Pleegt Mozilla smaad met haar anti-http-waarschuwing?

Geplaatst op in Ondernemingsvrijheid, Uitingsvrijheid, 19 reacties

Een beheerder van de website Oil and Gas International heeft tegenover Mozilla geklaagd omdat Firefox op de website een melding geeft dat het onveilig is om in te loggen of via een creditcard te betalen. Dat las ik bij Security.nl vorige week. De website biedt gebruikers namelijk een inlogveld via http aan en sinds kort waarschuwt Firefox hiervoor. Zou een claim wegens smaad hier kans maken?

Recent heeft Mozilla, de organisatie achter browser Firefox, actie genomen om website-eigenaren te stimuleren om beveiligde verbindingen (https) te gebruiken voor het insturen van informatie. Dit zou de veiligheid op het web moeten verhogen.

Sites als deze wisten daar waarschijnlijk niet van en zijn dus onaangenaam verrast als browsers ineens “Connection is Not Secure” en “Logins entered on this page could be compromised” zeggen tegen bezoekers. Maar zou je dat smaad kunnen noemen?

De wet (art. 261 Strafrecht) definieert smaad als volgt:

Hij die opzettelijk iemands eer of goede naam aanrandt, door telastlegging van een bepaald feit, met het kennelijke doel om daaraan ruchtbaarheid te geven, wordt, als schuldig aan smaad, gestraft met gevangenisstraf van ten hoogste zes maanden of geldboete van de derde categorie. … Noch smaad, noch smaadschrift bestaat voor zover de dader heeft gehandeld tot noodzakelijke verdediging, of te goeder trouw heeft kunnen aannemen dat het te last gelegde waar was en dat het algemeen belang de telastlegging eiste.

Mozilla bazuint dus rond in het openbaar dat een website onveilig is, en baseert dat op het feit dat bepaalde formulieren onveilig worden verstuurd. Je kunt je afvragen in hoeverre dat als wáár te bestempelen is. Het is niet echt een feitelijke analyse, maar meer een mening over hoe veiligheid op het web te verhogen. Die mening is natuurlijk wel breed gedragen, dus in die zin zou je hem ‘waar’ kunnen noemen.

Minstens zo belangrijk is dat het algemeen belang de telastlegging eiste. Het is niet zo dat de waarheid dus nóóit smaad kan zijn. Een waar maar zeer genânt oud triviaal feitje rondbazuinen kan dus smaad opleveren, omdat er dan geen of te weinig algemeen belang is bij het vertellen. Smaad is een belangenafweging, geen binaire waar/onwaar kwestie.

Veiligheid op het web is een onderwerp van algemeen belang, die stelling durf ik wel aan. En dat formulieren beveiligd moeten zijn, die zie ik ook nog wel. Dus om dan als browser mensen hier op te attenderen, dat lijkt mij dan in het algemeen belang.

De tekst waarmee ze dat doen, is redelijk neutraal. Hoewel ik bij “Logins entered on this page could be compromised” dan wel een beetje dubbel gevoel krijgt: hoezo ‘could’, waar hangt dat dan van af? Een naïeve lezer zou dit kunnen opvatten als slechts een kleine slag om de arm in plaats van een “het is in theorie mogelijk”. Maar afgezien daarvan zie ik geen probleem met wat Mozilla doet.

Arnoud

Is er wetgeving die encryptie juist verbiedt?

Geplaatst op in Security, 18 reacties

Een lezer vroeg me:

Nu de Privacyverordening eraan komt, wordt het gebruik van encryptie steeds belangrijker. Maar is er ook wetgeving die encryptie juist verbiedt? Ik herinner me dat je als bedrijf geen encryptie mag gebruiken op administratie en belangrijke logs en dergelijke, omdat de Belastingdienst of Justitie dan geen onderzoek kan uitvoeren op je boeken. Hoe gaat de wet om met zo’n conflict?

Er is in Nederland géén wetgeving die het gebruik van encryptie verbiedt. Dat zou ook erg raar en onwerkbaar zijn, zeker vanwege het belang om een goede beveiliging van met name persoonsgegevens te realiseren. Wetten zoals de vraagsteller die formuleert, bestaan niet.

