Ben ik nog aansprakelijk als ik het IE op mijn software overdraag?

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 8 reacties

software-disc-cd-dvd-dragerEen lezer vroeg me:

Voor een klant heb ik maatwerksoftware ontwikkeld. Zij willen nu het intellectueel eigendom daarop verkrijgen. Op zich prima, alleen wil ik dan geen aansprakelijkheid meer voor fouten. Ik heb er dan immers geen controle meer over. Daar reageerden ze heel verbaasd op. Maar dit is toch geen gekke vraag?

Nee, een gekke vraag is dit niet. Maar ik kan me de verbazing ook wel weer een beetje voorstellen.

Aansprakelijkheid en intellectueel eigendom staan in principe los van elkaar. Aansprakelijk ben je als je een fout maakt in de opdracht, en dat heeft niets te maken met wie eigenaar wordt van de auteursrechten op het resultaat.

De verwarring hier gaat volgens mij over fouten die de opdrachtgever aanbrengt nadat de software klaar is. Wie het auteursrecht verwerft, mag ook zelf gaan knutselen in het geleverde. Maar het is natuurlijk evident dat je de leverancier niet aansprakelijk kunt houden voor je eigen fouten. Dit heeft niets te maken met eigendom op het werk. Als ik een huis laat bouwen, is de aannemer aansprakelijk voor fouten terwijl ik er eigenaar van ben. Hetzelfde gebeurt bij auteursrechten.

Het lijkt me wel verstandig dit even uit te werken in het contract, om bewijsproblematiek te verkleinen. Je zegt dan bijvoorbeeld dat iets alleen een fout is als het ook zit in de code zoals overgedragen. Je hebt dan een manier nodig om vast te leggen exact welke code dat is. Denk aan een hash, een lijst bestandsnamen met datum en grootte of het nummer van een github-repository.

Arnoud

Bibliotheken mogen e-books net als papieren boeken uitlenen

Geplaatst op in Intellectuele rechten, 20 reacties

scanbook.png Openbare bibliotheken mogen e-books uitlenen aan leden, net zoals zij dat doen met papieren boeken. Dat las ik bij Nu.nl. Het Hof van Justitie oordeelde (zaak C-174/15) gisteren dat het uitleenrecht voor bibliotheken techniekneutraal is geformuleerd: niet alleen papieren boeken mogen worden uitgeleend, ook digitale. Wel moet de bieb dan analoog uitlenen simuleren.

De Nederlandse Vereniging Openbare Bibliotheken wilde in een rechtszaak duidelijkheid krijgen over het uitleenrecht rond e-books. Boeken uitlenen is natuurlijk het bestaansrecht van een bibliotheek, en het kunnen uitlenen van ebooks ligt dan ook keurig in die lijn. Alleen uitgevers zien dat anders: “Wie betaalt er nog voor een e-book als deze straks (vrijwel) gratis via de bibliotheek verkrijgbaar zijn?” Ja precies, want de markt voor papieren boeken is ook compleet ingestort sinds de bibliotheek uitgevonden werd.

Het georganiseerd uitlenen van boeken is formeel een inbreuk op auteursrecht. Daar staat dan wel weer meteen een uitzondering over in de wet, een voor het publiek toegankelijke instelling mag dit doen onder afdracht van een leenrechtvergoeding. En het cruciale punt daarbij was dat de betreffende Europese regels niet duidelijk waren over of dat nu alleen ging over fysieke exemplaren, of ook over digitale.

Het Hof van Justitie bijt de tanden stevig in de taalanalyse en komt tot de conclusie dat het uitleenrecht voor allebei moet gelden. Mede omdat er destijds wel moeite is gedaan om elektronisch uitlenen van films wél en van boeken niet te verbieden in de wet. En uiteindelijk gewoon omdat bibliotheken van belang zijn:

Gezien het belang van de openbare uitlening van digitale boeken en om zowel de nuttige werking van de in artikel 6, lid 1, van richtlijn 2006/115 vervatte afwijking ten behoeve van openbare uitlening (hierna: „uitzondering voor openbare uitlening”) als de bijdrage van deze uitzondering aan de bevordering van culturele activiteiten te beschermen, kan dus niet worden uitgesloten dat artikel 6, lid 1, van richtlijn 2006/115 ook van toepassing is in gevallen waarin de door een voor het publiek toegankelijke bibliotheek verrichte handeling, met name met het oog op de in artikel 2, lid 1, onder b), van die richtlijn vervatte voorwaarden, kenmerken vertoont die in wezen vergelijkbaar zijn met die van de uitlening van gedrukte werken.

