Privacywaakhond waarschuwt stichting die ‘verloren’ kleinkinderen zoekt

Geplaatst op in Privacy, 9 reacties

kinderen-oppassen-bord-verkeersbord-waarschuwing.pngDe Autoriteit Persoonsgegevens (AP) heeft Stichting Voor Mijn Kleinkind op de vingers getikt vanwege de manier waarop zij kleinkinderen in contact probeert te brengen met hun grootouders. Dat meldde Nu.nl vorige week. Grootouders die geen contact hebben met hun kleinkinderen kunnen daar een oproep plaatsen, die deze kleinkinderen dan kunnen vinden (via bijvoorbeeld een zelfgoogel) en zo alsnog contact leggen als zij dat willen.

De privacytoezichthouder ziet een dergelijke site als een overtreding van de Wet bescherming persoonsgegevens. “Uit zo’n oproep tot contact kun je afleiden dat er problematische familieomstandigheden zijn”, zegt vicevoorzitter Wilbert Tomeen. En dat levert een verwerking van persoonsgegevens op die zonder toestemming van álle betrokkenen (dus ook de ouders van die kleinkinderen) eigenlijk niet te rechtvaardigen is onder de Wbp. Ook niet met een wachtwoord.

In 2009 werd de website Kleinkind onbereikbaar door de rechter verboden. Er werd “op grove wijze inbreuk op de privésfeer van de kleinkinderen en de ouders [] gemaakt” door zomaar gegevens van kleinkinderen vindbaar te maken.

Pfoe. Ik blijf dit zó lastig vinden, het is heel gevoelige materie waar het recht eigenlijk niet voor bedoeld is. Maar bovenal: ik snáp het niet. Als je ruzie hebt over het mogen zien van je kleinkinderen, dan is het toch sowieso géén goede manier om buiten de ouders om publiek te gaan maken dat je die niet mag zien? Ik snap de frustratie, maar dat levert toch gewoon nóóit op wat je wilt, namelijk ouders die van gedachten veranderen?

Arnoud

Apple haalt tientallen gokapps uit Nederlandse App Store

Geplaatst op in Innovatie, 18 reacties

onlinegokken.jpgTientallen apps voor casino’s en sportweddenschappen zijn door Apple uit de App Store verwijderd, meldde de NOS vorige week. Dit naar aanleiding van verzoeken van de Nederlandse Kansspelautoriteit; kansspelen organiseren is immers verboden en een app die dat faciliteert dus ook. Maar toch vind ik dit gek: hoezo vráág je zoiets als toezichthouder, en dan ook nog eens aan een andere partij dan de aanbieder van die kansspelen?

In Nederland is het organiseren van kansspelen al heel lang wettelijk verboden. Er komt verandering aan, met name ten voordele van internetgokken, maar dat duurt nog even. Tot die tijd mag je dus Nederlanders niet laten gokken (althans niet als er geld te winnen is, behalve als promotioneel kansspel).

Daar kun je van alles van vinden, maar juridisch gezien lijkt het me in de haak dat de Kansspelautoriteit op zoek gaat naar overtreders en ze vervolgens een last onder dwangsom oplegt om daarmee te stoppen. Dat is immers de geëigende weg: er is een wet, er is een toezichthouder die iets een overtreding vindt en dan komt er een last (besluit met verplichting). Daar kun je dan tegen in bezwaar bij de Ksa zelf, en daarna naar de bestuursrechter.

De route die hier wordt gekozen, doet bepaald raar aan. In plaats van een besluit te nemen tegen de aanbieders van de app of het achterliggende spel, zegt de Ksa tegen Apple “volgens ons is dit illegaal, wilt u daar wat aan doen” en dan haalt Apple die apps uit de store. Ja, notice en takedown bestaat en Apple verbiedt in haar voorwaarden apps die in strijd zijn met toepasselijke wetgeving. Dus Apple staat in haar recht, volgens mij.

