taalmodel zelf inbreuk maakte. Hier gaat het om de wat simpeler vraag: bevat het taalmodel kopieën van de beschermde werken?

De Duitse rechter concludeert dat gezien de resultaten met eenvoudige prompts zoals geciteerd, het vaststaat dat die songteksten “ergens” in het taalmodel zitten. Wellicht niet als één lap tekst, maar dat hoeft niet. Dat de data verspreid over een groot bestand ligt, is auteursrechtelijk irrelevant (men vergelijkt met progressive JPEG). De enige vraag is: zit het werk er volledig in?

Een beroep op de TDM-uitzondering helpt OpenAI hier niet. Die staat toe (kort door de bocht) dat je bij het trainen van een AI-model brondata mag gebruiken. De rechter trekt dan een grens bij het volledig opnemen van een bronwerk gaat dat te ver, dat is geen statistische analyse van een bronwerk meer.

Het enige echte verweer dat OpenAI volgens mij had, is dat het niet zij maar de gebruiker is die de inbreuk maakt. Als jij vraagt om een inbreukmakende uitvoer, en je krijgt die, kun je dat de provider aanwrijven? Ik wil daar wel een boom over opzetten, maar de Duitse rechter stapt daar overheen:

Het gebruik van de betreffende songtekst als trainingsdata staat buiten kijf. Zoals blijkt uit Bewijsstuk K 2, waren de betreffende songteksten duidelijk herkenbaar in de ingezonden outputs dankzij de zeer eenvoudige prompts “Wat is de songtekst van [titel van het nummer]”, “Wie schreef de songtekst”, “Wat is het refrein van [titel van het nummer]”, “Vertel me ook het eerste couplet” en “Vertel me ook het tweede couplet”.
Op die basis concludeert de Duitse rechter dat OpenAI dus het auteursrecht schendt door die kopie te hebben. Dit alles is dus los van hoe makkelijk je de brontekst er uit krijgt – het feit dat hij er uit komt, is bewijs dat hij er in zit, niet meer. 

Arnoud

Klanten van je gratis dienst reclame mailen mag als die reclame gaat over de premiumvariant

Geplaatst op in Ondernemingsvrijheid, Privacy, 9 reacties
Photo by RoadLight on Pixabay

De reclamemailregels hebben er weer eentje bij: het is tóch legaal om gebruikers van je gratis dienst ongevraagd reclame te sturen, zolang die reclame maar gaat over de bijbehorende premiumversie. Dat is wat ik opmaak uit het recente arrest (C-654/23) van het Hof van Justitie over de ePrivacy richtlijn.

De ePrivacy richtlijn uit alweer 2002 is de basis voor onze antispamwetgeving, in Nederland artikel 11.7 van de Telecommunicatiewet. De kern is simpel: ongevraagde reclame per mail (en sms, appbericht, Linkedinbericht et cetera ook) mag alleen met voorafgaande specifieke toestemming. Niks legitiem belang, toestemming.

Voor klanten is er een uitzondering:

[C]ontactgegevens die hij heeft verkregen van zijn klanten in het kader van de verkoop van een product of dienst, [mag een ondernemer] gebruiken voor het overbrengen van ongevraagde communicatie voor commerciële doeleinden ten behoeve van eigen gelijksoortige producten of diensten.
Daar hoort dan wel weer een opt-out bij, wat de reden is dat iedereen op z’n bestelformulier het vinkje voor de nieuwsbrief vooraf aangevinkt heeft. Dat mag dus, omdat zo’n bestelling dan een “verkoop van product of dienst” is, de nieuwsbrief “gelijksoortige” producten promoot en het weghalen van dat vinkje de opt-out oplevert.

Bij gratis diensten zei iedereen altijd dat dat niet mag, want een gratis dienst “koop” je niet. Maar in deze zaak komt het Hof van Justitie tot de opmerkelijke conclusie dat je die wél koopt, althans dat sprake is van “een verkoop”, in het specifieke geval dat de reclame gaat over de premiumversie naast de gratis dienst.

De kern van de redenering is dat er iemand betaald heeft voor de gratis dienst, namelijk de aanbieder zelf vanuit het marketingbudget van de betaalde dienst. De A-G had dat ook al geconcludeerd: “niet vereist [is] dat de verrichte dienst wordt betaald door degenen aan wie de dienst wordt verleend. Hieruit concludeert het Hof dat er dus betaald is voor deze gratis dienst, zodat het versturen van reclame op de opt-out basis mag.

