Mag mijn werkgever privébestanden in de zakelijke OneDrive bekijken?

Geplaatst op in Ondernemingsvrijheid, 39 reacties

archief-opslag-bestanden-filesEen lezer vroeg me:

Mag en kan mijn werkgever mijn OneDrive van Office 365 lezen? We hebben tegenwoordig office365, met daarbij meer dan een terabyte aan opslagruimte. Dat is zakelijk veel meer dan wat ik nodig heb, en privé kom ik opslagruimte te kort. Dus ik dacht, niemand heeft er last van als ik daar mijn privézaken backup (ongeveer 150 gigabyte). Niets illegaals, gewoon een archief van een familieleven. Mag dat?

Vaste lezers van mijn blog kennen mogelijk het antwoord al: ook op het werk heb je privacy. Niet zo veel als thuis, maar meer dan nul. Een werkgever heeft zich daaraan te houden en mag dus niet zomaar gaan snuffelen in opgeslagen gegevens of daar wellicht iets privés tussen zit.

De werkgever mag niet gaan spitten, maar gezien de aard van deze gegevens is de kans aanwezig dat hij er toevallig tegenaan loopt. En dan mag hij er zeker wat van zeggen. Het is immers niet de bedoeling dat je privézaken doet via de werkmail of -opslag. Af en toe een mailtje, bestandje of printje zou geen punt moeten zijn, maar structureel je werk gebruiken als backup gaat mij ergens toch te ver.

Ook wanneer je deze bestanden in een submap stopt die “Privé” heet, zou dit een probleem blijven. De werkgever mag dan op zich die map niet zomaar aanklikken, maar hij kan en mag wél opvragen hoe groot deze is. En als dat dan zo’n vijftien procent is van de totale opslag, dan zou ik daar toch wat van vinden als werkgever.

Dus nee, ik zou dit écht niet doen en een berisping zou ik zomaar logisch vinden als de werkgever dit per toeval aantreft. Dan liever een paar euro voor extra opslag bij Microsoft (of elders).

Arnoud

Mag je een kunstmatige intelligentie klonen via zijn API?

Geplaatst op in Innovatie, 20 reacties

aapje-api.pngHet stelen van een AI is eenvoudiger dan je denkt, las ik bij Wired. Hoewel de algoritmes voor zelfdenkende en -lerende systemen uiteraard als supergeheim en bizar waardevol gezien worden, blijkt het mogelijk de werking vrijwel exact te repliceren. Mag dat?

De basis van vrijwel alle zelflerende systemen is in principe hetzelfde. Je voert het systeem een hoop trainingsinvoer, waarbij je meteen aangeeft wat de gewenste uitvoer is. Deze bak met mails is spam, deze mails zijn legitiem, het ding kauwt een tijdje en weet vervolgens nieuwe mails keurig als spam of legitiem te classificeren. Van tijd tot tijd moet je dat bijsturen, want wellicht zat er iets geks in je trainingsset. Zo kreeg ik een tijdlang geen mails uit China meer omdat in mijn trainingsset de spam voor 40% uit China kwam en mijn legitieme mail nul.

Het stelen van een AI gebeurt eigenlijk op dezelfde manier. Je kunt zo’n AI meestal via internet aanroepen (via zijn API). Dus wat je doet, is simpel: stuur een stapel data uit je trainingsset met die API en kijk wat de originele AI zegt. De antwoorden stop je in je eigen AI in zijn trainingsfase, waarmee je dus je eigen AI precies leert te denken als de originele AI.

Is dat legaal? Op het eerste gezicht wel. Hooguit als je zegt, de Terms of Service van die API verbieden het aanroepen met als doel het klonen van de AI en/of het extraheren van alle informatie. Maar dat is alleen maar contractbreuk, daar kun je niet zo veel mee.