Alleen: ik blijf erbij dat een overheidsinstantie niet mag vragen. Niet kán vragen. Natuurlijk, ze kunnen dingen in de vragende vorm formuleren en er bij zeggen dat het geen verplichting is et cetera et cetera. Maar uiteindelijk blijft het een uitspraak van een overheidsinstantie die een paar stevige knuppels in de kast heeft staan. En dan komt het toch een heel eind over als een bevel.

Dat is dus waarom we die constructie hebben van besluiten, bezwaar en beroep bij de rechter. Net als in het strafrecht, waar de politie geen dingen vraagt maar ze vordert. Bij die vorderingen staan grenzen en procedures in de wet (met name het wetboek van Strafvordering), en die heeft men dan te volgen. Zo weten we dat de gevorderde zaken legaal zijn en netjes verlopen. En als dat niet gebeurt, dan kan de rechter daar wat mee doen.

Hier gaat het mis. De aanbieders van de apps kunnen niets doen tegen de Ksa, want formeel is er geen besluit tegen ze genomen dat die apps illegaal zijn. Ook kunnen ze niet protesteren bij Apple, want Apple mag immers doen wat haar goeddunkt zo staat in de voorwaarden (en bij zakelijke partijen is dat in principe legaal om in je voorwaarden te zetten). Maar raar is het wel.

Arnoud

Mag mijn werkgever privébestanden in de zakelijke OneDrive bekijken?

Geplaatst op in Ondernemingsvrijheid, 39 reacties

archief-opslag-bestanden-filesEen lezer vroeg me:

Mag en kan mijn werkgever mijn OneDrive van Office 365 lezen? We hebben tegenwoordig office365, met daarbij meer dan een terabyte aan opslagruimte. Dat is zakelijk veel meer dan wat ik nodig heb, en privé kom ik opslagruimte te kort. Dus ik dacht, niemand heeft er last van als ik daar mijn privézaken backup (ongeveer 150 gigabyte). Niets illegaals, gewoon een archief van een familieleven. Mag dat?

Vaste lezers van mijn blog kennen mogelijk het antwoord al: ook op het werk heb je privacy. Niet zo veel als thuis, maar meer dan nul. Een werkgever heeft zich daaraan te houden en mag dus niet zomaar gaan snuffelen in opgeslagen gegevens of daar wellicht iets privés tussen zit.

De werkgever mag niet gaan spitten, maar gezien de aard van deze gegevens is de kans aanwezig dat hij er toevallig tegenaan loopt. En dan mag hij er zeker wat van zeggen. Het is immers niet de bedoeling dat je privézaken doet via de werkmail of -opslag. Af en toe een mailtje, bestandje of printje zou geen punt moeten zijn, maar structureel je werk gebruiken als backup gaat mij ergens toch te ver.

Ook wanneer je deze bestanden in een submap stopt die “Privé” heet, zou dit een probleem blijven. De werkgever mag dan op zich die map niet zomaar aanklikken, maar hij kan en mag wél opvragen hoe groot deze is. En als dat dan zo’n vijftien procent is van de totale opslag, dan zou ik daar toch wat van vinden als werkgever.

Dus nee, ik zou dit écht niet doen en een berisping zou ik zomaar logisch vinden als de werkgever dit per toeval aantreft. Dan liever een paar euro voor extra opslag bij Microsoft (of elders).

Arnoud

Mag je een kunstmatige intelligentie klonen via zijn API?

Geplaatst op in Innovatie, 20 reacties

aapje-api.pngHet stelen van een AI is eenvoudiger dan je denkt, las ik bij Wired. Hoewel de algoritmes voor zelfdenkende en -lerende systemen uiteraard als supergeheim en bizar waardevol gezien worden, blijkt het mogelijk de werking vrijwel exact te repliceren. Mag dat?

De basis van vrijwel alle zelflerende systemen is in principe hetzelfde. Je voert het systeem een hoop trainingsinvoer, waarbij je meteen aangeeft wat de gewenste uitvoer is. Deze bak met mails is spam, deze mails zijn legitiem, het ding kauwt een tijdje en weet vervolgens nieuwe mails keurig als spam of legitiem te classificeren. Van tijd tot tijd moet je dat bijsturen, want wellicht zat er iets geks in je trainingsset. Zo kreeg ik een tijdlang geen mails uit China meer omdat in mijn trainingsset de spam voor 40% uit China kwam en mijn legitieme mail nul.