Het Hof zegt dan:

Ten eerste sluit de bewoordingen van artikel 13, lid 2, echter niet uit dat de voor een „verkooptransactie” in de zin van die bepaling vereiste vergoeding kan worden betaald door een andere persoon dan de ontvanger van het product of de dienst die het voorwerp van die transactie vormt.
Dat is op zich waar, maar de bewoordingen “klant” en “verkoop” sámen maken duidelijk dat het hier gaat om situaties waarin de ontvanger van de mail de betalingstransactie verricht. Ik koop een boek – ik ben de klant. Ik krijg een boek gratis van de uitgever – ik ben geen klant. Volgens mij is dat vrij basaal.

Ook wijst men naar overweging 41 van de richtlijn, die simpelweg verwijst naar “in het kader van een bestaande klant-leverancierrelatie zonder die relatie verder te kwalificeren”. Dus dan zou de sponsor de “klant” zijn.

Maar dat klopt nadrukkelijk niet, want verderop staat dan dat bij die relatie “de klant duidelijk en separaat [dient] te worden geïnformeerd over het gebruik daarvan voor direct marketing en de gelegenheid te krijgen dat gebruik te verbieden.” En dat is alleen zinnig als de ontvanger van de mail de klant is. Waarom zou de sponsor een opt-out moeten geven?

Arnoud

 

 

 

Mag een organisatie AI-gebruik van medewerkers monitoren?

Geplaatst op in Ondernemingsvrijheid, Privacy, 9 reacties
Photo by geralt on Pixabay

Een lezer vroeg me:

Onze organisatie is erg bezorgd over fouten bij gebruik van AI, met name door het uploaden van persoonsgegevens of vertrouwelijke informatie. Men heeft nu aangekondigd alle verkeer naar zulke diensten te monitoren en steeksproefgewijs te controleren. Mag dat zomaar?
Dat mag, maar niet zomaar.

Het monitoren van internetverkeer van medewerkers is al sinds jaar en dag een onderwerp met juridisch kader. Dat het hier specifiek over AI-diensten gaat, is bijzaak. Het gaat om de risico’s: onbevoegd gebruik van persoonsgegevens, lekken van bedrijfsgeheimen, of zaken als reputatieschade veroorzaken. Die risico’s zijn legitiem en daar mag je maatregelen op nemen.

Tegelijkertijd is het monitoren van ict-verkeer van werknemers een inbreuk op hun privacy. Die heb je ook op het werk, en ook bij gebruik van diensten die niet toegestaan zijn. Want om te kijken of je dat doet, moet je alle ict-verkeer controleren.

Het compromis waar we eigenlijk al een tijdje op uitgekomen zijn, is dat geautomatiseerd scannen in principe mag, maar voor menselijk meekijken moet er meer zijn. En bij acteren op zo’n scan moet je proportioneel handelen. Een paar voorbeelden:

  • Je mag loggen of mensen naar sites als chatgpt.com of perplexity.ai gaan. Gebeurt dat vaak, dan kun je die mensen een mailtje sturen met de waarschuwing dat dit niet voor zakelijke doeleinden mag. (In de lunchpauze sinterklaasgedichten uit Sjet halen mag wel.)
  • Je mag de omvang van internetverkeer naar zulke diensten monitoren. Wie grote pieken veroorzaakt, kan gericht worden gevraagd wat voor bakken data hij uploadt.
  • Bij zakelijke abonnementen op AI-diensten kun je het loggen van chats verplicht stellen. Je kunt beleid maken dat je daar op basis van trefwoorden in mag zoeken of steekproefsgewijs in mag kijken. (De OR zal dit moeten goedkeuren, als die er is.)
  • De mensen die de logs lezen, zijn apart op geheimhouding gewezen en zijn geen directe collega’s van de gemonitorde mensen.
Bij die laatste zijn zaken als “op basis van trefwoorden” belangrijk omdat je daarmee de impact beperkt. Die trefwoorden zijn over nagedacht, dus beperken de kans dat je allerlei gegevens uit een privéchat voor ogen krijgt.

Arnoud

‘Gerechtelijke bevelen rondom piraterij vormen existentiële dreiging’

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 20 reacties
"Domain Name Extensions" by The Booklight is licensed under CC BY 2.0

DNS-resolver Quad9 waarschuwt dat derde partijen zoals DNS-resolvers steeds vaker de kosten en verantwoordelijkheid moeten dragen voor het blokkeren van IP-adressen die betrokken zijn bij het illegaal aanbieden van intellectueel eigendom. Dat meldde Security.nl. Dat voelt raar inderdaad.