De Privacyverordening verplicht tot een adequate beveiliging van persoonsgegevens, in de praktijk zal dat vaak betekenen dat er encryptie moet worden toegepast. Heel strikt gesproken zouden ook andere oplossingen mogelijk zijn, zolang dat er maar voor zorgt dat persoonsgegevens niet zomaar bloot staan aan misbruik of ongeautoriseerd gebruik.

Wat de wet wél zegt, is dat als Justitie gerechtigd is om toegang tot data te vorderen, eventuele encryptie daarop ongedaan gemaakt moet worden. Een bedrijf mag dus niet weigeren een wachtwoord af te geven als ze daarover beschikt. Dit geldt zowel de eigen bedrijfsdata als eventuele klantdata waar een bedrijf een decryptiewachtwoord voor heeft (bijvoorbeeld voor disaster recovery).

Het is dan weer niet zo dat je als bedrijf in staat móet zijn om encrypted data te decrypten. Als de klant zelf data versleutelt en dat bij een bedrijf parkeert (zoals bij een online backup met clientside encrypted data), dan is het bedrijf niet verplicht een achterdeur of kopie wachtwoord te eisen. Wat je niet kunt decrypten, hoef je niet te decrypten.

Arnoud

Hoe strafbaar is het versturen van epilepsie-triggerplaatjes?

Geplaatst op in Regulering, 8 reacties

De FBI heeft een man aangehouden die Newsweek-auteur Kurt Eichenwald, waarvan bekend was dat hij epilepsie heeft, een epilepsie-triggerend Twitterbericht zou hebben gestuurd. Dat meldde Ars Technica onlangs. De arrestatie zou de eerste keer zijn voor online geweldpleging (“assault”). De FBI trekt de vergelijking met een bom of miltvuur via de post sturen naar iemand. Hoe zou dat in Nederland uitpakken?

Het is al langer bekend dat mensen met epilepsie gevoelig kunnen zijn voor bepaalde afbeeldingen. Er zijn patronen waar men sneller hoofdpijn van krijgt, en met animaties kunnen zelfs aanvallen worden opgewekt bij mensen die daar gevoelig voor zijn. Een berucht voorbeeld is een Pokémon-aflevering uit 1997 die met stroboscopische effecten kinderen hoofdpijn of aanvallen zou hebben bezorgd.

Dat was natuurlijk per ongeluk, maar hoe zit het als je dat nu opzettelijk doet, zo’n afbeelding sturen naar iemand van wie je weet dat hij er gevoelig voor is? Dan kom je in het strafrecht uit bij mishandeling (art. 300 Strafrecht): Mishandeling wordt gestraft met gevangenisstraf van ten hoogste drie jaren of geldboete van de vierde categorie. Het gaat dan meestal over fysieke mishandeling, zoals slaan of schoppen. Maar gezien het resultaat dat zo’n afbeelding kan hebben, lijkt het mij evident dat ook dit een vorm van mishandeling is.

Opzet wil zeggen dat je daadwerkelijk de bedoeling had het misdrijf te plegen. Bij deze Amerikaanse meneer lijkt daar wel sprake van, hij voorzag het bericht van de tekst “You deserve a seizure”. Daar valt weinig anders van te maken dan dat hij het wilde.

Had hij nou een andere tekst gebruikt, dan had hij wellicht kunnen zeggen dat het maar een grapje was of niet zo bedoeld. Dan wordt het juridisch iets lastiger, want je voelt aan dat dat niet geheel geloofwaardig is maar opzet bewijzen zal niet lukken. Gelukkig kent het strafrecht dan de constructie van voorwaardelijke opzet: de dader weet dat zijn daad een bepaald negatief gevolg kan hebben, maar neemt dat op de koop toe. Hoe je zo’n tweet ook voorziet van tekst, als je weet dat zo’n plaatje een toeval kan opwekken en je stuurt het dan naar een bekende epilepticus, dan is dat voorwaardelijke opzet en dan ben je net zo goed strafbaar.

Een plaatje zomaar ergens publiceren zonder specifieke doelgroep zou geen voorwaardelijke opzet zijn. Hoe weet je dan dat die daad dat gevolg kan hebben? Dat voelt wat mager. Een epilepsie-forum uitzoeken zou wél voorwaardelijke opzet zijn overigens, je hoeft niet een specifieke persoon op het oog te hebben. Tenzij je het op het forum plaatst met twaalf disclaimers en waarschuwingen en duidelijk maakt dat mensen zichzelf hiermee kunnen testen maar wel iemand erbij moeten hebben om ze eventueel te helpen. En zo kan ik nog wel even doorgaan (en ongetwijfeld gaat Wim dat hieronder doen ook).