Het stelen van een AI gebeurt eigenlijk op dezelfde manier. Je kunt zo’n AI meestal via internet aanroepen (via zijn API). Dus wat je doet, is simpel: stuur een stapel data uit je trainingsset met die API en kijk wat de originele AI zegt. De antwoorden stop je in je eigen AI in zijn trainingsfase, waarmee je dus je eigen AI precies leert te denken als de originele AI.

Is dat legaal? Op het eerste gezicht wel. Hooguit als je zegt, de Terms of Service van die API verbieden het aanroepen met als doel het klonen van de AI en/of het extraheren van alle informatie. Maar dat is alleen maar contractbreuk, daar kun je niet zo veel mee.

In Europa is er misschien nog een optie: het databankenrecht. Wij kennen sinds eind jaren negentig aparte bescherming voor databanken met waardevolle informatie, los van het auteursrecht. Een databank is beschermd als hij het resultaat is van een substantiële investering in tijd, geld of moeite. Iets preciezer, een databank is:

een verzameling van werken, gegevens of andere zelfstandige elementen die systematisch of methodisch geordend en afzonderlijk met elektronische middelen of anderszins toegankelijk zijn en waarvan de verkrijging, de controle of de presentatie van de inhoud in kwalitatief of kwantitatief opzicht getuigt van een substantiële investering;

Met enige goede wil is een zelflerende AI prima in deze definitie te passen volgens mij. De brokjes kennis zijn “zelfstandige elementen”, die geordend zijn Hooguit kun je je afvragen of die blokjes kennis apart op te vragen zijn, maar als een AI een uitlegmodule heeft (“dit is spam want het komt uit China en bevat spelfouten in de titel”) dan lijkt me ook daar wel aan voldaan.

Onder het databankenrecht is het verboden een databank te kopiëren, maar ook het herhaald en systematisch opvragen van stukjes inhoud is verboden als je daarmee de normale exploitatie van de databank verhindert. En dat is volgens mij wel het geval als je een AI-databank kloont met deze truc.

Bewijzen lijkt me alleen buitengewoon ingewikkeld (tenzij je zo dom bent alles vanaf één IP-adres te doen) want je hebt in feite te maken met twee zwarte dozen die dezelfde uitvoer leveren bij dezelfde invoer. Maar je moet bewijzen dat de wérking daarvan hetzelfde is. Ik heb geen idee hoe je dát voor elkaar gaat krijgen. Dus praktisch gezien zie ik weinig manieren om juridisch wat te doen tegen het klonen van je AI.

Arnoud

Interview: Volgens de auteurswet is mijn hele generatie crimineel. Wat nu?

Geplaatst op in Intellectuele rechten, 71 reacties

copyright-protect-pirates.pngOp de Correspondent een interview met mij: Iedere dag zetten we miljarden plaatjes online, vaak zonder toestemming. Het is de gewoonste zaak van de wereld en toch hartstikke illegaal. Ik vroeg een expert hoe we deze bizarre situatie moeten begrijpen en verbeteren.

‘Je hebt een leuk fotootje op internet gevonden en zet dat op Facebook. Of je bent bezig met een blog en haalt een plaatje van Google Afbeeldingen. Het zijn dingen die we dagelijks doen. Het zijn ook ernstige inbreuken op het auteursrecht, misdrijven waar tot vier jaar op staat.’

Oké die is wat gechargeerd, want in de praktijk is dat strafrecht een dode letter. Maar civielrechtelijk heb je wél een serieus probleem als je op deze manier te werk gaat. En ik heb er steeds meer moeite mee dat het zo werkt.

Ik ben heel benieuwd wat jullie van het interview vinden!