Wel moet het uitleenproces zo worden ingericht dat het zo dicht mogelijk aansluit bij analoog uitlenen. Dus: één ebook aankopen betekent één persoon tegelijk dit laten lenen. Twee keer tegelijk laten lenen? Dan twee ebooks (licenties) kopen. Oké, dat is een tikje geforceerd maar als dat de prijs is voor ebooks lenen, dan moet dat maar.

Arnoud

Ha. Administratiekosten niet noemen in je reclame is dus gewoon misleidend

Geplaatst op in Informatiemaatschappij, 19 reacties

discount-korting-afgeprijsd-actie-aktie.pngKijk, daar word ik vrolijk van. Het splitsen van abonnementskosten in maandelijks en halfjaarlijks te betalen componenten, moet als misleidend worden beschouwd. Dat meldde Boek9.nl onder verwijzing naar het Canal Digital-arrest van het Hof van Justitie. De prijs van een abonnementsdienst is essentieel en moet volledig worden vermeld. Dat je elk half jaar een kaart moet kopen, moet dus net zo duidelijk in beeld komen als de maandprijs.

Het is me al lang een doorn in het oog dat bedrijven wegkomen met dat soort grappen. Mensen lokken met lage prijzen, en dan achteraf er allerlei administratiekosten, verpakkingskosten of wat dies meer zij. Oh ja, kaartkosten dus, wat je bij Canal+ moet betalen voor de smartcard om de betaaltelevisiedienst af te nemen.

En natuurlijk staan zulke kosten op zijn best in de kleine lettertjes onderaan de advertentie, maar meestal kom je er pas achter als de factuur binnen is en ze via automatische incasso afgeschreven zijn. Maar daar steekt het Hof nu een stokje voor:

[De regels over oneerlijke handelspraktijken moeten aldus] worden uitgelegd dat een handelspraktijk waarbij de prijs van een product in meerdere componenten wordt opgesplitst en één daarvan op de voorgrond wordt geplaatst, als misleidend moet worden beschouwd, aangezien die praktijk bij de gemiddelde consument de onjuiste indruk kan wekken dat hem een voordelige prijs wordt aangeboden en hem er voorts toe kan brengen een besluit over een transactie te nemen dat hij anders niet had genomen.

Daar is geen woord Spaans aan, en het geldt dus niet alleen voor kaartkosten. Alle vormen van opsplitsen van een prijs zijn misleidend, tenzij je alle componenten even prominent in je advertentie opneemt. “€7 per maand en €1 per film” is dus legaal voor een online filmdienst, maar wie met sterretjes gaat werken of verwijst naar de website voor alle voorwaarden, die gaat nat. Als consument heb je met deze truc de mogelijkheid om van je abonnement af te komen, want een overeenkomst die wordt gesloten door een misleidende handelspraktijk is vernietigbaar.

Ik ben wat cynischer de laatste tijd geloof ik: zien jullie bedrijven vanaf morgen snel hun aanbod gaan aanpassen?

Arnoud

Kunstmatige intelligentie kan uitspraken Europees Hof Mensenrechten voorspellen

Geplaatst op in Innovatie, 15 reacties

robot-wetNou nou, poe poe. Een AI systeem ontwikkeld aan de University College London, the University of Sheffield, and the University of Pennsylvania kan uitspraken van het hoogste Europese mensenrechtenhof voorspellen, las ik bij Ars Technica. Men had het systeem 584 uitspraken gevoerd en op basis daarvan wist het in 79% van de gevallen correct de uitkomst van het arrest (schending mensenrechten of niet) aan te geven. Een knappe prestatie, met voor mij het opmerkelijk inzicht dat het EHRM haar uitspraken kennelijk vooral laat afhangen van de niet-juridische feiten en veel minder van de juridische argumenten. Maar voegt het veel toe?