In Europa is er misschien nog een optie: het databankenrecht. Wij kennen sinds eind jaren negentig aparte bescherming voor databanken met waardevolle informatie, los van het auteursrecht. Een databank is beschermd als hij het resultaat is van een substantiële investering in tijd, geld of moeite. Iets preciezer, een databank is:

een verzameling van werken, gegevens of andere zelfstandige elementen die systematisch of methodisch geordend en afzonderlijk met elektronische middelen of anderszins toegankelijk zijn en waarvan de verkrijging, de controle of de presentatie van de inhoud in kwalitatief of kwantitatief opzicht getuigt van een substantiële investering;

Met enige goede wil is een zelflerende AI prima in deze definitie te passen volgens mij. De brokjes kennis zijn “zelfstandige elementen”, die geordend zijn Hooguit kun je je afvragen of die blokjes kennis apart op te vragen zijn, maar als een AI een uitlegmodule heeft (“dit is spam want het komt uit China en bevat spelfouten in de titel”) dan lijkt me ook daar wel aan voldaan.

Onder het databankenrecht is het verboden een databank te kopiëren, maar ook het herhaald en systematisch opvragen van stukjes inhoud is verboden als je daarmee de normale exploitatie van de databank verhindert. En dat is volgens mij wel het geval als je een AI-databank kloont met deze truc.

Bewijzen lijkt me alleen buitengewoon ingewikkeld (tenzij je zo dom bent alles vanaf één IP-adres te doen) want je hebt in feite te maken met twee zwarte dozen die dezelfde uitvoer leveren bij dezelfde invoer. Maar je moet bewijzen dat de wérking daarvan hetzelfde is. Ik heb geen idee hoe je dát voor elkaar gaat krijgen. Dus praktisch gezien zie ik weinig manieren om juridisch wat te doen tegen het klonen van je AI.

Arnoud

Interview: Volgens de auteurswet is mijn hele generatie crimineel. Wat nu?

Geplaatst op in Intellectuele rechten, 71 reacties

copyright-protect-pirates.pngOp de Correspondent een interview met mij: Iedere dag zetten we miljarden plaatjes online, vaak zonder toestemming. Het is de gewoonste zaak van de wereld en toch hartstikke illegaal. Ik vroeg een expert hoe we deze bizarre situatie moeten begrijpen en verbeteren.

‘Je hebt een leuk fotootje op internet gevonden en zet dat op Facebook. Of je bent bezig met een blog en haalt een plaatje van Google Afbeeldingen. Het zijn dingen die we dagelijks doen. Het zijn ook ernstige inbreuken op het auteursrecht, misdrijven waar tot vier jaar op staat.’

Oké die is wat gechargeerd, want in de praktijk is dat strafrecht een dode letter. Maar civielrechtelijk heb je wél een serieus probleem als je op deze manier te werk gaat. En ik heb er steeds meer moeite mee dat het zo werkt.

Ik ben heel benieuwd wat jullie van het interview vinden!

Arnoud

Eerste Kamer akkoord met strengere netneutraliteit en zeroratingverbod

Geplaatst op in Ondernemingsvrijheid, 19 reacties

netneutraliteit.pngDe Eerste Kamer heeft dinsdag ingestemd met kabinetsplannen voor een netneutraliteitswet die strenger uitpakt dan de Europese variant die eerder dit jaar werd ingevoerd, las ik bij Nu.nl. Dit raakt het plan van T-Mobile om muziekstreaming buiten de bundel aan te gaan bieden, waarvan zij meenden dat dit van de Europese regels mocht.

Het aangenomen wetsvoorstel wijzigt onze Netneutraliteitswet (dat klinkt spannender dan artikel 7.4a Telecommunicatiewet) naar aanleiding van een Europese Verordening over dit onderwerp. Over die “Europese wet netneutraliteit” is veel gebakkeleid; providers zien al te strenge netneutraliteit als een bedreiging voor innovatie, terwijl burgerrechtenorganisaties er juist op wijzen dat gaten in netneutraliteit het hele concept ondergraven.

Nederland introduceert nu strengere regels, zo lijkt het. Mag dat wel? Je zou zeggen van niet, want een Verordening is gewoon direct een Europese wet en daar hebben lidstaten weinig meer aan te veranderen. Maar deze Verordening biedt de mogelijkheid aan lidstaten om eigen voorschriften te stellen ter nakoming van de Europese netneutraliteitsregels. En dat is in feite wat deze wet doet.