Arnoud

Rechter veroordeelt webcamafperser ondanks claims over dubieuze keylogger

Geplaatst op in Regulering, 16 reacties

Een man is strafrechtelijk veroordeeld op basis van bewijs verkregen met een politie-keylogger. Dat meldde Tweakers vorige week. De politie heeft eind 2013 de woning van de man in het geheim betreden, waarbij op de aangetroffen laptop en desktop een keylogger werd geïnstalleerd. Zo kreeg men inzicht in zijn internetgedrag en pogingen dat te verhullen. Maar mocht dat wel?

Het vonnis laat zien dat de man in beeld kwam naar aanleiding van een onderzoek bij Facebook. Het bedrijf had accounts ontdekt die door dezelfde persoon werden gebruikt om mannen te chanteren middels valselijk verkregen seksueel materiaal. Het IP-adres kon door de politie worden getraceerd naar een bungalowpark in Nederland, waar -zo ontstond het vermoeden- de dader zou wonen.

Na nader onderzoek werd een verdachte aangehouden. In de paar dagen dat hij in voorarrest zat, betrad een politieteam die bungalow om daar een keylogger op de computer te installeren. Deze tool registreerde toetsaanslagen en maakte schermafbeeldingen wanneer op die desktop of laptop gebruik werd gemaakt van communicatieprogramma’s zoals Skype of een internetbrowser. Hierdoor kreeg het onderzoeksteam inzicht in het internetgedrag op deze computers en kon de afscherming door het gebruik van een VPN-verbinding worden omzeild. Dat leverde genoeg bewijs op om nogmaals tot arrestatie over te gaan, en ditmaal ook tot vervolging.

Een verweer van de verdediging was dat die keylogger onrechtmatig was toegepast en dat de resultaten van het hulpmiddel niet betrouwbaar zijn en daarom niet mogen worden gebruikt voor het bewijs. Er zouden onregelmatigheden zijn zoals chatteksten die wel op de gemaakte schermafbeeldingen zijn te zien, maar niet terugkomen in de geregistreerde toetsaanslagen.

In Nederland is het gebruik van dergelijke technische hulpmiddelen gereguleerd in het Besluit technische hulpmiddelen strafvordering. Dit Besluit heeft tot doel de betrouwbaarheid en herleidbaarheid te waarborgen van de gegevens die daarmee zijn verkregen. Het hulpmiddel moet voldoen aan technische eisen; van de keuring moet door een keuringsdienst een rapport worden opgemaakt en de keuring moet plaatsvinden overeenkomstig een goedgekeurd keuringsprotocol. Dat was hier het geval. En de Hoge Raad had eerder bepaald dat als zo’n keuringsrapport er is, de rechter in principe moet aannemen dat het hulpmiddel betrouwbaar is.

Dat er onregelmatigheden blijken te zijn, kan een tegenargument zijn. Echter, die waren hier niet – althans niet zo zwaar dat het tot uitsluiting van het bewijs zou moeten leiden. De meeste toetsaanslagen klopten wél met de screenshots (en andersom), dus die paar missers zien we dan als afrondingsfouten, zeg maar.

Ook merkwaardig was dat de keylogger verdwenen was na de tweede aanhouding. Onduidelijk blijft wat er is gebeurd – heeft een virusscanner het ding verwijderd als malware, is er de remote destruct optie ingeroepen? – maar dat maakt niet uit. Want zelfs als die verwijdering op de raarst mogelijke manier is gebeurd, dan nog staat vast dat het verkregen bewijsmateriaal betrouwbaar is. De keylogger was immers gekeurd en volgens de regels geïnstalleerd.

Als laatste was er nog het argument dat de keylogger meer opnam dan was toegestaan in het bevel van de Officier van Justitie dat de toestemming gaf voor het installeren van de keylogger. Zo waren er op de screenshots tabbladen te zien van andere applicaties dan waar de keylogger bij zou moeten komen. Maar dat maaktook niet uit: dat op schermafdrukken meer is te zien dan alleen de ingestelde programma’s, maakt naar het oordeel van de rechtbank nog niet dat sprake is van een verzuim.