Arnoud

Eerste Kamer akkoord met strengere netneutraliteit en zeroratingverbod

Geplaatst op in Ondernemingsvrijheid, 19 reacties

netneutraliteit.pngDe Eerste Kamer heeft dinsdag ingestemd met kabinetsplannen voor een netneutraliteitswet die strenger uitpakt dan de Europese variant die eerder dit jaar werd ingevoerd, las ik bij Nu.nl. Dit raakt het plan van T-Mobile om muziekstreaming buiten de bundel aan te gaan bieden, waarvan zij meenden dat dit van de Europese regels mocht.

Het aangenomen wetsvoorstel wijzigt onze Netneutraliteitswet (dat klinkt spannender dan artikel 7.4a Telecommunicatiewet) naar aanleiding van een Europese Verordening over dit onderwerp. Over die “Europese wet netneutraliteit” is veel gebakkeleid; providers zien al te strenge netneutraliteit als een bedreiging voor innovatie, terwijl burgerrechtenorganisaties er juist op wijzen dat gaten in netneutraliteit het hele concept ondergraven.

Nederland introduceert nu strengere regels, zo lijkt het. Mag dat wel? Je zou zeggen van niet, want een Verordening is gewoon direct een Europese wet en daar hebben lidstaten weinig meer aan te veranderen. Maar deze Verordening biedt de mogelijkheid aan lidstaten om eigen voorschriften te stellen ter nakoming van de Europese netneutraliteitsregels. En dat is in feite wat deze wet doet.

Het belangrijkste voorschrift – en waar ze bij T-Mobile dus over zitten te knarsetanden vandaag – is dat zero rating, oftewel diensten buiten de bundel, niet is toegestaan. Het gaat dan om het nieuwe lid 3 van artikel 7.4a:

3. Aanbieders van internettoegangsdiensten stellen de hoogte van tarieven voor internettoegangsdiensten niet afhankelijk van de diensten en toepassingen die via deze diensten worden aangeboden of gebruikt.

Dit verbod werkt twee kanten op: je mag geen toeslag vragen voor bepaalde diensten (“Ook Netflix kijken? €5 per maand!”) en je mag geen korting geven bij bepaalde diensten. En diensten buiten je bundel laten is een vorm van korting.

Maar is dat niet in strijd met de Europese regels? Er zijn immers richtsnoeren van de BEREC, het samenwerkingsverband van Europese telecomtoezichthouders. En die lijken (paragrafen 37-40) te suggereren dat zero rating mag, onder strenge voorwaarden en met name een waarborg dat eindgebruikerskeuze niet significant wordt ondermijnd. Mijn lezing van die paragrafen is dat ze daar eerder zeggen, dit kan in theorie maar het lijkt ons te ingewikkeld, maar dat terzijde. Belangrijker is immers wat de minister vindt bij invoering van onze wet:

Naar het oordeel van de Nederlandse regering gaat de BEREC daarbij echter ten onrechte voorbij aan het onder lid 3, eerste alinea, van artikel 3 van de netneutraliteitsverordening expliciet opgenomen verbod op discriminatie bij het aanbieden van internettoegangsdiensten. Uiteraard is het de BEREC niet toegestaan in de (niet-bindende) richtsnoeren van de verordening af te wijken.

Want dat artikel 3 lid 3 zegt expliciet er géén discriminatie (van welke aard dan ook) mag plaatsvinden op internetverkeer. Vertragen, blokkeren et cetera van zulk verkeer mag alleen onder de voorwaarden van de Verordening, en die komen kort gezegd neer op integriteit en veiligheid waarborgen, netwerkcongestie wegnemen en voldoen aan specifieke wetten of gerechtelijke bevelen.

Zero rating is natuurlijk ook een héél eng verhaal als je kijkt naar het doel van netneutraliteit. Dat gaat er immers om dat iedere partij gelijke toegang tot internet heeft. Niet alleen iedere consument, maar ook ieder bedrijf dat die consument wil bereiken. Als bedrijf A wel en bedrijf B niet van de zero rating profiteert, dan staat B op achterstand in Nederland. En ja, ik weet dat T-Mobile heeft gezegd dat iedere (legale) streamingdienst onder de zeroratingparaplu komt, maar wat nu als B nog nooit van T-Mobile heeft gehoord – zeg, een Chinese streamingdienst.