Het belangrijkste voorschrift – en waar ze bij T-Mobile dus over zitten te knarsetanden vandaag – is dat zero rating, oftewel diensten buiten de bundel, niet is toegestaan. Het gaat dan om het nieuwe lid 3 van artikel 7.4a:

3. Aanbieders van internettoegangsdiensten stellen de hoogte van tarieven voor internettoegangsdiensten niet afhankelijk van de diensten en toepassingen die via deze diensten worden aangeboden of gebruikt.

Dit verbod werkt twee kanten op: je mag geen toeslag vragen voor bepaalde diensten (“Ook Netflix kijken? €5 per maand!”) en je mag geen korting geven bij bepaalde diensten. En diensten buiten je bundel laten is een vorm van korting.

Maar is dat niet in strijd met de Europese regels? Er zijn immers richtsnoeren van de BEREC, het samenwerkingsverband van Europese telecomtoezichthouders. En die lijken (paragrafen 37-40) te suggereren dat zero rating mag, onder strenge voorwaarden en met name een waarborg dat eindgebruikerskeuze niet significant wordt ondermijnd. Mijn lezing van die paragrafen is dat ze daar eerder zeggen, dit kan in theorie maar het lijkt ons te ingewikkeld, maar dat terzijde. Belangrijker is immers wat de minister vindt bij invoering van onze wet:

Naar het oordeel van de Nederlandse regering gaat de BEREC daarbij echter ten onrechte voorbij aan het onder lid 3, eerste alinea, van artikel 3 van de netneutraliteitsverordening expliciet opgenomen verbod op discriminatie bij het aanbieden van internettoegangsdiensten. Uiteraard is het de BEREC niet toegestaan in de (niet-bindende) richtsnoeren van de verordening af te wijken.

Want dat artikel 3 lid 3 zegt expliciet er géén discriminatie (van welke aard dan ook) mag plaatsvinden op internetverkeer. Vertragen, blokkeren et cetera van zulk verkeer mag alleen onder de voorwaarden van de Verordening, en die komen kort gezegd neer op integriteit en veiligheid waarborgen, netwerkcongestie wegnemen en voldoen aan specifieke wetten of gerechtelijke bevelen.

Zero rating is natuurlijk ook een héél eng verhaal als je kijkt naar het doel van netneutraliteit. Dat gaat er immers om dat iedere partij gelijke toegang tot internet heeft. Niet alleen iedere consument, maar ook ieder bedrijf dat die consument wil bereiken. Als bedrijf A wel en bedrijf B niet van de zero rating profiteert, dan staat B op achterstand in Nederland. En ja, ik weet dat T-Mobile heeft gezegd dat iedere (legale) streamingdienst onder de zeroratingparaplu komt, maar wat nu als B nog nooit van T-Mobile heeft gehoord – zeg, een Chinese streamingdienst.

Nog even afgezien van hoe T-Mobile controleert of een streamingdienst legaal genoeg is. Ons eigen Nederland.FM staat bijvoorbeeld onder de paraplu maar de SENA vindt dat het bedrijf de Wet op de naburige rechten schendt. En hoe zit het met zeg een Australische internetzender die geen licentie voor Nederland heeft, is die legaal of niet?

Met deze Nederlandse wet is het dus wachten tot de ACM T-Mobile gelast die dienst te staken en gestaakt te houden, op straffe van een dwangsom. Natuurlijk kan het bedrijf daartegen in bezwaar en beroep, maar het is zeer de vraag of de bestuursrechter dan kan en wil zeggen, die Nederlandse wet kan écht niet, dit is in strijd met Europees recht. Het is mogelijk maar de lat ligt hoog: had de regering in redelijkheid mogen denken dat deze wet wél mocht onder de Europese regels? Marginale toetsing, noemen juristen dat. En dan moet je naar het Europees Hof van Justitie om te horen dat de wet écht niet mag. Dan zijn we wel een paar jaar verder.

Arnoud

Mag je in een Git repository andermans merknaam gebruiken als verwijzing?

