Hoe snel moet je van de wet een nieuwe securitystandaard implementeren?

Geplaatst op in Security, 13 reacties

norm-security-beveiliging-certified-gecertificeerdEen lezer vroeg me:

In de ICT zijn de beveiligingseisen volop in beweging. Het is dus welhaast onmogelijk om deze allemaal stipt na te volgen, zeker bij grote pakketten waar het doorvoeren van wijzigingen vele maanden (zo niet jaren) kan kosten vanwege complexiteit en testen en evaluatie. Is er juridisch gezien een termijn waarbinnen nieuwe standaarden geïmplementeerd moeten zijn?

Dit is een persoonlijke frustratie van mij, maar de wet kent eigenlijk überhaupt geen eis dat je enige security-standaard moet volgen, of zelfs maar dat je product enige security moet hebben. Fysieke veiligheid wel (productveiligheid, art. 6:186 BW) maar je informatiebeveiliging mag volstrekt brak zijn. Ik weet niet waarom.

De enige echte uitzondering is die van systemen die persoonsgegevens verwerken. Daar bepaalt de Wet bescherming persoonsgegevens (art. 13 Wbp) dat je “passende technische en organisatorische maatregelen” moet nemen “om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking.”

De in 2013 geformuleerde beleidsregels Beveiliging van persoonsgegevens van de Autoriteit Persoonsgegevens adviseren te handelen binnen een plan­do­check­act­cyclus: beoordeel de risico’s, gebruik erkende beveiligingsstandaarden en controleer en evalueer de resultaten. Er wordt wel naar standaarden verwezen, maar dat laat meteen zien waarom dat niet werkt: het document is uit februari 2013 en de daarin genoemde norm ISO 27002:2007 werd in oktober 2013 ingetrokken.

Uiteindelijk zal het altijd neerkomen op een evaluatie achteraf als het mis blijkt te zijn gegaan. Had dit redelijkerwijs voorkomen kunnen worden met wat voorhanden was, was het redelijkerwijs te verwachten dat deze standaard gevolgd zou worden en hadden we al redelijkerwijs mogen verwachten dat er zou worden geupgrade of was dat gezien de kosten nog niet redelijk? (Met excuses aan de vraagsteller die me nadrukkelijk vroeg de term ‘redelijk’ te vermijden maar dat is ben ik bang een MUST in de zin van RFC 2119.)

Arnoud

Dit is dus wat ze bedoelen met ongevraagde zendingen

Geplaatst op in Informatiemaatschappij, 50 reacties

groepsfoto-klassenfoto.jpgEen vonnistip via Twitter:

Vrouw behoudt schoolfoto’s van dochter zonder ze te betalen. Mag dat?

Oké, niet echt internet- of ICT-recht tenzij je zegt dat camera’s computers zijn en foto’s digitale inhoud. Maar wel leuk, en het is vrijdag dus kom nou.

Uit het vonnis blijkt het volgende. Een fotograaf was op een school foto’s wezen maken als schoolfotograaf. De school deelt de foto’s vervolgens uit aan de leerlingen teneinde dit pakket thuis te laten zien, vergezeld van een machtigingsformulier, een bestelformulier en een retourenvelop. En nu komt ‘ie: onderaan het machtigingsformulier staat:

Binnen 10 dagen terugsturen anders verplicht u zich tot afname!

De gedaagde in deze zaak had niets teruggestuurd, maar meende dat ze ook niet tot afname verplicht was, omdat ze immers nergens om had gevraagd. Er was niet met de school gesproken over foto’s kopen; bij schoolfoto’s is dat ook niet echt gebruikelijk. De school faciliteert een fotograaf en die moet het onderling met de ouders verder maar regelen.

De fotograaf kon niet echt onderbouwen waarom er sprake zou zijn van een bindende overeenkomst. Hij deed dit al jaren zo, maar dat is juridisch geen argument. Je kunt niet eenzijdig zeggen, stilzwijgen is toestemming. Helemaal niet gezien art. 7:7 BW:

Degene aan wie een zaak is toegezonden en die redelijkerwijze mag aannemen dat deze toezending is geschied ten einde hem tot een koop te bewegen, is ongeacht enige andersluidende mededeling van de verzender jegens deze bevoegd de zaak om niet te behouden, tenzij het hem is toe te rekenen dat de toezending is geschied.