Nog even afgezien van hoe T-Mobile controleert of een streamingdienst legaal genoeg is. Ons eigen Nederland.FM staat bijvoorbeeld onder de paraplu maar de SENA vindt dat het bedrijf de Wet op de naburige rechten schendt. En hoe zit het met zeg een Australische internetzender die geen licentie voor Nederland heeft, is die legaal of niet?

Met deze Nederlandse wet is het dus wachten tot de ACM T-Mobile gelast die dienst te staken en gestaakt te houden, op straffe van een dwangsom. Natuurlijk kan het bedrijf daartegen in bezwaar en beroep, maar het is zeer de vraag of de bestuursrechter dan kan en wil zeggen, die Nederlandse wet kan écht niet, dit is in strijd met Europees recht. Het is mogelijk maar de lat ligt hoog: had de regering in redelijkheid mogen denken dat deze wet wél mocht onder de Europese regels? Marginale toetsing, noemen juristen dat. En dan moet je naar het Europees Hof van Justitie om te horen dat de wet écht niet mag. Dan zijn we wel een paar jaar verder.

Arnoud

Mag je in een Git repository andermans merknaam gebruiken als verwijzing?

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 5 reacties

github-octocatDiverse lezers wezen me (dank!) op dit artikel over het Docker-merk dat strenge regels hanteert over wat je met hun merknaam mag doen. Eén van die regels is dat je geen extensies mag publiceren op Docker als je daarbij de term ‘Docker’ gebruikt. Kan dat zomaar?

Docker is een containersysteem voor software, waardoor deze makkelijker te verspreiden is. Het is mogelijk hier allerlei extensies of scripts bij te ontwikkelen, en waar Docker zich dus tegen verzet is wanneer mensen zo’n eigen werk een naam geven die begint met docker. Zij zien dit als verwarringwekkend: mensen kunnen denken dat Docker, Inc. zelf deze projecten beheert of ze heeft goedgekeurd of gesponsord.

Het doet vagelijk denken aan dit geval uit maart waar een discussie over de merknaam 'Kik' zelfs lijdde tot een tijdelijk stukgaan van het internet. Maar daar ging het over het bezet houden van een naam (kik) door één van meerdere merkhouders. Hier gaat het over aanvullingen: docker-existdb bijvoorbeeld, een script waarmee je bij het bouwen van een container makkelijk verbinding kunt leggen met een database van eXist.

Is het nu verwarrend, docker-x als je wilt zeggen, een X voor/met Docker? Ik zou zeggen van niet. Het is toegestaan onder de merkenwet om te refereren naar een merkproduct, met name om aan te geven dat je daarmee compatibel bent of dat jouw product daarvoor bestemd is. "Hoesje voor Samsung Galaxy S" is dus legaal om te zeggen.

Daar staat tegenover dat je ook merkinbreuk pleegt door te onduidelijk te zijn over wie je wél bent. "Hoesje-voor-samsung-galaxy-s.nl" als webshop die zegt "Welkom, koop snel het mooiste hoesje voor uw Samsung Galaxy S" zou merkinbreuk zijn, omdat het hier (door stilzwijgen) lijkt alsof deze site van Samsung zelf is. Je moet dus als merkenverkoper expliciet en groot duidelijk maken wie je wél bent.

Bij Github-projecten wordt altijd vermeld wie de beheerder is van een project. De ontwikkelaar uit het artikel onderhoudt bijvoorbeeld zijn repositories op Github onder de naam 'zopyx', en dat kun je prima zien bij zijn projecten. Ik denk niet dat iemand hier uit zou halen dat dit een project van Docker is. Die zien er zo uit. Plus, in de opensourcegemeenschap dóe je dat nu eenmaal zo, de naam van het origineel combineren met wat jouw project daaraan toevoegt.

Maar toegegeven, deze informatiepresentatie is wel érg zakelijk en strak. De grootste en duidelijkste termen zijn de naam van het project. Als daar dan 'docker' in staat, dan zou je wellicht kunnen zeggen dat je daarmee de nadruk legt op Docker en zo dus stilzwijgend de indruk wekt dat dit project van Docker afkomstig is.