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 5 reacties

github-octocatDiverse lezers wezen me (dank!) op dit artikel over het Docker-merk dat strenge regels hanteert over wat je met hun merknaam mag doen. Eén van die regels is dat je geen extensies mag publiceren op Docker als je daarbij de term ‘Docker’ gebruikt. Kan dat zomaar?

Docker is een containersysteem voor software, waardoor deze makkelijker te verspreiden is. Het is mogelijk hier allerlei extensies of scripts bij te ontwikkelen, en waar Docker zich dus tegen verzet is wanneer mensen zo’n eigen werk een naam geven die begint met docker. Zij zien dit als verwarringwekkend: mensen kunnen denken dat Docker, Inc. zelf deze projecten beheert of ze heeft goedgekeurd of gesponsord.

Het doet vagelijk denken aan dit geval uit maart waar een discussie over de merknaam 'Kik' zelfs lijdde tot een tijdelijk stukgaan van het internet. Maar daar ging het over het bezet houden van een naam (kik) door één van meerdere merkhouders. Hier gaat het over aanvullingen: docker-existdb bijvoorbeeld, een script waarmee je bij het bouwen van een container makkelijk verbinding kunt leggen met een database van eXist.

Is het nu verwarrend, docker-x als je wilt zeggen, een X voor/met Docker? Ik zou zeggen van niet. Het is toegestaan onder de merkenwet om te refereren naar een merkproduct, met name om aan te geven dat je daarmee compatibel bent of dat jouw product daarvoor bestemd is. "Hoesje voor Samsung Galaxy S" is dus legaal om te zeggen.

Daar staat tegenover dat je ook merkinbreuk pleegt door te onduidelijk te zijn over wie je wél bent. "Hoesje-voor-samsung-galaxy-s.nl" als webshop die zegt "Welkom, koop snel het mooiste hoesje voor uw Samsung Galaxy S" zou merkinbreuk zijn, omdat het hier (door stilzwijgen) lijkt alsof deze site van Samsung zelf is. Je moet dus als merkenverkoper expliciet en groot duidelijk maken wie je wél bent.

Bij Github-projecten wordt altijd vermeld wie de beheerder is van een project. De ontwikkelaar uit het artikel onderhoudt bijvoorbeeld zijn repositories op Github onder de naam 'zopyx', en dat kun je prima zien bij zijn projecten. Ik denk niet dat iemand hier uit zou halen dat dit een project van Docker is. Die zien er zo uit. Plus, in de opensourcegemeenschap dóe je dat nu eenmaal zo, de naam van het origineel combineren met wat jouw project daaraan toevoegt.

Maar toegegeven, deze informatiepresentatie is wel érg zakelijk en strak. De grootste en duidelijkste termen zijn de naam van het project. Als daar dan 'docker' in staat, dan zou je wellicht kunnen zeggen dat je daarmee de nadruk legt op Docker en zo dus stilzwijgend de indruk wekt dat dit project van Docker afkomstig is.

Wat vinden jullie? Overdreven zorg, of zou Docker legitiem kunnen vrezen dat mensen die onafhankelijke projecten aanzien voor die van hen?

Arnoud

Hoe bewijs je dat een ontsleuteld bestand echt is?

Geplaatst op in Regulering, 34 reacties

pgp-bericht-encryptie-versleutelingEen lezer vroeg me:

Als er bij een strafzaak versleutelde bestanden worden aangetroffen, kunnen deze in ontsleutelde vorm dan als bewijs dienen? Immers je kunt niet 100% vaststellen dat de gebruikte sleutel echt is, en in theorie is het dan mogelijk dat de deskundige die de ontsleuteling uitvoert, iets anders eruit haalt dan er in ging.

Er zijn geen specifieke regels over hoe om te gaan met versleutelde digitale bestanden in het strafrecht. We moeten dus terugvallen op de algemene regels: er moet wettig en overtuigend bewijs zijn van de schuld van de verdachte.

Wettig wil zeggen dat het op de juiste, wettelijk vastgelegde wijze is verkregen en dus bekeken mag worden als bewijs. Overtuigend betekent dat er geen redelijke twijfel meer is aan wat het bewijs inhoudelijk laat zien.