Legal tech heeft nu ook de Legal AI ontdekt: waarom een dure mens nog juridische dingen laten uitspitten als een computer dit beter en sneller kan. Vandaar Ross, de AI robot gebaseerd op IBM’s Watson technologie. En er zijn er meer, herinnert u zich mijn rant nog over die parkeerbonwizard pardon chatbot pardon AI Virtual Lawyer met chatinterface.

De software van deze universiteiten voelt ergens in dezelfde cagegorie. Ja, het analyseren van grote bakken tekst (want dat zijn vonnissen, uiteindelijk) om daar patronen in te herkennen, daar zie ik wel wat in. Alleen, wat is het nut? Die software kan bij lange na niet zelf een uitspraak doen, en ik weet niet of ik er vrolijk van word als de EHRM-rechters eerst eens kijken wat de AI zegt dat de uitspraak wordt.

Het is natuurlijk een knappe prestatie. Arresten van het EHRM zijn altijd grote lappen tekst met veel haken en ogen, dus wie daar doorheen weet te komen én een verrassende conclusie kan trekken, die heeft echt wel iets bereikt.

Dus mis ik iets? Wat is de waarde van deze innovatie?

Arnoud

Is e-mail nou wel of niet veilig genoeg voor communicatie van basale persoonsgegevens?

Geplaatst op in Privacy, Security, 38 reacties

email-e-mail-elektronische-post-envelopEen lezer vroeg me:

Ik heb een discussie met het waterbedrijf. Zij mailen mij met allerlei informatie, maar nemen elke keer ook naam, adres, klantnummer en dergelijke van mij op. Laatst stuurden ze zelfs mijn bankrekeningnummer in een mail. Op mijn vraag hoe dat zit met bescherming van persoonsgegevens, zei men dat e-mail buiten haar macht lag. Kan dat zomaar?

In het recht kan er veel, maar zelden zomaar. En ik moet zeggen dat ik deze lastiger vind dan hij op het eerste gezicht lijkt.

Een bedrijf is verplicht persoonsgegevens adequaat te beveiligen tegen misbruik en ongeautoriseerde toegang. Wat adequaat is, staat niet in de wet. Je moet dus zelf een afweging maken: welke risico’s zijn er, welke opties zijn er om daartegen te beveiligen en wegen de kosten en moeite daarvan op tegen die risico’s.

E-mail is nou niet bepaald een veilig medium. Berichten gaan onversleuteld over de lijn, en kunnen eenvoudig worden gelezen door allerlei partijen tijdens het transport. Of, wat veel vaker gebeurt: ze gaan naar de verkeerde persoon. Dus e-mail zou snel afvallen in de categorie “hoe transporteren we veilig deze persoonsgegevens naar de klant”.

Daar staat tegenover dat we het hier niet hebben over medische dossiers of gevoelige persoonlijke details. Een naam en adres plus klantnummer kan ik op geen enkele manier een gevoelig gegeven vinden. Ik zie dan ook weinig bezwaar tegen die gegevens per mail sturen bij zaken als de meterstanden opnemen of een zakelijk berichtje naar die klant. (Natuurlijk wel met de vraag, móet dat in die mail, ik weet al waar ik woon immers.)

Wat vinden jullie? Is e-mail principieel onveilig, of moet dit kunnen voor basale persoonsgegevens?

Arnoud

Hoe moet Samsung die teruggeroepen Note 7’s vernietigen, qua persoonsgegevens?

Geplaatst op in Ondernemingsvrijheid, Privacy, 14 reacties

samsung-note-7-recallHet is nog altijd onduidelijk wat er gaat gebeuren met de persoonlijke data op de miljoenen Note 7-toestellen die door Samsung zijn teruggeroepen. Dat las ik (dank, Franc) bij Security.nl. De wasmachines, pardon telefoons worden teruggeroepen vanwege ontploffende accus. Vanwege dat ontploffingsgevaar werd geadviseerd het toestel meteen uit te zetten en terug te sturen, zodat de kans groot is dat die toestellen vol met privégegevens teruggezonden worden. Wat nu?