Bij mijn weten de eerste keer dat zó expliciet een keylogger/spyware rechtmatig wordt verklaard bij de rechtbank. En het laat zien dat je als verdediging van goeden huize moet komen om daar dan nog gaten in te schieten.

Arnoud

EU eist wijzigingen in voorwaarden Facebook, Twitter en Google+

Geplaatst op in Informatiemaatschappij, 17 reacties

De Europese Commissie eist dat de sociale netwerken Facebook, Twitter en Google+ hun voorwaarden voor Europese gebruikers binnen een maand aanpassen, om consumenten meer rechten te geven en om fraude beter aan te pakken. Dat las ik bij Nu.nl vorige week. Het persbericht van de EU knalt er stevig in: op sociale media hebben mensen veel last van fraude en scams, maar ook van voorwaarden die je je Europese consumentenrechten ontzeggen. Want dat is precies hetzelfde. Maar goed, waar gaat het over?

Het persbericht lijkt een schot voor de boeg: jongens, doe iets aan die stomme voorwaarden anders dan komen wij met nieuwe wetten om dit af te dwingen en dan heb je helemáál geen keuze meer. En op zich is het natuurlijk ook helemaal niet raar om te vragen dat een internetdienst in zijn voorwaarden geen dingen zet die in strijd zijn met Europees recht, zoals dat je naar de Amerikaanse rechter zou moeten om je recht te halen – volgens Europees recht is gewoon de rechter van jouw woonplaats bevoegd.

Leuker vind ik de opmerking dat je bij een internetdienst niet zomaar je aansprakelijkheid op nul mag zetten. En nee “voor zover wettelijk toegestaan” is géén reëel alternatief. Je moet gewoon aangeven waar je aansprakelijk voor bent, of waarom je dat niet bent.

Ook een spannende: voorwaarden wijzigen mag alleen met tijdige vooraankondiging én motivatie, plus natuurlijk recht om op te zeggen. Dat opzegrecht is een wassen neus en ik wou dat ze dat niet hadden gezegd. Waar het om gáát is dat die voorwaarden eerlijk moeten zijn en niet zo maar alles mogen zeggen.

Contractopzegging door een socialmediaplatform moet ook niet zomaar mogen. Ook niet wegens ‘abuse’ of “lees de voorwaarden”. Opzeggingen moeten gemotiveerd en gebaseerd op daadwerkelijk beleid, en het lijkt mij dat je er ook een bezwaar tegen in moet kunnen dienen dat enige kans heeft om door een mens gelezen te worden.

Al deze zaken zijn direct te herleiden tot bestaand recht. Het probleem is vooral dat die rechtsregels erg oud of generiek zijn, waardoor je ze niet meteen kunt toepassen op online diensten. Zo staat er in de wet dat aansprakelijkheid beperken naar een consument toe onredelijk is, tenzij daar een argument tegen te bedenken is. Maar hoe je dat precies moet lezen, dat is nog een open vraag. En is “de dienst is gratis, kom nou” genoeg argumentatie?

Alles bij elkaar een goed initiatief, hoewel ik me zeer afvraag of de industrie werkelijk met iets nieuws komt.

Welke voorwaarde(n) zouden jullie graag anders zien bij online diensten?

Arnoud

Nee, een domeinnaam is geen maatwerk onder de Wet Koop op afstand

Geplaatst op in Intellectuele rechten, 30 reacties

Regelmatig zie ik bij domeinnaamverkopers en webhosters staan dat aangeschafte domeinnamen niet kunnen worden geannuleerd onder de Wet koop op afstand, omdat het om maatwerk zou gaan. Immers, je vult zelf in welke naam je wilt hebben. Maar een recent vonnis over maatwerkdomeinnamen laat zien dat dit écht niet klopt. Domeinnamen zijn diensten, en daarvoor geldt een ander (complexer) regime.

In deze zaak had een particulier bij een domeinnaamdienstverlener een domeinnaam gekocht, en een dag later de overeenkomst geannuleerd met een beroep op de Wet koop op afstand. Het bedrijf erkende dat niet: een domeinnaam aanvragen is een maatwerktransactie, bovendien werd deze transactie direct uitgevoerd. Dat leidde tot een rechtszaak, waarbij de rechter dan eindelijk eens een knoop hierover door moest hakken.