Heel formeel zijn er maar vijf categorieën van bewijs in het strafrecht (art. 339) en digitale bestanden staan daar niet bij. Wel de verklaring van de verdachte of van getuigen, de eigen waarneming van de rechter, schriftelijke stukken en verklaringen van deskundigen. Digitale bewijsstukken worden eigenlijk altijd via die laatste categorie ingevoerd: een deskundige legt dan uit wat er uit de digitale informatie te halen is (en hoe dat is gebeurd), en die verklaring is dan formeel het bewijsstuk.

Een deskundige zal dus in zo’n geval uitleggen wat encryptie is en hoe je van plaintext naar ciphertext en weer terug gaat, en hoe dat dan werkt met een sleutel. Hij zal vervolgens laten zien wat er gebeurt als je de (bijvoorbeeld gevonden of door de verdachte gegeven) sleutel loslaat op de aangetroffen ciphertext. De uitkomst (de ontsleutelde tekst) is dan deel van zijn verklaring en daarmee wettig bewijs.

Of het overtuigend is, is lastiger. De eerste vraag is of iemand daar een punt van maakt. Als de verdachte bijvoorbeeld bekent en de sleutel vrijwillig afgeeft, dan is de deskundige snel klaar en is er geen reden om te twijfelen aan het feit dat die plaintext de echte is.

Is de sleutel ergens aangetroffen, dan zal een belangrijke factor worden hoe en door wie. Is er een geel briefje naast de monitor gevonden, of heeft een politieagent drie weken lang handmatig bruteforceaanvallen ondernomen met voor de hand liggende wachtwoorden? Twijfel hierbij kan bijdragen aan de overtuiging van het bewijs (we geloven niet dat dit echt de juiste plaintext is) of zelfs aan de wettige status (de verdachte is onder druk gezet om zijn wachtwoord te geven bijvoorbeeld, wat in strijd is met de wet).

In theorie is het inderdaad denkbaar dat de gevonden ciphertext ooit met sleutel A versleuteld is, maar dat je met sleutel B die ciphertext in een andere plaintext terugdraait. Daarmee zou dus nepbewijs worden vervaardigd: de tekst vertelt iets dat niet echt in het versleutelde bestand stond.

Het zal dan neerkomen op wie het meest wordt geloofd: de deskundige die uitlegt dat dit de echte decryptie is van de aangetroffen ciphertext, of de deskundige die daar twijfel kan zaaien. Je krijgt dan een afweging van alle omstandigheden: hoe werd de sleutel in kwestie gevonden, waaruit blijkt dat die aan de verdachte te koppelen is, wie heeft er baat bij het vervalsen van de decryptie, welke mogelijkheden waren daarvoor, is er in de beweerdelijk valse plaintext iets te vinden dat duidt op een vervalsing en ga zo maar door.

Mijn onderbuikgevoel is dat dit geen sterk verhaal zou zijn zonder zeer specifieke aanwijzingen. In theorie kan het, maar de wet eist geen 100% zekerheid van schuld – er mag geen redelijke twijfel zijn. 99% zekerheid kan best voldoen aan dat criterium.

Arnoud

Facebook moet gegevens Nederlandse gebruiker doorgeven om chantage

Geplaatst op in Ondernemingsvrijheid, Privacy, 5 reacties

naam-handelsnaamFacebook moet gegevens van een gebruiker opsporen en doorgeven om vervolging van die persoon mogelijk te maken, meldde Nu.nl maandag. Het gaat om gegevens van iemand die dreigde intieme foto’s van een gebruiker te publiceren. De rechter bepaalde dat Facebook die moet afgeven. Opmerkelijk genoeg wel met de overweging dat Facebook terecht niet zelf die gegevens heeft afgegeven maar het op een rechtszaak liet aankomen. Ik mis even iets.

De eiseres had via Facebook een ander leren kennen op wie ze verliefd was geraakt, en die ander wist bij haar intieme beelden los te peuteren (in ruil voor nepbeelden terug). Op zeker moment ontstonden bij haar twijfels over of haar wederpartij wel echt was, waarop het gesprek explodeerde en de ander dreigde deze beelden van haar op internet te slingeren.