Het verhaal van de ontploffende accus blijft me verbazen. Maar goed, het schijnt te kunnen gebeuren, ook bij toestellen van een marktleider. Een terugroepactie lijkt me dan ook niet meer dan normaal. Dat doen ze bij de toevallig recent ook ontbrandende wasmachines ook. Een nette oplossing voor een vervelend probleem. En juridisch volkomen terecht: Samsung is productaansprakelijk voor de schade die het gevolg is van dergelijke ontploffingen.

Samsung heeft vanwege de aard van het gevaar de consument geadviseerd het toestel meteen uit te zetten en op te sturen. Logisch, maar daardoor staan die toestellen waarschijnlijk nog helemaal vol met privéfotos, chats en dergelijke, maar ook logingegevens en actieve sessies naar allerlei diensten.

In principe is het je eigen verantwoordelijkheid om die dingen te wissen voordat je een toestel instuurt voor een omruilactie, zo staat in het artikel. Maar ik vind dat twijfelachtig worden op het moment dat de fabrikant je daartoe aanspoort. En eigenlijk ook al wanneer het toestel het niet meer goed doet, dan kún je immers niet meer je gegevens wissen. Dus wat mij betreft is het te allen tijde de verantwoordelijkheid van de terugroeper om te zorgen dat de ontvangen toestellen persoonsgegeventechnisch veilig worden behandeld.

Samsung heeft nog niet bekend gemaakt wat ze gaan doen met de naar schatting 2.5 miljoen te retourneren toestellen. Ze allemaal in de shredder duwen kan natuurlijk en is privacytechnisch perfect, maar wát een verspilling van zeldzame metalen en wat dies meer zij zou dat opleveren.

Het andere uiterste is ze allemaal handmatig uit elkaar halen en de materialen recyclen onder wissing/vernietiging van SD kaartjes en interne geheugens. Dat zou ook goed moeten werken maar voelt erg kostbaar. Dat ze tweedehands alsnog op de markt komen lijkt me niet reëel gezien de aard van het probleem: die merknaam lijkt me té besmet. Maar wat dan?

Arnoud

Is scrapen van een website computervredebreuk?

Geplaatst op in Ondernemingsvrijheid, Regulering, 17 reacties

sale-afgeprijsd-uitverkoop.pngEen lezer vroeg me:

Is scrapen van een website computervredebreuk? Er wordt immers iets gedaan met het systeem waar geen toestemming voor is.

Bij scrapen wordt kort gezegd alle informatie van een website opgehaald met een geautomatiseerd proces. Vaak is dat bedoeld voor metazoekmachines zoals prijsvergelijkers, die overal de prijs vandaan halen om de beste match te kunnen tonen. Maar gescrapete informatie kan natuurlijk voor allerlei doelen worden gebruikt.

Over scrapen is juridisch veel te doen. Bronwebsites vinden het vaak niet leuk, en proberen er met gebruiksvoorwaarden, auteursrecht of databankrecht wat tegen te doen. In 2015 won Ryanair nog een zaak tegen een scrapende prijsvergelijker. Het Hof van Justitie bepaalde toen dat Ryanair in principe in haar voorwaarden scrapen mag verbieden. Een scraper mag dat dan niet doen (hoewel nog een open vraag is óf een scraper gebonden is aan die voorwaarden).

Die uitspraak is civiel recht, contractenrecht om precies te zijn. Als een scraper in strijd handelt met de voorwaarden, pleegt ze contractbreuk en moet ze de schade vergoeden. Maar dat is juridisch iets heel anders dan strafrecht, waarbij je boetes of celstraf krijgt.

Van het misdrijf computervredebreuk (art. 138ab Strafrecht) is sprake als je opzettelijk en wederrechtelijk binnendringt in een computersysteem. Het is niet vereist dat je een beveiliging kraakt; genoeg is dat je weet dat je niet mag zijn waar je bent.

Echter, bij scrapen kom je nergens waar je niet mag zijn. Je vraagt data op die openbaar en welbewust toegankelijk is gemaakt. Er worden geen URL’s geraden of speciale queries gedraaid die eigenlijk niet de bedoeling zijn. Het gebruik van die data is niet de bedoeling, maar dat gebeurt een stap later. Daarom zie ik dit niet als strafbaar feit.