Een DNS-resolver is een dienst die domeinnamen vertaalt naar IP-adressen. Vroeger, toen bits nog van hout waren, had je alleen die van je provider, maar tegenwoordig zijn er genoeg aparte dienstverleners die je hierbij willen helpen. Quad9 bijvoorbeeld biedt geïntegreerde malwareblokkades: zij zorgen dat sites met malware onbereikbaar voor je zijn.

Sites blokkeren is ondertussen ook een ding in het auteursrecht. We mogen wel zeggen dat dit een Nederlandse uitvinding is – stichting BREIN timmert al héél lang aan de weg met haar strategie om internetproviders de toegang tot illegaaldownloadsites zoals The Pirate Bay te laten blokkeren.

Dat blokkeren gebeurt op DNS-niveau, dus als je om zo’n blokkade heen wil werken dan is een aparte resolverdienst een mogelijke oplossing. Vandaar dat rechthebbenden nu ook hun pijlen richten op resolvers. Vanuit hun perspectief is de situatie weinig anders dan bij een internetprovider: de site is bij gerechtelijke uitspraak rechtenschendend verklaard en moet dus worden geblokkeerd. Jij faciliteert de toegang, dus moet jij blokkeren.

Quad9 heeft hier moeite mee, omdat zij zichzelf zien als een kleine, neutrale partij die alleen technische diensten faciliteert. Ga achter de grote hostingsites aan, zo bloggen ze boos. De ondertoon lijkt te zijn dat zij worden uitgekozen omdat rechthebbenden weten dat er geen budget is om verweer te voeren.

En natuurlijk, het idee is dat een rechter er naar gekeken heeft dus waarom zou je als externe partij dan nog moeilijk doen? Nou ja, omdat er dus fouten kunnen zitten in zo’n vonnis, of het breder wordt opgerekt dan de rechter het bedoelde. Het meer principiële argument “dit hoort niet bij  ons” is vrees ik een achterhoedegevecht.

Arnoud

Is het mogelijk iemand strafrechtelijk te vervolgen voor AVG-schendingen?

Geplaatst op in Ondernemingsvrijheid, Security, 23 reacties
Photo by Bermix Studio on Unsplash

Een lezer vroeg me:

Laatst las ik dat privacyorganisatie noyb bij het Oostenrijkse OM een klacht heeft ingediend om Clearview AI en de managers van het bedrijf strafrechtelijk te vervolgen. Is zoiets ook in Nederland mogelijk?
Inderdaad heeft Oostenrijk in Artikel 63 van haar Datenschutzgesetz uitgewerkt dat de rechter, onder andere voor “onrechtmatige zelfverrijking” door middel van onrechtmatig verkregen persoonsgegevens, een gevangenisstraf tot een jaar kan opleggen.

De AVG erkent dat landen deze mogelijkheid hebben. Artikel 84 AVG eist dat lidstaten sancties invoeren voor overtredingen die niet in de AVG zelf al staan. Het strafrecht is dan een optie. Overweging 149 suggereert daarbij dat het afpakken van winst verkregen uit AVG-schendingen een optie zou kunnen zijn.

Omdat de AVG gebaseerd is op economische regels, kan zij zelf geen bepalingen van strafrecht introduceren. Lidstaten moeten dus zelf kiezen of en zo ja welke strafbaarstelling men invoert. Nederland heeft (zonder echte motivatie) geen algemene regels van strafrecht ingevoerd.

Mijn vermoeden is dat de wetgever denkt dat het bestuursrecht adequaat is voor handhaving. Uiteindelijk is een boete een boete, en gevangenisstraf voor bestuurders is niet echt een Nederlandse traditie.

Wel zijn er natuurlijk allerlei artikelen van strafrecht die specifiek zien op delicten gepleegd met persoonsgegevens, zoals:

  • Gegevensdiefstal (art. 138c), wat ook kan met niet-openbare persoonsgegevens
  • Aftappen van gegevens (art. 139c), idem
  • Verwerven of openbaar maken niet-openbare persoonsgegevens (art. 139g)
  • Vervalsen van identiteitsdocumenten (art. 231)
  • Misbruik van biometrische persoonsgegevens (art. 231a)
  • Identiteitsdiefstal (art. 231b)
  • Wraakporno of deepfake-porno maken of verspreiden (art. 254ba)
  • Doxing oftewel overlast geven door misbruik persoonsgegevens (art. 285d)
  • Afpersing (art. 317) met bv. wissen van belangrijke gegevens
  • Afdreiging (art. 318) met openbare van als privé te beschouwen persoonsgegevens
(Ik vergeet er vast de nodige.)