Een klassiek geval, en lastig aan te pakken want de politie ziet hier vaak weinig heil in (“niet strafbaar, had je maar geen naaktfoto’s moeten sturen”, is een klant van me eens verteld) en zelf een rechtszaak beginnen is toch een hele hoop tijd en moeite. Al is het maar omdat je dan op zijn minst een naam nodig hebt, en alleen Facebook heeft dergelijke informatie.

Naar de rechter dus en opeisen die gegevens. Lycos/Pessers biedt daar een grondslag voor: bij onrechtmatig handelen van een klant waarbij alleen Facebook diens identiteit kent én er geen andere optie is én de klant zijn privacy ondergeschikt is aan de claim, moeten deze gegevens worden afgegeven. Alleen: staat dan in voldoende mate vast dat hier sprake is van iets onrechtmatigs?

Natuurlijk, een dreigement om naaktfoto’s te publiceren is een strafbaar feit (smaad, schending van portretrecht en als er iets wordt gevraagd om het dreigement niet uit te voeren dan is het chantage) maar hoe weten we dat dat echt is uitgevoerd? Veel zal immers in privéberichten (of zelfs buiten Facebook om) gebeuren, dus dat is geen gelopen race.

De rechter in deze zaak kijkt niet naar dit arrest, maar formuleert een eigen norm toegespitst op dit soort gevallen:

Een vordering zoals ingesteld door [eiseres] kan slechts worden toegewezen, indien een gebruiker door middel van een valse identiteit tracht om in het bezit te komen van gegevens die niet voor hem of haar zijn bedoeld en die hij of zij, indien zijn of haar ware identiteit was gebruikt, niet zou hebben ontvangen.

Wanneer iemand dus met een nepprofiel gegevens probeert los te peuteren, handelt hij onrechtmatig. Dat biedt dan voldoende grondslag om tegen de dienstverlener te zeggen, afgeven wat je over deze persoon weet zodat het slachtoffer hem kan aanklagen.

Opmerkelijk vind ik dan dat de rechtbank zegt dat Facebook onrechtmatig handelt door die gegevens niet te geven, maar:

De voorzieningenrechter is van oordeel dat Facebook terecht niet op eerste verzoek van [eiseres] privacy gevoelige informatie van haar gebruikers heeft prijsgegeven, maar een uitspraak van de rechter over dit punt heeft afgewacht.

Onder het Lycos/Pessers arrest moet nu juist wél direct die gegevens worden verschaft. Dat is het hele idee van “onrechtmatig handelen door ze niet te geven”. Je richt schade aan door die gegevens achter te houden terwijl het duidelijk is dat ze afgegeven moeten worden. Ik denk dat de rechter tussen de regels door bedoelt dat het voor Facebook hier niet duidelijk genoeg was of sprake was van onrechtmatigheid, en in dat geval is inderdaad een rechterlijke toets nodig.

Maar het is wel jammer dat het zo geformuleerd staat, want dit wekt dan toch weer de indruk dat je als tussenpersoon altijd naar de rechter mag verwijzen. En dat is nadrukkelijk onjuist.

Arnoud

Vergeet ik al die tijd helemaal wat te vinden van het Privacy Shield

Geplaatst op in Privacy, 10 reacties

privacy-shieldAlweer uit juli: het Privacy Shield, het nieuwe dataverdrag tussen de EU en de VS, is definitief aangenomen. Daarmee is er eindelijk weer een werkbare juridische basis voor doorgifte van persoonsgegevens aan de VS. Althans zou je denken. En ja sorry, dit is belangrijk maar het is me gewoon even ontschoten erover te bloggen.

Al sinds de jaren negentig schuurt het qua persoonsgegevens tussen de Europese Unie en de VS. De Europese regels over persoonsgegevens zijn de strengste ter wereld, en bepalen onder meer dat persoonsgegevens de EU niet uit mogen tenzij het derde land zelf een minstens zo goed niveau van bescherming heeft. En dat heeft de VS dus, zo bepaalde de Europese Commissie in de Safe Harbor-beslissing eind jaren negentig. Amerikaanse bedrijven konden zichzelf certificeren als compliant met Europese regels, en daarmee was het geregeld. Ja moehaha ik weet het.