Arnoud

‘Cookiewet is duur en beschermt onvoldoende’

Geplaatst op in Informatiemaatschappij, 31 reacties

cookie-bril.jpgDe cookiebepaling die bepaalt dat websites om toestemming moeten vragen voor het gebruik van zogenoemde ’tracking cookies’, is duur en zorgt voor een hoop ergernis. Dat las ik bij Nu.nl. De basis is een onderzoek van Actal, het Adviescollege toetsing regeldruk. Niet alleen zouden bedrijven 74 miljoen euro kwijt zijn voor cookietoestemmingspopups, ook zijn consumenten 27 miljoen euro aan verloren tijd kwijt om dat allemaal weer weg te klikken. Eh, ja.

Ik blog al sinds de invoering over de cookiewet, en ben er eigenlijk nooit positief over volgens mij. Nou ja, behalve als hij kan worden gebruikt om andere dingen dan cookies (zoals Windows 10-preloads) tegen te houden.

Het probleem is fundamenteel. Kijk, dat je zegt, er wordt te makkelijk over de mensen hun privacy heengelopen en dat je daar wat aan wilt doen: prima. Dat je niet meteen het hele onlinemarketinggebeuren wilt verbieden, dat snap ik dan ook. Maar er is toch wel íets slimmers te bedenken dan een lap tekst opgesteld door een goedbedoelende jurist in combinatie met een verplichte okéknop?

Die browserinstellingen die Actal noemt, dat zou een betere oplossing zijn geweest ja. Maar goed, dan moet wel elke browser die instellingen ondersteunen natuurlijk, en dat is nog steeds niet (2016!) het geval.

Ergens bekruipt me ook steeds het gevoel dat we met deze implementatie van de cookiewet zitten omdat de webbouwers die de wet lazen, dachten dit is zó stom, dat zal ik ze laten voelen ook. In plaats van het als technische uitdaging te zien van hoe je kunt tracken binnen de geest van de wet op een manier dat mensen er geen last van hebben. Maar goed, dat is cynische donderdagochtendpraat.

Gaan we dit nu veranderen? Nee, natuurlijk niet. Nederland kan hier niets aan veranderen, de cookiewet is Europees en kan dus alleen door Europa worden veranderd. En die gaan dat de komende jaren niet doen; we hebben net een nieuwe algemene Privacyverordening die iets belangrijker is. Ja, dat is storend en jammer maar ik zie het echt niet gebeuren. Maar wat dan wel, dat weet ik ook niet.

Arnoud

Mag een internet provider onveilige IoT-apparaten blokkeren?

Geplaatst op in Informatiemaatschappij, 32 reacties

fence-hek-bord-afscheiding-blokkade-concurrentie-beding-verbod.jpgEen Amerikaanse senator vroeg me… nee die is te flauw. De Amerikaanse senator Mark Warner wil van de toezichthouder FCC weten of internetproviders onveilige Internet of Things-apparaten op hun netwerk mogen weren. Dat las ik bij Security.nl. Aanleiding voor de vraag was de grote ddos-aanval op dns-provider Dyn waarbij gehackte IoT-apparaten waren betrokken (en waarschijnlijk de eerdere aanval op securityjournalist Brian Krebs). Amerikaanse regels voor internetproviders maken het alleen mogelijk om apparatuur van internet te weren als deze schadelijk (harmful) is, en Warner maakt het argument dat een triviaal hackbaar IoT-apparaat daaronder valt. Hoe zit dat bij ons?

Ik blijf me erover verbazen dat het niet verboden is om brakke apparatuur met internettoegang uit te brengen. Ja, specifiek als het apparaat persoonsgegevens lekt dan zou je heel misschien iets kunnen doen met de Wbp maar formeel legt ook die wet de verantwoordelijkheid bij de eigenaar van het apparaat. De leverancier van een datalekveroorzakend apparaat doet niets verkeerd onder de Wbp (en ook niet onder de nieuwe Europese privacywet). Wat mij betreft komt er zo snel mogelijk een wet op productsecurity.

Specifiek bij internetapparatuur is er misschien nog een optie, analoog aan die Amerikaanse senator z’n plan. In de Telecommunicatiewet staat namelijk (art. 11.3 Telecomwet:

[Internet]aanbieders treffen in het belang van de bescherming van persoonsgegevens en de bescherming van de persoonlijke levenssfeer van abonnees en gebruikers passende technische en organisatorische maatregelen ten behoeve van de veiligheid en beveiliging van de door hen aangeboden netwerken en diensten. De maatregelen garanderen, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau dat in verhouding staat tot het desbetreffende risico.