De Wet koop op afstand is in 2014 vervangen door een nieuwe serie wetsartikelen, maar voor het gemak blijf ik die artikelen gewoon Wet koop op afstand noemen. In essentie blijft het systeem van annuleren hetzelfde, hoewel de praktijk veel consumentvriendelijker uitpakt: een consument mag binnen 14 dagen iedere online transactie ongedaan maken, tenzij een van de wettelijke uitzonderingen van toepassing is.

De bekendste uitzondering is denk ik die van maatwerk, of zoals de wet het nu formuleert (art. 6:230p punt f sub 1 BW):

de levering van volgens specificaties van de consument vervaardigde zaken, die niet geprefabriceerd zijn en die worden vervaardigd op basis van een individuele keuze of beslissing van de consument, of die duidelijk voor een specifieke persoon bestemd zijn;

Het standaardvoorbeeld is het t-shirt dat wordt bedrukt met een door de consument aangeleverde foto. Die ‘zaak’ bestond nog niet en wordt vervaardigd op basis van een individuele keuze: deze ene foto en geen andere. Dit is wat bedrijven bedoelen met ‘maatwerk’ als ze zeggen dat maatwerk niet mag worden geannuleerd.

Je kunt inderdaad verdedigen dat een domeinnaam “volgens specificatie van de consument” is vervaardigd. Je typt inderdaad zelf de domeinnaam in die je wilt hebben. Alleen: een domeinnaam is geen ‘zaak’, geen fysiek object zoals de wet dat definieert. Daarom kan deze uitzondering niet worden ingeroepen bij domeinnamen.

Als iets geen zaak is, dan is de transactie er omheen een dienst. Daar is ook een annuleringsregeling voor, zij het dat die ingaat binnen 14 dagen na het sluiten van de overeenkomst (en niet na de dag van levering van de zaken). Deze regeling kent ook weer een uitzondering (art. 6:230p sub d BW):

een overeenkomst tot het verrichten van diensten, na nakoming van de overeenkomst, indien:
1°. de nakoming is begonnen met uitdrukkelijke voorafgaande instemming van de consument; en
2°. de consument heeft verklaard afstand te doen van zijn recht van ontbinding zodra de handelaar de overeenkomst is nagekomen;

De aanschaf van een domeinnaam mag dus wél worden geannuleerd, tenzij aan deze twee eisen (allebei dus) is voldaan.

De eerste eis is dat er met uitdrukkelijke voorafgaande instemming van de consument is begonnen met nakoming. In deze context betekent dat: er is expliciet gezegd “graag deze domeinnaam aanvragen en wel nu”. Dat komt uit het bestelproces van het bedrijf wel naar voren.

De tweede eis zegt dat als de levering afgerond is binnen die 14 dagen, de consument niet meer alsnog mag ontbinden. Direct vragen om levering, geleverd krijgen en dán nog zeggen “oh nee laat maar, graag geld terug” was net even te oneerlijk.

Maar bij wijze van balans is wel weer vereist dat de consument apart verklaart afstand te doen van dat annuleringsrecht. En dat is waar het hier misging: nergens in het bestelproces moest de consument een vinkje zetten (of iets dergelijks, bij wijze van verklaring) bij een tekst als “Ik geef opdracht tot directe aanvraag van de domeinnaam en doe afstand van mijn recht deze aanvraag te annuleren onder de Wet koop op afstand”. Daarom mocht de consument deze aanschaf kosteloos annuleren.

Slecht nieuws dus voor het bedrijf , ze krijgen die 29 euro (aanschafprijs plus diverse kosten) waar de zaak over ging, niet terug. Ook voor andere domeinhandelaren is dit iets om zenuwachtig over te worden: ook zij kunnen dus geen beroep doen op de maatwerkuitzondering. Maar er is een sprankje hoop, want wie nu bovenstaande tekst met aanvinkvakje toevoegt in zijn bestelproces, kan een latere annulering eenvoudig pareren.

Natuurlijk geldt dit recht alleen voor consumenten; bedrijven (dus ook eenmanszaken) hebben géén rechten onder de Wet koop op afstand, en dus ook niet op het recht de aanschaf van een domeinnaam te annuleren. Tenzij ze zich kunnen beroepen op de zogeheten reflexwerking, waarbij ze kunnen aantonen dat zij voor deze transactie eigenlijk niet te onderscheiden zijn van een consument. Die zie ik eerlijk gezegd niet voor een domeinnaam, dat lijkt me typisch iets dat je écht bedrijfsmatig aanschaft.