Dankzij de Snowden-onthullingen kon niemand er meer omheen dat deze fictie geen stand kon houden. Het Hof van Justitie prikte er dan ook in 2015 doorheen: de Amerikaanse haven is niet veilig, punt. Safe Harbor kende geen harde garanties zoals Europees recht vereist, met name omdat de Amerikaanse overheid te allen tijde door de beschermingsregels heen kon prikken.

Na die uitspraak was het enige tijd paniek in de tent: mag je nog wel persoonsgegevens in de Amerikaanse cloud opslaan, of een Amerikaans bedrijf dingen laten doen met Europese persoonsgegevens? Eigenlijk niet, tenzij je via speciale ellenlange modelcontracten specifieke afspraken mag én die kon handhaven, wat nogal een gedoe is.

Nu is er dan een nieuw akkoord dat iets strengere regels stelt. Zo komt er een onafhankelijk toezichtpanel op de zelfcertificering; bij klachten kan een certificaat dan worden ingetrokken. Verder moeten Amerikaanse bedrijven zich duidelijker committeren aan Europese regels en wordt een ombudsman aangesteld die klachten over mogelijke massasurveillance onafhankelijk kan behandelen. De politiek zal de afspraken jaarlijks evalueren.

Zijn we er nu? Niet echt. Voorlopig zitten we goed, want als de Europese Commissie zegt dat een land veilig is, dan is dat zo – althans totdat de onafhankelijke toezichthouders en uiteindelijk het Hof van Justitie zeggen van niet. Dus zorg voor een bewerkersovereenkomst (ADV: doe die training) en let op dat je leveranciers gecertificeerd zijn onder Privacy Shield.

Op de lange termijn zal dit geen stand houden. Uiteindelijk blijft bij Privacy Shield net als bij Safe Harbor het probleem dat inlichtingen- en veiligheidsdiensten te makkelijk in bulk mogen graaien in persoonsgegevens die Amerikaanse bedrijven onder zich hebben. Dan kun je honderd ombudsmannen aanstellen maar die diensten gaan dat echt niet minder doen. En afspreken dat de VS niet gaat graaien in gegevens bij hun eigen onderdanen, dat kun je wel vergeten als Europese Unie.

Dus ja, leuk dat het gat van Safe Harbor tijdelijk gerepareerd is, we kunnen weer even door. Maar meer dan een doekje voor het bloeden is het niet. Het fundamentele probleem blijft: je moet haast wel de cloud in vandaag de dag, maar dat betekent automatisch opslag in de VS en dat wil je eigenlijk gewoon niet.

Arnoud

Wanneer is iets “commercieel” in de zin van een Creativecommonslicentie?

Geplaatst op in Intellectuele rechten, 20 reacties

creative-commons.gifIs het tegen betaling laten drukken van kopieën van een werk nu ook al commercieel? Volgens lesmateriaalmaker Great Minds wel, las ik bij Ars Technica onlangs. Zij hebben Federal Express aangeklaagd voor het in opdracht van scholen afdrukken van hun werk, dat onder de CC-BY-NC-SA licentie wordt verspreid. Omdat FedEx betaald krijgt voor dat kopiëren (weliswaar door nonprofit scholen), zou er toch sprake zijn van commercieel handelen. Hoe ver gaat dat nu bij Creative Commons?

De familie van standaardlicenties die Creative Commons publiceert, kent een onderscheid van wel of geen commercieel gebruik toestaan. Daarbij zitten geen nuances: een beetje commercieel gebruik toestaan of alle geldelijk gewin verbieden behalve als je een kleine ondernemer bent, mag bijvoorbeeld niet. Het is alles of niets.

De definitie van “commercieel” uit de Creative Commons-licentie is:

NonCommercial means not primarily intended for or directed towards commercial advantage or monetary compensation. For purposes of this Public License, the exchange of the Licensed Material for other material subject to Copyright and Similar Rights by digital file-sharing or similar means is NonCommercial provided there is no payment of monetary compensation in connection with the exchange.

