Wetsvoorstel moet digitaal leren met nepnaam veiliger maken

Geplaatst op in Informatiemaatschappij, Privacy, 21 reacties

Kinderen die op school met digitale lesmethoden werken, hoeven niet meer hun eigen naam in te vullen. Dat stond in het papieren AD afgelopen weekend. De ministerraad heeft namelijk ingestemd met een wetsvoorstel van die strekking, hoewel exacte details nog ontbreken. Kort gezegd komt het erop neer dat bij gebruik van clouddiensten door scholen moet worden gewerkt met pseudoniemen of codes, zodat bij datalekken niet gelijk alle details van de leerlingen op straat liggen. Het idee is loffelijk maar moet dat nu echt zo met een wet?

De tekst van het wetsvoorstel wordt helaas pas openbaar nadat de Raad van State er advies over heeft gegeven, dus het is nog even speculeren. Ik hoop op een voorstel dat gewoon zegt, scholen mogen alleen pseudonimeen van leerlingen aan leveranciers doorgeven. In combinatie met een verbod voor leveranciers om meer dan dat te vragen. Het is immers echt nergens voor nodig om werkelijke persoonsgegevens van leerlingen te hebben om een dienst aan een school te leveren.

Ik ben een beetje bang dat er komt te staan dat de leverancier ontvangen persoonsgegevens moet pseudonimiseren. (Of, nog erger, dat dit in overleg moet worden vastgesteld.) Want dan schiet je er weinig mee op, dan is die brondata er nog steeds en dus blijft de kwetsbaarheid bestaan.

En ja ik weet het, de Privacyverordening roept op tot pseudonimiseren en staat toe dat dit gebeurt door de partij die vervolgens gaat werken met de gepseudonimiseerde gegevens. Het is niet verplicht dat je de sleutel en de pseudonieme data in aparte bedrijven bewaart. Dus het zou legaal zijn als een dienstverlener zo gaat werken, en het wetsvoorstel zou dan weinig toevoegen behalve dan dat dit móet in plaats van slechts een beste praktijk te zijn. (Sorry, de tekst van de Verordening is wat raar.)

Je kunt je natuurlijk sowieso afvragen wat dit wetsvoorstel gaat toevoegen bovenop die Verordening. Want ook daar staat al in dat je persoonsgegevens zo veel mogelijk moet beperken, dat je bij voorkeur pseudonimiseert dus en natuurlijk dat je adequaat beveiligt en daar afspraken over maakt met je verwerkers (voorheen je bewerkers), zoals die clouddienstverleners dus. Hooguit zou dat dan nog zijn dat het black letter law wordt in plaats van ahem een beste praktijk, of een richtsnoer van de toezichthouder waar een leverancier van kan zeggen dat zij toch alternatieve feitenandere inzichten hebben over hoe het zo veilig mogelijk te doen.

Arnoud

Van wie is een foto gemaakt door een werknemer?

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 11 reacties

Een lezer vroeg me:

Als een van onze medewerkers opnames (film of foto) maakt met een mobiele telefoon van de zaak, wie is dan de eigenaar van deze opnames, het bedrijf of de medewerker?

Dat hangt af van of de opnames gerelateerd zijn aan zijn werk. Als dat zo is, dan komen de auteursrechten op die opnames toe aan het bedrijf, anders zijn ze van de werknemer privé. Het doet er niet toe of de apparatuur privé-eigendom is en of de foto gemaakt werd onder werktijd of op kantoor.

Een simpel voorbeeld is een cameraman bij een productiehuis: dan komen alle rechten uiteraard toe aan de werkgever. Maar het hoeft niet de kern van zijn werk te zijn. Ook bij een bouwvakker die een foto maakt van het werk voor het dossier dat zijn baas van elke klus bijhoudt, komen de rechten toe aan de werkgever. Die foto is ook gewoon deel van het werk.

Wie om half zes even een foto maakt van zijn kantoortuin om het thuisfront te laten zien hoe druk het is, heeft zelf de (auteurs-)rechten op die foto. Ook al is het op het werk gemaakt, onder werktijd en zelfs met de telefoon van de zaak. Die foto heeft niets met het werk te maken. (Mogelijk overtreed je een huisregel dat er niet gefotografeerd mag worden op de werkvloer, maar dat is een arbeidsrechtelijk ding dat los staat van auteursrechten.)