Arnoud

Nee, werknemers kunnen geen toestemming geven voor privacyzaken

Geplaatst op in Ondernemingsvrijheid, Privacy, 33 reacties

Energiebedrijf Uniper (tot 1 januari 2016 E.ON) heeft na onderzoek van de Autoriteit Persoonsgegevens (AP) zijn alcohol- en drugscontrolebeleid voor medewerkers ingetrokken, las ik een tikje vertraagd bij de toezichthouder. Dit beleid kwam erop neer dat het bedrijf alcohol- en drugstesten wilde inzetten om onveilige situaties te voorkomen, maar dat mag niet van de AP: dergelijke informatie wordt aangemerkt als bijzonder persoonsgegeven en dat mag als werkgever alleen worden verwerkt met aparte toestemming. En die kunnen werknemers niet geven.

Eind 2015 ontving de Autoriteit Persoonsgegevens signalen van werknemers van het bedrijf dat men akkoord moest gaan met beleid over random blaastests en drugscontroles (wangslijmtest, drugshonden, controleren van auto’s en werkplekken). Als een werknemer niet zou tekenen, zouden volgens die signalen sancties volgen, zoals plaatsing op een andere positie. Echt vrijwillig is dat dus niet te noemen. (Je zou ze de kost moeten geven, alle bedrijven waar je als werknemer moet tekenen voor allerlei beleid of gebruik van je persoonsgegevens waarna wordt geclaimd dat er ’toestemming’ is.)

Dit leidde tot onderzoek, met als conclusie dat het bedrijf die gegevens echt niet zomaar mag verzamelen. Gegevens over alcohol- of drugsgebruik tellen als bijzonder persoonsgegeven – het zijn immers gegevens over gezondheid, als je het zuiver bekijkt. En als bedrijf mag je niet beschikken over dergelijke gegevens van je personeel. Ziekteverzuim en -dossiers mogen bijvoorbeeld alleen door een bedrijfsarts worden bijgehouden; de werkgever mag niet meer weten dan “Wim is ziek en waarschijnlijk maandag weer beter”. Zelfs Wim vragen “Goh wat had je eigenlijk vrijdag” is heel formeel verboden (oké oké alleen als je dat vervolgens in een bestand opslaat, of als je het hem appt).

Er zijn natuurlijk uitzonderingen. De hier meest relevante was die van uitdrukkelijke toestemming: wie in vrijheid zegt, het is prima dat je weet wat ik heb, heft daarmee het verbod op verwerking van dat persoonsgegeven op. Daar beriep Uniper zich op, maar dat sneuvelde al snel:

Uit [de wetsgeschiedenis] blijkt dus dat de toestemming niet onder druk mag worden gevraagd en gegeven. De testen worden uitgevoerd in opdracht van de werkgever. In het ‘Beleid alcohol-, medicijn- en drugsgebruik’ van 29 oktober 2015 staat dat een werknemer die geen verklaring tekent waarmee hij aangeeft in te stemmen met de testen in ieder geval een gesprek met de leidinggevende krijgt en bovendien het risico loopt op een andere positie te worden geplaatst. Een werknemer die bij de feitelijke test niet meewerkt wordt gesanctioneerd alsof er sprake is van een positieve uitslag. De werknemer wordt derhalve onder druk gezet om toestemming te verlenen. Er kan in dit geval dan ook niet gesproken worden van een ‘vrije toestemming’.

(Uniper beriep zich ook op gronden als een vitaal belang, dronken of onder de drugs gevaarlijke apparatuur bedienen is immers levensgevaarlijk. Daarvan werd echter gesteld dat de maatregel niet proportioneel was, en die laat ik verder even buiten beschouwing.)

Die uitspraak gaat natuurlijk over een specifieke context (geef toestemming of we behandelen je als drugsverslaafde en je kunt je promotie wel vergeten, even gechargeerd) maar de achterliggende gedachte is verstrekkend: een werknemer kan dus in beginsel geen toestemming geven voor privacykwesties aan zijn werkgever. Niet voor bijzondere gegevens, maar ook niet voor normale. Want ook in normale situaties is altijd enige ‘druk’ aanwezig, al is het maar de algemene druk dat je werkgever het onthoudt en mee laat wegen bij de keuze wie straks die promotie moet krijgen.