Wat vinden jullie? Overdreven zorg, of zou Docker legitiem kunnen vrezen dat mensen die onafhankelijke projecten aanzien voor die van hen?

Arnoud

Hoe bewijs je dat een ontsleuteld bestand echt is?

Geplaatst op in Regulering, 34 reacties

pgp-bericht-encryptie-versleutelingEen lezer vroeg me:

Als er bij een strafzaak versleutelde bestanden worden aangetroffen, kunnen deze in ontsleutelde vorm dan als bewijs dienen? Immers je kunt niet 100% vaststellen dat de gebruikte sleutel echt is, en in theorie is het dan mogelijk dat de deskundige die de ontsleuteling uitvoert, iets anders eruit haalt dan er in ging.

Er zijn geen specifieke regels over hoe om te gaan met versleutelde digitale bestanden in het strafrecht. We moeten dus terugvallen op de algemene regels: er moet wettig en overtuigend bewijs zijn van de schuld van de verdachte.

Wettig wil zeggen dat het op de juiste, wettelijk vastgelegde wijze is verkregen en dus bekeken mag worden als bewijs. Overtuigend betekent dat er geen redelijke twijfel meer is aan wat het bewijs inhoudelijk laat zien.

Heel formeel zijn er maar vijf categorieën van bewijs in het strafrecht (art. 339) en digitale bestanden staan daar niet bij. Wel de verklaring van de verdachte of van getuigen, de eigen waarneming van de rechter, schriftelijke stukken en verklaringen van deskundigen. Digitale bewijsstukken worden eigenlijk altijd via die laatste categorie ingevoerd: een deskundige legt dan uit wat er uit de digitale informatie te halen is (en hoe dat is gebeurd), en die verklaring is dan formeel het bewijsstuk.

Een deskundige zal dus in zo’n geval uitleggen wat encryptie is en hoe je van plaintext naar ciphertext en weer terug gaat, en hoe dat dan werkt met een sleutel. Hij zal vervolgens laten zien wat er gebeurt als je de (bijvoorbeeld gevonden of door de verdachte gegeven) sleutel loslaat op de aangetroffen ciphertext. De uitkomst (de ontsleutelde tekst) is dan deel van zijn verklaring en daarmee wettig bewijs.

Of het overtuigend is, is lastiger. De eerste vraag is of iemand daar een punt van maakt. Als de verdachte bijvoorbeeld bekent en de sleutel vrijwillig afgeeft, dan is de deskundige snel klaar en is er geen reden om te twijfelen aan het feit dat die plaintext de echte is.

Is de sleutel ergens aangetroffen, dan zal een belangrijke factor worden hoe en door wie. Is er een geel briefje naast de monitor gevonden, of heeft een politieagent drie weken lang handmatig bruteforceaanvallen ondernomen met voor de hand liggende wachtwoorden? Twijfel hierbij kan bijdragen aan de overtuiging van het bewijs (we geloven niet dat dit echt de juiste plaintext is) of zelfs aan de wettige status (de verdachte is onder druk gezet om zijn wachtwoord te geven bijvoorbeeld, wat in strijd is met de wet).

In theorie is het inderdaad denkbaar dat de gevonden ciphertext ooit met sleutel A versleuteld is, maar dat je met sleutel B die ciphertext in een andere plaintext terugdraait. Daarmee zou dus nepbewijs worden vervaardigd: de tekst vertelt iets dat niet echt in het versleutelde bestand stond.

Het zal dan neerkomen op wie het meest wordt geloofd: de deskundige die uitlegt dat dit de echte decryptie is van de aangetroffen ciphertext, of de deskundige die daar twijfel kan zaaien. Je krijgt dan een afweging van alle omstandigheden: hoe werd de sleutel in kwestie gevonden, waaruit blijkt dat die aan de verdachte te koppelen is, wie heeft er baat bij het vervalsen van de decryptie, welke mogelijkheden waren daarvoor, is er in de beweerdelijk valse plaintext iets te vinden dat duidt op een vervalsing en ga zo maar door.