Twijfelgevallen zijn er natuurlijk genoeg. Een werknemer die bij het afscheid van een collega gevraagd wordt even een foto te maken van de toespraak. Het vastleggen van een aanrijding met de bedrijfsbus. Tijdens de lunchpauze een foto maken voor een spontane Linkedin-update. Of ’s avonds langs kantoor lopen en een mooie sfeerfoto delen in de bedrijfs-appgroep. Daar zul je dan in redelijkheid samen uit moeten komen.

Een arbeidscontract (niet het personeelsreglement) kan de grenzen anders leggen. Werkgever en werknemer kunnen afspraken maken over auteursrecht. Die afspraken moeten wel redelijk zijn, de werkgever mag bijvoorbeeld niet alle auteursrechten opeisen op alles dat de werknemer maakt totdat het contract eindigt. Dan zouden ook de vakantiefoto’s van de werkgever zijn, en dat is niet redelijk.

Arnoud

Wat moet ik doen met mail naar een gekocht domein?

Geplaatst op in Intellectuele rechten, Privacy, 7 reacties

Een lezer vroeg me:

nlangs heb ik een domeinnaam overgenomen van een bedrijf. Kennelijk heeft de verkopende partij de domeinnaam overgedragen terwijl deze nog actief gebruikt werd voor e-mailaccounts. Op basis van een catch all komt er allerlei mail binnen. Moet ik deze doorsturen, bewaren of terugzenden (bouncen)? Wat zijn mijn wettelijke plichten in deze?

Het verstandigste (maar dat is nu wat laat) is om in het domeinverkoopcontract een afspraak te maken over mail en dergelijke. Je kunt bijvoorbeeld vastleggen dat berichten nog een maand worden doorgestuurd, of juist dat ze moeten worden teruggestuurd met een expliciete foutmelding.

De wet zegt niets over wat je moet doen hier. De enige redding die we hebben, is de heel algemene regel van redelijkheid en billijkheid: een overeenkomst wordt aangevuld door wat uit die redelijkheid vloeit (plus wat de gewoonte is in de branche).

Een gewoonterecht bestaat hier niet volgens mij, iedereen doet maar wat. Maar wat is redelijk?

Mijn eerste gedachte is: terugsturen al die mails (bouncen), zodat de afzenders merken dat dit adres niet meer werkt. Dat is relatief eenvoudig in te stellen in de mailserver, en voorkomt dat je gedoe krijgt over dat je mail zou lezen of dat een door jou doorgestuurde mail niet aankomt waarna jij daarop aangekeken wordt. Want dat risico krijg je, als jij onverplicht iets doorstuurt dan neem je er een stukje verantwoordelijkheid voor.

Wat zouden jullie doen?

Arnoud

Google moet wél buitenlandse e-mails overdragen aan de FBI

Geplaatst op in Intellectuele rechten, Privacy, 19 reacties

Een Amerikaanse rechter heeft bepaald dat Google ook e-mails die op servers buiten de VS zijn opgeslagen moet overdragen aan de FBI in een zaak over binnenlandse fraude. Dat meldde Nu.nl onlangs. Deze beslissing staat lijnrecht tegenover de hogerberoepszaak van Microsoft dat géén berichten opgeslagen in het buitenland hoefde af te geven aan de Amerikaanse justitie. Daarmee is vooral de kans levensgroot geworden dat dit naar de Supreme Court gaat, dat zo een definitieve uitspraak moet gaan doen over of Amerikaanse cloudbedrijven nog zaken mogen doen met Europese klanten.

De zaak begon relatief simpel: de FBI had twee warrants bij Google neergelegd om e-mails te vorderen van verdachten in twee strafzaken. De verdachten woonden in de VS, de strafzaken waren in de VS begaan en de andere partijen bij de mails waren ook allemaal Amerikaans. Om technische redenen bleek Google een deel van de maildata toch buiten de VS te hebben opgeslagen, en met een beroep op het Microsoft-precedent van vorig jaar weigerden ze daar dan ook inzage in te geven.