Dit gaat met name over persoonsgegevens beveiligen, maar de norm is breed genoeg om ook bescherming tegen malware hieronder te laten vallen. Al in 2009 bepaalde de OPTA (nu ACM) beleidsregels die hierover gaan. Dat ging nog met name over informatieplichten (een folder “Hoe voorkom ik dat ik een zombie word”) maar volgens mij kunnen op dit artikel ook best hardere maatregelen worden gebaseerd.

Dat botst alleen een beetje met netneutraliteit (art. 7.4a Telecomwet), want in die wet staat weer dat een provider niet zomaar mag afsluiten bij uitgaande malware en dergelijke bij zijn klanten. Hij moet ze informeren en een kans geven het zelf te herstellen. Alleen wanneer dit wegens de vereiste spoed niet voorafgaand mogelijk is, mag hij direct ingrijpen. Dit is bedoeld als uitzondering, maar misschien wordt het tijd dit maar eens als hoofdregel te gaan zien. Malware en zombies tegenhouden vereist dan per definitie spoed en je merkt het vanzelf als je dan in quarantaine wordt gezet omdat je webcam of NAS iemand aan het ddossen is.

Wat mij betreft de hoogste tijd, het is te bizar voor woorden dat je anno 2016 nog steeds zó veel rotzooi brakende IoT-devices op de markt hebt.

Arnoud

Skype krijgt boete in België om weigeren medewerking in politieonderzoek

Geplaatst op in Regulering, 17 reacties

skype-chat-meetingMicrosoft-dochter Skype heeft in België een boete van 30.000 euro gekregen, omdat de dienst geen informatie over gesprekken vrij kon geven in een politieonderzoek. Dat meldde Nu.nl vorige week. De Belgische autoriteiten wilden toegang tot Skype-gesprekken, maar volgens het bedrijf waren die technisch niet te verstrekken. Bovendien zou de Belgische justitie geen rechtsmacht hebben omdat Skype in Luxemburg gevestigd zit.

Wanneer in een land een strafbaar feit is begaan, kan de lokale Justitie (politie en het openbaar ministerie, of hoe dat ter plaatse heet) daar natuurlijk onderzoek naar doen. Ook als het strafbaar feit (mede) via internetdiensten wordt gepleegd.

Daar kunnen buitenlandse partijen bij betrokken zijn die informatie hebben die nodig is voor het onderzoek. De meest voor de hand liggende manier om daarmee om te gaan is een rechtshulpverzoek bij Justitie in dat buitenland. Zo kan onze politie een verzoek bij de Amerikaanse FBI indienen als een verdachte mailt via Gmail of Microsoft Outlook.com. Deze beoordeelt dan het verzoek en haalt de gegevens op, zodat wij weer verder kunnen.

De Belgische rechtbank gaat echter een stapje verder. Skype adverteert haar diensten in België, en wordt daarmee geacht in België te opereren. Een niet onbekend argument, hoewel het hier natuurlijk gaat om strafrecht en niet om burgerlijk recht. Maar ik vind er wel wat voor te zeggen: als je de lusten wilt van zaken in een land, dan ook de strafrechtelijke lasten.

Het blijft een lastige. In de Eerste Wereldoorlog hadden we de zaak van het Azewijnse paard, dat vanuit Duitsland met een touw Nederland uit getrokken werd. Was dat nu een exporthandeling in Nederland (in strijd met de wet op dat moment)? Ja, want door het touw verbond men zich met het in Nederland bevindende paard en dus werd de strafbare handeling in Nederland gepleegd.

Als je dat als analogie loslaat op internet, dan is best verdedigbaar dat een communicatielijn naar een Belgische klant ertoe leidt dat je onder Belgisch recht valt. Zeker als je welbewust mikt op dat land. Dat je dan feitelijk lastiger aan te pakken bent (want je hebt geen directeur die d cel in kan of een bankrekening waar een boete van afgehaald kan worden) is een praktisch detail.

Arnoud