Mijn onderbuikgevoel is dat dit geen sterk verhaal zou zijn zonder zeer specifieke aanwijzingen. In theorie kan het, maar de wet eist geen 100% zekerheid van schuld – er mag geen redelijke twijfel zijn. 99% zekerheid kan best voldoen aan dat criterium.

Arnoud

Facebook moet gegevens Nederlandse gebruiker doorgeven om chantage

Geplaatst op in Ondernemingsvrijheid, Privacy, 5 reacties

naam-handelsnaamFacebook moet gegevens van een gebruiker opsporen en doorgeven om vervolging van die persoon mogelijk te maken, meldde Nu.nl maandag. Het gaat om gegevens van iemand die dreigde intieme foto’s van een gebruiker te publiceren. De rechter bepaalde dat Facebook die moet afgeven. Opmerkelijk genoeg wel met de overweging dat Facebook terecht niet zelf die gegevens heeft afgegeven maar het op een rechtszaak liet aankomen. Ik mis even iets.

De eiseres had via Facebook een ander leren kennen op wie ze verliefd was geraakt, en die ander wist bij haar intieme beelden los te peuteren (in ruil voor nepbeelden terug). Op zeker moment ontstonden bij haar twijfels over of haar wederpartij wel echt was, waarop het gesprek explodeerde en de ander dreigde deze beelden van haar op internet te slingeren.

Een klassiek geval, en lastig aan te pakken want de politie ziet hier vaak weinig heil in (“niet strafbaar, had je maar geen naaktfoto’s moeten sturen”, is een klant van me eens verteld) en zelf een rechtszaak beginnen is toch een hele hoop tijd en moeite. Al is het maar omdat je dan op zijn minst een naam nodig hebt, en alleen Facebook heeft dergelijke informatie.

Naar de rechter dus en opeisen die gegevens. Lycos/Pessers biedt daar een grondslag voor: bij onrechtmatig handelen van een klant waarbij alleen Facebook diens identiteit kent én er geen andere optie is én de klant zijn privacy ondergeschikt is aan de claim, moeten deze gegevens worden afgegeven. Alleen: staat dan in voldoende mate vast dat hier sprake is van iets onrechtmatigs?

Natuurlijk, een dreigement om naaktfoto’s te publiceren is een strafbaar feit (smaad, schending van portretrecht en als er iets wordt gevraagd om het dreigement niet uit te voeren dan is het chantage) maar hoe weten we dat dat echt is uitgevoerd? Veel zal immers in privéberichten (of zelfs buiten Facebook om) gebeuren, dus dat is geen gelopen race.

De rechter in deze zaak kijkt niet naar dit arrest, maar formuleert een eigen norm toegespitst op dit soort gevallen:

Een vordering zoals ingesteld door [eiseres] kan slechts worden toegewezen, indien een gebruiker door middel van een valse identiteit tracht om in het bezit te komen van gegevens die niet voor hem of haar zijn bedoeld en die hij of zij, indien zijn of haar ware identiteit was gebruikt, niet zou hebben ontvangen.

Wanneer iemand dus met een nepprofiel gegevens probeert los te peuteren, handelt hij onrechtmatig. Dat biedt dan voldoende grondslag om tegen de dienstverlener te zeggen, afgeven wat je over deze persoon weet zodat het slachtoffer hem kan aanklagen.

Opmerkelijk vind ik dan dat de rechtbank zegt dat Facebook onrechtmatig handelt door die gegevens niet te geven, maar:

De voorzieningenrechter is van oordeel dat Facebook terecht niet op eerste verzoek van [eiseres] privacy gevoelige informatie van haar gebruikers heeft prijsgegeven, maar een uitspraak van de rechter over dit punt heeft afgewacht.

Onder het Lycos/Pessers arrest moet nu juist wél direct die gegevens worden verschaft. Dat is het hele idee van “onrechtmatig handelen door ze niet te geven”. Je richt schade aan door die gegevens achter te houden terwijl het duidelijk is dat ze afgegeven moeten worden. Ik denk dat de rechter tussen de regels door bedoelt dat het voor Facebook hier niet duidelijk genoeg was of sprake was van onrechtmatigheid, en in dat geval is inderdaad een rechterlijke toets nodig.