De rechter die de warrant had afgegeven, bepaalt nu dat ook die buitenlandse data gewoon afgegeven moet worden. Het Microsoft-precedent lag anders. Daar was de data in beheer bij een Ierse dochter. Als je daar als Europees burger zaken mee doet, dan sta je wel héél raar te kijken als de FBI je data meeneemt. Dat raakt dan aan je privacyverwachting, en de regels over warrants zijn uiteindelijk geschreven om de privacy van de burger te beschermen.

Hier lag dat anders: als je als Amerikaan met een Amerikaan mailt via de Amerikaanse dienst Gmail, dan wéét je dat de FBI jurisdictie heeft en zo nodig je mails kan opvorderen met een warrant. Dat er dan toevallig op de achtergrond af en toe een blokje van je data in het buitenland staat, maakt dan niet meer uit. Voor hetzelfde geld was die morgen weer terug in de VS en dan hadden we deze hele discussie niet gehad. Dus niks privacyverwachting.

Op zich een begrijpelijke uitkomst, maar het creëert wel weer een hoop onzekerheid over waar we nu staan met de Europese cloud. Want zou het ook zo uitpakken als een van de partijen Europees was? Dat is alweer een stapje verder richting het mogen opvragen van ieders data.

In ieder geval, we hebben nu twee tegengestelde uitspraken over data in het buitenland. En de kans is daarmee levensgroot dat de zaak naar de Supreme Court gaat voor een definitieve beslissing. Of dat goed nieuws is, kun je je afvragen: de Supreme Court is niet perse positief over privacy van buitenlanders. Daar staat tegenover dat zolang er 8 rechters in zitten (in plaats van de gebruikelijke 9) de kans op een ‘hung court’ groot is, en dan blijft het precedent van Microsoft in stand. Dát zou erg waardevol nieuws zijn, want alleen met zo’n uitspraak kan de cloud in stand blijven.

Arnoud

Google moet berichten over afgesloten strafzaken vergeten

Geplaatst op in Privacy, Uitingsvrijheid, 25 reacties

Google moet een belastend zoekresultaat over een ontuchtpleger uit Doetinchem uit de zoekmachine verwijderen, las ik in Tubantia. Gauw het vonnis erbij gepakt: Google moet inderdaad uit haar zoekresultaten (bij Googelen op ’s mans naam) een Facebookpagina weglaten omdat deze vertelt over de strafrechtszaak, met naam en toenaam (en foto) van de man. Omdat het hier gaat om strafrechtelijke gegevens, is het niet toegestaan deze te verwerken.

De uitspraak is een van de weinige in Nederland waarin Google zoekresultaten moet opschonen. Meestal wint de zoekmachine, en dat is vrij logisch: de lat uit het Europese vergeetrechtarrest is vrij hoog. Het moet gaan om verouderde informatie die niet meer relevant is en ook nog eens beschamend. Wanneer het gaat om zaken met enige nieuws- of actualiteitswaarde, wordt daar eigenlijk nooit aan voldaan.

Nu hebben we in vrij korte tijd twee zaken gehad (hier de andere) waarin strafrechtelijke informatie centraal staat, en de rechter vrij simpel is: weg ermee. En zuiver juridisch gezien lijkt dat te kloppen. Strafrechtelijke persoonsgegevens vallen onder dezelfde categorie als bijvoorbeeld medische gegevens, en mogen dus niet zonder toestemming of een paar hier niet relevante uitzonderingen worden ‘verwerkt’ – een begrip waar Google ook onder valt.

Mogen journalisten dan ook niet over strafzaken schrijven, zou je denken. Ja, die mogen dat wel: de privacywet kent een uitzondering op dat verbod wanneer de verwerking voor uitsluitend journalistieke of literaire doeleinden plaatsvindt (art. 3 Wbp). Eerder dit jaar mocht strafrechtelijke berichtgeving gewoon blijven staan om die reden.

Alleen: Google handelt niet journalistiek, zo bepaalde het Hof van Justitie in dat vergeetrechtarrest. Veel motivatie kon ik er niet voor vinden, anders dan “het is niet hetzelfde” en “de resultaten in een zoekmachine hebben meer impact en verspreiding dan een artikel van een webredacteur”. Maar het is het geldend recht, en dus geldt voor Google een totaalverbod tot tonen van strafrechtelijke feiten over personen.