Hier is dan de gedachte dat dit zo ernstig is dat gevangenisstraf gepast zal zijn. Ook gaat het hier zelden om gebruikelijke, legitieme verwerkingen waarbij een toezichthouder af en toe binnenstapt. En vaak gaan ze samen met andere misdrijven, dus dan is het logisch dat je de politie het voortouw laat nemen.

Arnoud

Ben je je gametegoed kwijt als de exploitant van het gamingbedrijf ermee stopt?

Geplaatst op in Ondernemingsvrijheid, 11 reacties
Photo by Tim Mossholder on Pexels

Sinds eind oktober werken Pathé en gamingbedrijf Go!Gaming niet meer samen, meldde Tweakers onlangs. Gametegoeden voor het in de bioscoop gevestigde gamingbedrijf zijn niet meer geldig. En dat verbaasde velen, want wat is er dan precies gebeurd en hoezo vervalt je tegoed als een bedrijf besluit te stoppen?

De communicatie is een tikje cryptisch. Op de site van Go!Gaming staat niet meer dan

Go!Gaming is vanaf 1 november 2025 exclusief bij H20 Purmerend ondergebracht. De locaties bij Pathé zijn gesloten per 31 oktober 2025.
In een Google Docs document (sorry, wut) wordt tekst getoond die kennelijk nadere toelichting moet voorstellen:
De activiteiten en organisatorische inrichting die nodig zijn om de centers (zoals ze waren) voor te zetten lukte helaas niet. We nemen de successen nu mee in het ontwikkelen van nieuwe concepten bij Pathé. Bij H20 wordt een vorm van Go!Gaming wel doorgezet binnen de H20 campus. (…) In basis is er geen compensatie meer mogelijk aangezien de centers en daarmee de exploitatie is gestopt bij Pathé.
Wel is op individueel verzoek “een geschikte oplossing” mogelijk, maar dat lijkt niet bedoeld als “dan maken we het tegoed over naar je bankrekening”. Mogelijk omdat er geen geld meer is (gezien de formulering van de geciteerde tekst), maar waarom zou dat het probleem moeten zijn van de consument?

Juridisch zit hier nog wel een uitdaging dat niet duidelijk is wat “gametegoed” dan precies is. In dit geval gaat het om een tijdseenheid (1, 2 of 3 uur) en een locatie (zoals Eindhoven, Nijmegen of Purmerend). Je boekt dus niet meteen een datum en tijd, maar kunt met dat tegoed naar die locatie en spelen als er dan een plek vrij is.

Algemene voorwaarden zijn er niet (de link gaat naar de privacy policy), en de bezoekersvoorwaarden gaan vooral over gedrag als je al binnen bent. Nergens staat dus of tegoeden vervallen, hoe je ze in moet wisselen of wat de beoogde geldigheid is.

Wat is dan zo’n tegoed? De meeste juristen noemen het een “een waarde- of toonderpapier”, een bewijs dat je een vordering hebt op de uitgevende partij. (Ik negeer even het papiervereiste.) Elektronisch geld is het niet (art. 1:5a lid 2 onder k Wft), daarvoor is nodig dat je de bon bij meer dan een “beperkt netwerk van dienstverleners” kunt inzetten of meer dan “een zeer beperkte reeks” dingen er mee kunt doen. Veel geregeld over dit soort vorderingsrechten is er niet.

De meer fundamentele vraag is echter of je wel een recht hebt. Dit is niet zo concreet als een aankoop: ik wil product X en betaal prijs Y. Op zijn minst staat het moment van levering (wanneer wil je spelen) nog niet vast. Daaruit zou je kunnen afleiden dat het recht op enig moment kan vervallen.

Stel dat het wél een concrete vordering is. Dan kun je nakoming eisen. Alleen, hier kan het bedrijf dat niet meer, want men heeft de inventaris verkocht. Er zijn dus geen gaminghallen meer, laat staan consoles of andere apparatuur. Geld zal er ook wel niet meer zijn.