Een werkgever zal dus eigenlijk altijd een andere grondslag moeten hebben, zoals dat het nodig is voor het werk om die gegevens te hebben (wat alleen niet kan bij bijzondere persoonsgegevens) of dat hij een eigen zwaarwegend belang heeft (wat bij bijzondere persoonsgegevens overigens een ontheffing vereist). De naam en contactgegevens van personeel op je site zetten zou onder het eerste vallen; cameratoezicht met de juiste waarborgen onder het tweede.

Arnoud

Mag de politie computerreparateurs betalen om te dataspitten?

Geplaatst op in Regulering, 34 reacties

De Amerikaanse FBI zou sinds 2007 medewerkers van de Geek Squad, een computerreparatiedienst van elektronicaketen Best Buy, betaald hebben om als informanten te dienen. Dat meldde Tweakers onlangs. De reparateurs spitten door binnengebrachte computers heen op zoek naar bijvoorbeeld kinderporno. De truc daarachter zou zijn dat de reparateurs dat kunnen zonder gerechtelijk bevel of zelfs maar verdenking, en dat die dan daarna een aangifte doen dat wél grond is voor een verdenking en juridische actie. Hoe zou dat in Nederland uitpakken?

Ook bij ons geldt natuurlijk dat de politie niet zomaar in computers mag snuffelen. Een officier van justitie zou bevel geven tot doorzoeking, en meestal is daarvoor toestemming van de rechter-commissaris nodig. Dat vereist al een stevige verdenking van een misdrijf, op de bonnefooi eens gaan zoeken is niet toegestaan.

Privépersonen zijn niet aan die regels gebonden. Als een reparateur dus bij herstelwerk iets strafbaars aantreft, dan is hij bevoegd daar aangifte van te doen. Hij heeft geen toestemming nodig van een overheidsinstantie om te zoeken naar strafbare informatie of om aangifte te mogen doen.

Het maakt zelfs niet uit of de reparateur toestemming van de eigenaar had om op die plek te gaan zoeken. Snuffelen zonder grondslag kan een probleem zijn – contractbreuk, misschien zelfs computervredebreuk – maar dat maakt het aldus verkregen bewijsmateriaal niet onbruikbaar voor Justitie. In theorie zou de reparateur dan vervolgd worden voor die computervredebreuk, parallel aan de rechtszaak tegen de eigenaar voor hetgeen dat er gevonden is middels die computervredebreuk.

Het punt is hier alleen wel: dit is niet zomaar wat tegenkomen, of zelfs maar snuffelen uit nieuwsgierigheid en wat tegenkomen. Dit is werken in opdracht van de politie. En dán val je ook als burger onder die regels voor de politie. Bewijs dat uit zo’n betaalde snuffelopdracht komt, is dus onbruikbaar bij ons.

De elektronicaketen ontkent overigens dat ze zo’n regeling getroffen hebben. Ik kan me ook moeilijk voorstellen dat de FBI dat wél zou aanbieden, al is het maar omdat de kans dat je wat strafbaars vindt, toch vrij klein is. Nog los van de discussie over rechtmatig verkregen bewijs.

Arnoud

Geldt de meldplicht datalekken ook voor defaced websites?

Geplaatst op in Ondernemingsvrijheid, Privacy, 12 reacties

Tweakersgebruikers melden maandag defacement van verschillende websites, waarbij de site zelf is vervangen door een boodschap die afkomstig lijkt te zijn van een Turkse groepering. Dat las ik op Tweakers gisteren. Of er een link is met de gebeurtenissen rond de Turkse minister van Familiezaken Kaya, is onduidelijk. Maar diverse lezers vroegen me wel: moet je dit nu melden aan de klant, valt dit onder de meldplicht datalekken?

De meldplicht datalekken geldt voor alle datalekken waarbij persoonsgegevens zijn betrokken. Een datalek is een inbreuk op de beveiliging van persoonsgegevens waardoor deze kunnen worden misbruikt, of gebruikt op een manier die niet toegestaan is. Doet zo’n datalek zich voor, dan moet dat in principe worden gemeld bij de toezichthouder (tenzij de impact minimaal is) en vaak ook bij de betrokkenen (tenzij de data encrypted was of de impact wederom minimaal is). Dit geldt nu onder de Wbp, en vanaf volgend jaar ook onder de Privacyverordening.