De activiteit in kwestie mag dus niet primair gericht zijn op commercieel gewin of een financiële compensatie. Je zou zeggen dat een kopie tegen betaling (die meer is dan kostendekkend) iets is dat primair gericht is op een financiële compensatie, omdat het gaat om een bedrijf dat als kernactiviteit het maken van zulke kopieën heeft. Daarmee zou FedEx dus inderdaad de NC-restrictie overtreden.

Daar staat tegenover dat de organisatie die de opdracht tot kopiëren geeft en de kopieën gaat gebruiken, wél keurig voldoet aan de definitie uit NonCommercial. Men zou dus niets verkeerd doen als men zelf een kopieerapparaat had gekocht. Het voelt dan raar om het uitbesteden van die handeling als het probleem aan te merken.

Het komt er dus op neer of je de handeling van FedEx ziet als een zelfstandige exploitatie of als een handeling die eigenlijk bij de opdrachtgever ligt. Ik neig zelf naar het laatste, gezien doel en strekking van de Creative Commons licentie. Maar ik kan niet ontkennen dat het een derde partij is die uit commercieel gewin kopieën maakt, en dat is nu eenmaal een verveelvoudiging.

Wat vinden jullie? Legaal of niet?

Arnoud

Hoe kan WhatsApp alle Duitse klanten uitzonderen van haar Facebookkoppeling?

Geplaatst op in Privacy, Regulering, 12 reacties

whatsappFacebook moet WhatsApp-data wissen van Duitse privacywaakhond, meldde Tweakers vorige week. De privacytoezichthouder van de deelstaat Hamburg (waar Facebook gevestigd is) heeft bepaald dat de recente Facebook/Whatsapp-koppeling in strijd is met de Duitse Wet bescherming persoonsgegevens. Facebook mag nu geen gegevens van Duitse WhatsApp-gebruikers meer hebben. Maar hoe kan Facebook dat doen, vroegen diverse mensen me.

De reden voor het Duitse stakingsbevel is dat WhatsApp nooit vooraf heeft gevraagd of zij gegevens aan andere bedrijven mag geven. Zoiets mag alleen met toestemming, ook als het gaat om je nieuwe moederbedrijf. En die toestemming heeft WhatsApp noch Facebook geregeld. Dat is dus gewoon een overtreding van de privacywet, de Wbp.

(Facebook kletst dan ook uit haar nek in haar persbericht dat zij zich zou houden aan Europese privacywetgeving. Allereerst omdat die er niet is – de Richtlijn is geen wet maar een instructie om wetten te máken. En ten tweede omdat in heel Europa die wetten hetzelfde zijn, en de Duitse interpretatie correct is.)

Maar goed, stel dat WhatsApp zegt, prima, we houden ons hieraan, we blokkeren dit voor Duitsers. Hoe moet dat dan? Want er is geen paspoortcontrole als je WhatsApp neemt, dus hoe weten zij dan welke accounts Duits zijn?

Er zijn natuurlijk diverse benaderingen te verzinnen. Accounts met Duitse telefoonnummers (kengetal +49) zullen vermoedelijk aan personen uit Duitsland behoren. Je kunt een landinstelling doen via je account. De taalinstelling zegt misschien ook iets (hoewel Oostenrijk en Zwitserland, en wellicht België, daar anders over zullen denken). Wellicht logt WhatsApp de landen waar je bent, het land waar je 90% van de tijd bent zal dan wel ‘jouw’ land zijn. Een optelsom van een aantal van die factoren zou voor mij een prima manier zijn. Maar toegegeven, 100% zekerheid heb je niet.

Is dat een probleem? Voor de wet niet. Wetten bepalen zelden hoe je dingen moeten doen, ze zeggen wat het gewenste eindresultaat is en verlangen van jou dat je dat doet of uitlegt waarom dat niet kan. En de lat bij dat laatste ligt hoog. In het algemeen moet je alles doen dat je redelijkerwijs kan om aan zo’n bevel te voldoen.

Honderd procent zekerheid wordt niet verlangd, en het is dus geen argument dat je die niet kunt geven. Laat maar zien wat je wél kunt doen en hoe goed dat resultaat is.

Arnoud