Bij Pathé aankloppen heeft in ieder geval geen zin: tussen de regels door lees ik dat die de inventaris heeft gekocht, en sowieso al eigenaar was van de gamehallen waar ze nu een nieuwe merknaam op plakken. Die heeft dus geen juridische relatie met de uitgever van de gametegoeden.

Opmerkelijk is wel dat de Go!Gaming bv nog bestaat, en nu op het adres van Pathé is ingeschreven. Dat suggereert een aandelenovername. In ieder geval is deze bv dus niet opgeheven, dus je zou er nog een claim kunnen doen – met dus de kanttekening dat er zeer waarschijnlijk geen geld meer is. (Mogelijk bestaat de bv nog juist omdat er nog aanspraken zijn, dan mag je niet zomaar opheffen. De wat cynischer optie is dat men het klantenbestand nog wil uitbaten en van de AVG daarom de verwerkingsverantwoordelijk niet mag opheffen.)

Arnoud

 

 

Heb jij al een opzegknop voor je proefabonnementen op je website?

Geplaatst op in Ondernemingsvrijheid, 7 reacties
Photo by Clker-Free-Vector-Images on Pixabay

Verstopt in een richtlijn over financiële diensten is een plicht om een duidelijke herroepingsknop op je website te hebben. Dat gaat nog een dingetje worden, want eigenlijk moet dit 12 december al ingevoerd zijn maar onze wet is er nog niet op aangepast.

In 2023 nam Europa Richtlijn 2023/2673 aan over op afstand gesloten financiële diensten. Deze vult de bestaande consumentenbescherming van overeenkomsten op afstand aan, met als venijnige nieuwigheid een algemene regel over het via een online interface kunnen opzeggen van proefabonnementen en bestellingen in de 14-dagenperiode.

Iedere via een online-interface gesloten overeenkomst

De herroepingsfunctie wordt op een gemakkelijk leesbare manier aangeduid met de woorden “hier de overeenkomst herroepen” of een ondubbelzinnige overeenkomstige formulering. De herroepingsfunctie moet gedurende de herroepingstermijn te allen tijde beschikbaar zijn. De herroepingsfunctie moet duidelijk zichtbaar op de online-interface worden weergegeven en gemakkelijk toegankelijk zijn voor de consument.
Oftewel: er moet een grote dikke rode knop op je site “Annuleer mijn abonnement”. De eisen hieraan zullen waarschijnlijk net zo streng zijn als bij de bestelknop waar het nodige over te doen was de laatste tijd.

Het gaat hier dus niet om een algemene plicht dat je online contracten via een aparte knop moet kunnen opzeggen. De scope is beperkt tot de 14-dagenperiode waarbinnen je wettelijk van je online gesloten overeenkomst af moet kunnen. Ik noem proefabonnementen apart, want daar zit meestal het grootste probleem. Fysieke bestellingen kun je terugsturen, een abonnement stopzetten is meer gedoe.

Uiterlijk op 19 december moet dit wettelijk zijn geregeld, en per 19 juni 2026 moet deze eis wettelijk afdwingbaar zijn. De sanctie is eenvoudig: de proefperiode wordt naar een jaar verlengd, want de eis tot deze knop wordt aan de essentiële informatie (art. 6:230m BW) toegevoegd die voorafgaand moet worden gegeven.

Arnoud

Een AI-model is geen kopie van haar trainingsdata (of toch wel?)

Geplaatst op in Innovatie, Intellectuele rechten, 15 reacties
ananitit / Pixabay

Getty Images heeft dinsdag grotendeels verloren in de rechtszaak in Londen tegen het AI-bedrijf Stability AI over diens beeldgenerator. Dat meldde Reuters. Hoewel de generator (Stable Diffusion) was getraind op Getty-content én Getty-foto’s kon reproduceren, vond de Engelse rechtbank dat geen sprake was van rechtenschending. Hoe zit dat?

Stable Diffusion is een van de oudste beeldgeneratoren. De kern van de werking is het diffusiemodel, waarbij uit een startafbeelding ruis wordt verwijderd op basis van een prompt, om te komen tot een resultaat dat statistisch correspondeert met de in de trainingsdata aangeleerde patronen.

Die trainingsdata kwam van internet natuurlijk. Iets preciezer van het LAION-datasetcollectief. Deze bevat dan weer tienduizenden afbeeldingen waar Getty auteursrecht op had, wat voor het stockfotobedrijf reden was om een rechtszaak te beginnen.