Voor andere data of andere soorten misbruik van persoonsgegevens geldt de meldplicht niet. Mijn standaardvoorbeeld is de hack bij een accountant waarbij de nog geheime jaarcijfers van een bv of nv worden gestolen: heel vervelend maar géén datalek in de zin van de wet en dus ook niet meldingsplichtig.

Bij een defacement worden pagina’s vervangen door andere teksten en/of afbeeldingen, in dit geval dan met een politieke strekking. Ik vraag me af of daarbij persoonsgegevens worden geraakt. Het kan natuurlijk altijd, maar het ligt voor mij niet voor de hand dat iemand die inbreekt om een tekst/afbeelding ergens neer te kwakken, ook persoonsgegevens van gebruikers kopieert of zelfs maar die langs ziet komen. Dus ik zou dit niet direct als datalek aanmerken.

Het is natuurlijk wel zo netjes om dit als bedrijf te melden aan je klant. Ik zou zelf vinden dat je dit verplicht bent vanuit je zorgplicht als goed opdrachtnemer. En vaak staat het ook in de algemene voorwaarden: bij gebleken misbruik of inbraken zal de hoster de klant informeren over genomen maatregelen, daaruit volgt dan ook een plicht tot melden dat een defacement heeft plaatsgevonden. Maar een datalek is het niet.

Arnoud

Mag Blizzard spelers verbannen omdat ze betaald elkaar helpen?

Geplaatst op in Informatiemaatschappij, 18 reacties

Blizzard heeft spelers uit World of Warcraft verbannen, omdat ze in ruil voor geld andere spelers hielpen. Dat las ik bij Nu.nl. Veel van de verbannen spelers waren onderdeel van hooggeplaatste gildes binnen het spel. Ze hielpen andere spelers met het afronden van moeilijke opdrachten om zo beter te worden, en lieten zich buiten het spel om betalen met echt geld. Dat is tegen de spelregels, aldus Blizzard. Maar is dat juridisch echt zo makkelijk?

In principe natuurlijk wel. Een spelorganisatie mag spelregels stellen, want het is uiteindelijk hun spel. Die spelregels zijn er om het spel aantrekkelijk te maken, om valsspelen te kunnen bestraffen en een level playing field te creëren voor iedereen die mee wil doen.

Je hebt veel ruimte daarin als organisatie. Dat je zegt, geen dubbele accounts om met twee personages tegelijk te spelen: prima. Of: wie level X heeft, mag niet op terrein Y komen, ook prima. Of: campen of schelden leidt tot een weekje een ban. Dat soort dingen maakt het oneerlijk of verpest de sfeer.

Hier gaat het alleen niet echt om regels over hoe het spel moet worden gespeeld. Deze regel is puur bedoeld om te voorkomen dat mensen geld verdienen (echt geld dan, niet het door Blizzard zelf gecreëerde virtuele goud) door op een handige manier te spelen. En dat doet wat raar aan.

Natuurlijk, uit het verleden blijkt dat men vaker optreedt tegen real-money-transactions, zoals dat heet. Zo is het al jarenlang een probleem om je account voor geld te verkopen, of om dure spullen voor echt geld door te verhandelen. Dat is een hele economie ondertussen, maar het is tegen de spelregels en Blizzard treedt daar ook wel tegen op. Dat kan ik ergens nog begrijpen: je moet die spullen of dat account zien te veroveren in dat spel, en die hobbel vermijd je nu. Dat stuit tegen mijn eerlijkheidsgevoel.

Maar wat is hier het probleem? Spelers die elkaar helpen, dat is niet verboden. Dan zou je ook geen tutorial of handboek “Hoe win ik in WoW” meer mogen uitbrengen, toch? Bovendien stelt men expliciet dat het wél toegestaan is om anderen te helpen in ruil voor het in-game goud.

Dus het bezwaar is niet dat je elkaar helpt, het zit hem dus in het rijk worden buiten Blizzard om. Dat vind ik wat lastiger te verdedigen. Welke legitieme reden is er daar tegen? Natuurlijk, men wil vast zelf geld verdienen (bv. door een officiële wisselkoers van goud naar echt geld) aan dit soort praktijken, maar dat kan ik moeilijk legitiem noemen. Dus ik twijfel of men daarmee weg zou komen als het tot een rechtszaak zou komen.

Arnoud