Onder de Privacyverordening die volgend jaar in werking treedt (komt ie weer met dat boek), wordt dit niet anders. Ook daar zijn strafrechtelijke persoonsgegevens beschermd, zelfs nog strenger dan de medische en andere bijzondere persoonsgegevens. Weliswaar geldt ook daar een uitzondering voor “academische, artistieke of literaire uitdrukkingsvormen”, maar daar zal Google nog steeds geen beroep op kunnen doen.

Ik moet zeggen dat ik hier toch wel een beetje moeite mee heb. Ik snap ergens het argument wel van “je straf uitgediend hebben en weer een schone lei krijgen”, maar als er geen énkele ruimte is voor een belangenafweging met de vrijheid van meningsuiting, dan gaat me dat echt te ver. Het kan toch niet de bedoeling zijn dat strafrechtjournalistiek een categorische ban in Google moet krijgen?

Arnoud

Wanneer mag ik mijn klantsite op zwart zetten?

Geplaatst op in Informatiemaatschappij, 1 reacties

Een lezer vroeg me:

Onlangs had ik als webhoster een klant die niet betaalde. Ik heb toen conform mijn algemene voorwaarden de site meteen offline gezet, en nu dreigt hij met een rechtszaak wegens omzetverlies en reputatieschade. Oké, “Deze site is offline wegens wanbetaling” was niet handig om erbij te zetten, maar ik mag toch gewoon mijn klanten offline halen als ze niet betalen?

Nou, niet helemaal. Natuurlijk is het uiteindelijk toegestaan om je dienstverlening te staken wanneer de klant niet betaalt. De wet maakt het alleen geen automatisme dat je dat direct na het missen van je betalingstermijn kunt doen.

De wet kent twee mechanismes: opschorting en opzegging. Opzeggen spreekt voor zich; dan is het contract bij deze beëindigd en dus de hele dienstverlening ook. Opschorting is iets subtieler: dan blijft het contract van kracht maar je maakt even pas op de plaats met je levering. Zodra de tekortkoming is hersteld, moet je alsnog weer snel gaan leveren.

Een belangrijk verschil tussen deze twee is dat opschorting sneller mag. Zodra de klant tekortschiet mag je opschorten. (art. 6:262 BW). Hiervoor hoeft de klant niet in verzuim te zijn, wat wel moet bij het willen opzeggen van het contract. (Verzuim wil kortweg zeggen dat de klant in gebreke is gesteld en nog steeds niet betaalde.) Kort gezegd mag de dienst dus op zwart zodra blijkt dat er niet is betaald, maar hij moet meteen weer aan na ontvangst van de betaling. De klant eruit trappen mag alleen na ingebrekestelling.

Maar opschorten mag je alleen doen na een belangenafweging: is het redelijk en passend dat je de hele site offline haalt nu er niet is betaald? Daar zou ik terughoudend bij zijn. Bij slechts een klein gemist bedrag (bv. de btw vergeten te betalen, of een domeinnaam niet betalen maar wel de hostingkosten) zie ik geen ruimte voor opschorting. Bij een legitiem dispuut over de factuur kun je natuurlijk ook niet opschorten.

Wordt een volledige factuur gemist terwijl er verder niets geks is, dan zou je kunnen opschorten. Maar ik zou dan wel altijd eerst kijken hoe de betalingsgeschiedenis van deze klant was. Een jarenlange trouwe betaler straf je zo wel héél hard. Daarom adviseer ik altijd een getrapte aanpak: eerst een waarschuwing en misschien het controlepaneel op slot, daarna de database read-only, en zo steeds een stapje vervelender voor de klant.

(Ook moet de klant wel weten dat er opgeschort gaat worden en om welke reden. Daarbij wordt in principe aangenomen dat klanten dat weten bij betalingsproblemen, je beslist immers zelf of je betaalt of niet. Ik vind dat wat eng en adviseer dus toch altijd even een mailtje te sturen “betaling niet ontvangen, site gaat op zwart tot het binnen is”.)