Maar het is wel jammer dat het zo geformuleerd staat, want dit wekt dan toch weer de indruk dat je als tussenpersoon altijd naar de rechter mag verwijzen. En dat is nadrukkelijk onjuist.

Arnoud

Vergeet ik al die tijd helemaal wat te vinden van het Privacy Shield

Geplaatst op in Privacy, 10 reacties

privacy-shieldAlweer uit juli: het Privacy Shield, het nieuwe dataverdrag tussen de EU en de VS, is definitief aangenomen. Daarmee is er eindelijk weer een werkbare juridische basis voor doorgifte van persoonsgegevens aan de VS. Althans zou je denken. En ja sorry, dit is belangrijk maar het is me gewoon even ontschoten erover te bloggen.

Al sinds de jaren negentig schuurt het qua persoonsgegevens tussen de Europese Unie en de VS. De Europese regels over persoonsgegevens zijn de strengste ter wereld, en bepalen onder meer dat persoonsgegevens de EU niet uit mogen tenzij het derde land zelf een minstens zo goed niveau van bescherming heeft. En dat heeft de VS dus, zo bepaalde de Europese Commissie in de Safe Harbor-beslissing eind jaren negentig. Amerikaanse bedrijven konden zichzelf certificeren als compliant met Europese regels, en daarmee was het geregeld. Ja moehaha ik weet het.

Dankzij de Snowden-onthullingen kon niemand er meer omheen dat deze fictie geen stand kon houden. Het Hof van Justitie prikte er dan ook in 2015 doorheen: de Amerikaanse haven is niet veilig, punt. Safe Harbor kende geen harde garanties zoals Europees recht vereist, met name omdat de Amerikaanse overheid te allen tijde door de beschermingsregels heen kon prikken.

Na die uitspraak was het enige tijd paniek in de tent: mag je nog wel persoonsgegevens in de Amerikaanse cloud opslaan, of een Amerikaans bedrijf dingen laten doen met Europese persoonsgegevens? Eigenlijk niet, tenzij je via speciale ellenlange modelcontracten specifieke afspraken mag én die kon handhaven, wat nogal een gedoe is.

Nu is er dan een nieuw akkoord dat iets strengere regels stelt. Zo komt er een onafhankelijk toezichtpanel op de zelfcertificering; bij klachten kan een certificaat dan worden ingetrokken. Verder moeten Amerikaanse bedrijven zich duidelijker committeren aan Europese regels en wordt een ombudsman aangesteld die klachten over mogelijke massasurveillance onafhankelijk kan behandelen. De politiek zal de afspraken jaarlijks evalueren.

Zijn we er nu? Niet echt. Voorlopig zitten we goed, want als de Europese Commissie zegt dat een land veilig is, dan is dat zo – althans totdat de onafhankelijke toezichthouders en uiteindelijk het Hof van Justitie zeggen van niet. Dus zorg voor een bewerkersovereenkomst (ADV: doe die training) en let op dat je leveranciers gecertificeerd zijn onder Privacy Shield.

Op de lange termijn zal dit geen stand houden. Uiteindelijk blijft bij Privacy Shield net als bij Safe Harbor het probleem dat inlichtingen- en veiligheidsdiensten te makkelijk in bulk mogen graaien in persoonsgegevens die Amerikaanse bedrijven onder zich hebben. Dan kun je honderd ombudsmannen aanstellen maar die diensten gaan dat echt niet minder doen. En afspreken dat de VS niet gaat graaien in gegevens bij hun eigen onderdanen, dat kun je wel vergeten als Europese Unie.

Dus ja, leuk dat het gat van Safe Harbor tijdelijk gerepareerd is, we kunnen weer even door. Maar meer dan een doekje voor het bloeden is het niet. Het fundamentele probleem blijft: je moet haast wel de cloud in vandaag de dag, maar dat betekent automatisch opslag in de VS en dat wil je eigenlijk gewoon niet.

Arnoud