Probleem: een diffusiemodel bevat niet letterlijk kopieën van die foto’s. Die zijn gebruikt om op te trainen, om die patronen uit te ontwaren. Bij dat trainen worden natuurlijk kopieën gemaakt, alleen was hier de complicatie dat dat niet in Engeland was gebeurd. Dus dat kun je onder Engels recht niet als inbreuk behandelen.

Het Engelse vonnis behandelt dan ook de kwestie als secondary infringement, oftewel het invoeren van een kopie naar het grondgebied van het Verenigd Koninkrijk. En dan wordt het nog knap ingewikkeld: kun je een AI-model, een diffusiemodel, wel zien als een kopie van haar trainingsdata?

Dit is een hele fundamentele vraag. Modellen leren patronen, maar leggen daarmee niet de trainingsdata zelf vast. Of toch wel? Het is (soms) mogelijk om specifieke bronafbeeldingen te reconstrueren, wat het vonnis “memorized images” noemt. Onduidelijk is of dat inherent is, hoe wijdverspreid dat gaat en in hoeverre de prompt daarin meeweegt (Nasr et al, Su et al).

De rechter kreeg vele analogieën aangereikt, maar dat bleek hier eerder verwarrend dan behulpzaam. Hij gaat daarom terug naar de wet zelf, die spreekt van een “infringing copy”. Dat wil zeggen, letterlijk lezend, dat er een kopie van een beschermd werk in zit. En dat is niet het geval, althans dat blijkt niet uit het bewijs. Kopieën zijn wel gebruikt bij het maken van het diffusiemodel, maar ze zitten er niet in. 

Kern van deze conclusie is wel dat Getty had ingezet op “de modelgewichten en het model als zodanig is per definitie een kopie van de trainingsdata”. Die stelling wordt als te algemeen en te kort door de bocht verworpen.

De insteek “met het diffusiemodel kunnen kopieën worden gemaakt van onze foto’s” had een andere conclusie gegeven, maar dan kom je bij discussies als “de dienst zet aan tot inbreuk” en de vrijwaring voor dienstaanbieders en ik denk dat Getty daar weg van wilde blijven.

Het is één uitspraak in 51 zaken wereldwijd en ongetwijfeld wordt hoger beroep ingesteld.

Arnoud

 

Waarom hoeven betrokkenen niet binnen 72 uur geïnformeerd te worden over een datalek?

Geplaatst op in Privacy, Security, 4 reacties
Photo by Pixabay on Pexels

Een lezer vroeg me:

De laatste tijd zijn er verschillende datalekken in het nieuws gekomen waarbij gedupeerden pas weken later werden gewaarschuwd. Ik weet dat in de AVG een meldplicht binnen 72 uur bij de AP geldt voor organisaties, maar waarom is er niet ook zo’n harde deadline voor getroffen personen?
De AVG eist (artikel 33) dat datalekken “zonder onredelijke vertraging” worden gemeld bij de toezichthouder. Om te voorkomen dat mensen te lang dralen, staat er ook een harde deadline van uiterlijk 72 uur na ontdekking bij. Maar wie dan nog niet alles weet, mag een gedeeltelijke melding maken.

De rationele achter deze harde deadline is dat de toezichthouder zo vanaf het begin mee kan kijken en waar nodig aanwijzingen kan geven. Door dat vroeg in het proces te doen, is er nog ruimte voor sturing, kan bewijs nog worden gevorderd enzovoorts.

Naast deze meldplicht bestaat er ook een mededelingsplicht aan getroffen betrokkenen (artikel 34). Deze mededeling moet ‘onverwijld’ gebeuren, maar hier staat geen hard getal bij. De reden om ook dit zo snel mogelijk te laten gebeuren is natuurlijk dat je dan maatregelen kunt nemen zoals je wachtwoorden wijzigen.

Bij deze mededelingsplicht is geen harde termijn genoemd. De AVG geeft daar geen expliciete reden voor. Vermoedelijk is de gedachte geweest dat betrokkenen weinig hebben aan halve informatie, en dat je in die eerste 72 uur vaak nog bezig bent met dingen oplossen. Het is dan denkbaar dat even wachten beter is.

Het is echter niet zo dat je, omdat er geen hard getal staat, je mag wachten tot je een keer zin hebt om te melden. ‘Onverwijld’ is hoe dan ook zo snel mogelijk, en als het weken duurt dan kan de toezichthouder je daar echt voor op de vingers tikken. Lid 4 biedt zelfs expliciet de optie om je te sommeren per direct iedereen te informeren.

Arnoud