Oh en inderdaad niet handig, dat “offline wegens wanbetaling”. Dan liever “administratieve redenen” of nog liever “deze site is tijdelijk offline”. Je wilt niet dat de discussie over betaling vertroebeld wordt door geroep over smaad of iets dergelijks.

Arnoud

Is bij mailafspraken stilzwijgen als toestemmen rechtsgeldig?

Geplaatst op in Privacy, 14 reacties

Een lezer vroeg me:

Ik mailde voor een behandeling bij een fysiotherapeut. Deze stuurde me een datumvoorstel (in reactie op de drie data die ik had voorgesteld) en sloot af met “Zonder tegenbericht zie ik je dan.” Helaas zag ik die mail pas een dag van tevoren en moest ik afzeggen, maar daarop reageerde hij met een factuur want dat werkt kennelijk zo bij hem als je binnen 24 uur voor de afspraak annuleert. Kan dat zomaar?

Allereerst even een misverstand: het is niet toegestaan om afspraken te annuleren, tenzij de wederpartij daarmee instemt. Afspraak is afspraak, ook voor de consument die bij een bedrijf of zzp’er een dienst wil afnemen. (En ook niet als je via internet de afspraak maakt, als daarbij een specifieke datum of tijd geboekt wordt, of meer algemeen als je.) Vrijwel iedere dienstverlener heeft een annuleringsregeling, en daar zul je dan onder vallen.

Annuleren vereist alleen wel dat er een overeenkomst is, en dat kun je je afvragen bij bovenstaande mailwisseling. Op zich kun je prima zo’n behandelovereenkomst sluiten via internet. Beide partijen moeten instemmen met een aanbod. De vorm daarvan, of wie als laatste instemt, doet er niet toe.

Dat lijkt hier goed te gaan, alleen past de psycholoog hier de truc toe van “stilzwijgen is toestemming”. Dat is riskant, zeker bij mail. De mail komt wellicht niet aan, het stilzwijgen ligt ergens anders aan, en ga zo maar door. Je staat dus flink op achterstand als je op deze manier werkt.

Hier heeft de vraagsteller het wel een tikje laten liggen door pas zo laat te reageren, en dan ook nog eens alleen door af te zeggen. Daarmee staat hij niet sterk; het suggereert dat hij instemde door zijn stilzwijgen en pas op de laatste dag er vanaf wilde. Als hij die dag had gemaild “Sorry, ik heb geen mail gehad dus ik ga er vanuit dat het nu datum 2 zal worden” dan had de fysio een heel moeilijk verhaal gehad.

Arnoud

Moet je echt bij elke internetdienst een bewerkersovereenkomst sluiten?

Geplaatst op in Privacy, 12 reacties

Een lezer vroeg me:

Wij maken zakelijk gebruik van applicaties en software in de cloud. Mijn vraag is nu echter of je echt met iedere cloud leverancier een bewerkersovereenkomst moet afsluiten? Iedere applicatie verwerkt namelijk op de een of andere manier wel persoonsgegevens, de ene meer dan de ander. In sommige gevallen gaat het enkel om het e-mail adres en inlog gegevens. En soms wéét je het niet, zoals bij chatdiensten (Yammer of Slack). Daar kunnen mensen best persoonsgegevens intypen. Wat zegt de wet?

Dit is inderdaad een lastige kwestie. Heel formeel moet dit inderdaad altijd, bij iedere derde die in jouw opdracht persoonsgegevens opslaat van jouw personeel of klanten. De wet eist namelijk dat je bij elke bewerker een bewerkersovereenkomst sluit waarin je apart regelt welke eisen omtrent persoonsgegevens hij moet nakomen (en hoe jij dat gaat borgen en auditten).

Een bewerker is iedereen die in jouw opdracht persoonsgegevens verwerkt en niet zelfstandig bepaalt voor welke doelen (of met welke middelen). De meeste clouddiensten laten aan de klant over wat er gebeurt met klantdata en kiezen dus niet zelf de doelen. Over de middelen-keuze kun je twisten, maar uiteindelijk is dat denk ik ook een klantkeuze: die klikt op knop A of activeert feature B, de dienstverlener is daar passief.

Het is een discussie of dat ook geldt als de derde niet wéét dat je persoonsgegevens gaat aanleveren. Extreem voorbeeld is Pastebin: daar kun je teksten plakken die dan gepubliceerd worden. Ik kan daar persoonsgegevens plakken, maakt dat Pastebin een bewerker?

Als er echter gestructureerde velden zijn voor persoonsgegevens (al is het maar jouw gebruikersnaam etc) dan voldoet deze partij aan de definitie van bewerker en moet er dus een bewerkrsovereenkomst komen. Doe je dat niet, dan ben jij in overtreding van de Wbp – zij het dat daar géén boete op staat. Het voornaamste risico is dat jij de claims krijgt als de bewerker data lekt of iets anders verkeerd doet, en dat je dan geen verhaalsmogelijkheid hebt.

Veel van dit soort partijen zijn Amerikaans en kennen het concept bewerkersovereenkomst (“Personal data processing agreement”) eigenlijk niet. Sommigen willen graag Europese business en tekenen met liefde, anderen vinden het maar onzin en reageren niet eens op de vraag. Het is dan dus een risico-afweging voor jou.

Onder de aankomende Privacyverordening (ADV: koop dat boek) zal dit mogelijk veranderen. De Verordening zegt namelijk dat ook de bewerker aansprakelijk is voor boetes en schade als er geen bewerkersovereenkomst – pardon, verwerkersovereenkomst – is tussen hem en de verantwoordelijke. In hoeverre dat afdwingbaar is tegen Amerikaanse partijen is natuurlijk een heel andere vraag.

Arnoud

Natuurlijk komen er boetes op datalekken aan

Geplaatst op in Privacy, 5 reacties

Een lezer vroeg me:

Sinds 1 januari vorig jaar hebben we een Wet meldplicht datalekken, maar we zijn nu dus een jaar verder en ik heb nog geen boete gezien. Gaat het met deze wet net als met de cookiewet, veel gebrul maar weinig wol?

Dat verwacht ik niet, hoewel ik toegeef dat het allemaal wel wat sneller had gekund. Het lastige aan dit soort boetes is dat er altijd een heel onderzoekstraject aan vooraf gaat, en gezien de aard van de zaak kost dat altijd flink wat tijd.

We hébben eigenlijk al een datalekboete, zij het formeel onder een andere wet. Op 16 januari 2012 had een hacker ingebroken in een onderdeel van het netwerk van KPN. Daarbij kon toegang worden verkregen tot gegevens van abonnees zoals adres, woonplaats, telefoonnummer en bankrekeningnummer. Onderzoek liet zien dat de hackers (17 jaar oud) gebruik maakten van een bekend beveiligingslek. De software van de getroffen KPN-servers bleek niet tijdig van updates te zijn voorzien, een veel voorkomende fout van ICT-dienstverleners.

Na onderzoek besluit de ACM als telecomtoezichthouder in december 2013 een boete op te leggen aan KPN wegens schending van haar beveiligingsverplichtingen. Uit het onderzoeksrapport blijkt dat het geen geavanceerde hack betrof en dat de geconstateerde technische en organisatorische tekortkomingen van basaal niveau waren. Met andere woorden: een relatief eenvoudige zaak. Maar toch was er bijna twee jaar nodig om het onderzoek af te ronden. En daarna volgde nog een hele serie rechtszaken, met de laatste definitieve uitspraak pas in december 2016.

Het is ergens frustrerend dat het zo lang moet duren, maar ik vrees dat dat niet snel zal veranderen bij deze wet. De reden is volgens mij voornamelijk toch de technische complexiteit van de zaak, plus de wens het besluit zo zorgvuldig mogelijk te nemen zodat het bedrijf niet makkelijk in beroep bij de rechter kan gaan.

Ik zou eerlijk gezegd ook niet weten hoe dat anders zou kunnen. Onder de Privacyverordening wordt het misschien makkelijker: die bepaalt dat de verantwoordelijke de bewijslast draagt dat alles netjes wettelijk geregeld is (artikel 5 lid 2, lees maar na). Daarmee is een omgekeerde bewijslast dus te verdedigen. Oftewel, je had een lek, bewijs maar dat je er niets aan kon doen. Maar ook daar word je niet helemaal gelukkig van denk ik.

Arnoud

Mag je je dvd’s digitaliseren van de Auteurswet?

Geplaatst op in Intellectuele rechten, 44 reacties

Een lezer vroeg me:

Ik ben bezig mijn oude filmcollectie te digitaliseren naar een home media player. Dus ik converteer nu elke dvd naar een modern formaat, en daarna kunnen die weg. Maar ik zie veel dvd’s met kopieerbeveiliging. Klopt het dat ik die niet mag kraken, ook niet voor dit eigen doel? Het is toch legaal, je dvd’s converteren?

Ja, het is legaal je dvd’s te converteren maar nee, het is niet toegestaan daarbij een kopieerbeveiliging te kraken.

In de Auteurswet staat (art. 16b en 16c) dat je een kopie mag maken van elk werk dat je uit legale bron verwerft, behalve (kort gezegd) boeken en standbeelden. Het maakt niet uit of je het koopt of huurt, de enige eis is dat je het uit een legale bron hebt verkregen. Een aangeschafte (of zelfs geleende) dvd is een legale bron, dus valt een kopie daarvan onder de thuiskopieregeling.

Vaak is een dvd beveiligd tegen kopiëren. En hoewel dat niet moeilijk te omzeilen is, is dit toch een probleem. De Auteurswet (art. 29a lid 2) zegt eenvoudigweg:

Degene, die doeltreffende technische voorzieningen omzeilt en dat weet of redelijkerwijs behoort te weten, handelt onrechtmatig.

Deze tekst maakt geen voorbehoud voor omzeilen voor een legitiem doel, zoals het maken van een toegestane thuiskopie. Dit werd namelijk bij invoering van dit wetsartikel geen probleem gevonden. En voor het geval er toch een probleem zou komen, is een optie toegevoegd:

Bij algemene maatregel van bestuur kunnen regelen worden vastgesteld die de maker of zijn rechtverkrijgenden er toe verplichten aan de gebruiker van een werk van letterkunde, wetenschap of kunst voor doeleinden als omschreven in de artikelen 15i , 16 , 16b , 16c , 16h , 16n , 17b en 22 van deze wet de nodige middelen te verschaffen om van deze beperkingen te profiteren, mits de gebruiker rechtmatig toegang tot het door de technische voorziening beschermde werk heeft. Het bepaalde in de voorgaande zin geldt niet ten aanzien van werken die onder contractuele voorwaarden aan gebruikers beschikbaar worden gesteld op een door hen individueel gekozen plaats en tijd.

Hiermee kan de minister dus snel (zonder een nieuwe wet aan te hoeven laten nemen) een uitzondering maken op artikel 29a voor legale kopieën onder artikel 16b of 16c. Maar totdat dat gebeurt, is het recht van thuiskopiëren van een dvd dus zuiver theoretisch. Zij het dat de kans nul is dat je wordt betrapt.

Dan nog de vraag wat ‘doeltreffend’ dan inhoudt. Want een beveiliging die zo makkelijk te kraken is, is die dan nog wel doeltreffend? Ja, blogde ik in 2013, hoewel er nog steeds maar weinig duidelijkheid is over de criteria die moeten worden toegepast.

In 2007 heeft een Finse rechter gezegd dat CSS niet doeltreffend (meer) was omdat die crack van Jon Johansen (DeCSS) zo wijdverbreid was dat iedereen ‘m kon vinden. Dat vind ik wel een aardige: het uitbrengen van een crack is dan onrechtmatig, maar als deze wijd beschikbaar is dan niet meer. Te laat.

Maar helaas: in hoger beroep werd dat teruggedraaid, met het argument dat het niet de bedoeling van de wet was dat een tool als DeCSS legaal zou zijn, dus is deze dat niet. Eh. Juist. Bovendien was er speciale software nodig, en dat bewijst dat de beveiliging normaal juist wel doeltreffend is. Alleen dat wat een gemiddelde consument “out of the box” en zonder hulpmiddelen zou kunnen omzeilen, is dan niet doeltreffend. En ik vermoed dat dit de bedoeling was van de wet. Dus ook hiermee ga je er niet komen.

Arnoud