De rechtbank vindt het evident dat deze foto’s zijn geleverd teneinde de gedaagde tot een koop te bewegen. Er zit immers een bestelformulier bij. En dan is de enige vraag of je als gedaagde hebt uitgelokt dat de foto’s zijn geleverd, waarvan hier geen sprake was.

Hooguit zou je je nog kunnen afvragen of sprake is van ’toezending’, wanneer de school je een envelop bezorgt via je kind is dat moeilijk een ‘zending’ te noemen in de zin van een postzending. Maar dat was geen argument in deze zaak, en ik denk ook niet dat het opgaat omdat ook bezorgen via een koerier eronder zou vallen, en dat kind is gewoon de koerier dan.

Juridisch is er nog een truc als je geen contract hebt: de zogeheten ongerechtvaardigde verrijking. Dit is een beetje het stiefzusje van de onrechtmatige daad. Weliswaar heb je niets onrechtmatigs gedaan om iets te verkrijgen, maar je mag dat iets toch niet houden want je hebt er geen grondslag voor. Je zou dan kunnen zeggen, je behoudt die foto en die vertegenwoordigt waarde, dus je hebt jezelf verrijkt en dat gaat ten koste van mij, dus betalen of foto terug.

Maar ook dat gaat hier niet op. De regel uit artikel 7:7 BW is heel duidelijk in het voordeel van de consument geschreven. Met een truc die regel onderuit halen, is niet de bedoeling en dus verklaart de rechter dat argument ongeldig (dit is waarom ik rechters DWIM compilers van het recht noem).

Arnoud

Wie is aansprakelijk voor schade door malware op een website?

Geplaatst op in Security, 30 reacties

oud-virus-drop-charactesEen lezer vroeg me:

Wie is verantwoordelijk voor schade door malware op een website, wanneer mijn browser of besturingssysteem ook niet up-to-date zijn?

In het Nederlands recht geldt dat wie een ander een onrechtmatige daad aandoet, de schade daardoor moet vergoeden. Dat geldt voor alles, van auto’s bekrassen tot malware infecteren.

Op zich is het antwoord dus simpel: die schade moet worden vergoed door de eigenaar van die website. Natuurlijk zal de hoogte van de schade moeten worden aangetoond, maar dat is een praktisch detail.

Of de eigenaar wist van de malware, doet er daarbij niet toe. Over het algemeen is voor een onrechtmatige daad niet verplicht dat je bewust of zelfs opzettelijk de schade berokkende. Bij malware zou je hooguit nog kunnen zeggen, deze malware was zó moeilijk tegen te houden dat je het mij niet kunt verwijten. Een besmetting als overmacht. Het kan, maar ik zou de lat daar wel hoog voor willen zien.

Lastiger wordt het als het slachtoffer de schade had kunnen voorkomen of beperken. De wet kent de constructie van eigen schuld (art. 6:101 BW), waarbij de hoogte van de schadevergoeding wordt verlaagd naarmate de schade meer te wijten is aan het slachtoffer. De rechter mag daarbij uiteindelijk altijd naar billijkheid van afwijken.

Het niet hebben van een up-to-date browser, besturingssysteem of virusscanner zou je kunnen zien als een stukje eigen schuld, iets dat je zelf makkelijk had kunnen voorkomen. Daar staat tegenover dat je als websitebeheerder in de beste positie bent om malware te voorkomen. Ik denk dus niet dat je heel makkelijk aan eigen schuld komt hier, of je moet wel héél ver achterlopen, geen enkele securityscanner hebben en een browser uit 1998 gebruiken.

Arnoud

Mag mijn werkgever toegang eisen tot mijn BYOD telefoon?

Geplaatst op in Ondernemingsvrijheid, 29 reacties

telefoon-smartphone-kinderen-schoolEen lezer vroeg me:

Ons bedrijf heeft onlangs een Bring-Your-Own-Device beleid uitgerold waarbij je je eigen smartphone mag gebruiken voor werkzaken. Daarin vielen me twee dingen op. Allereerst moet ik een stukje software installeren waarmee men op afstand de telefoon kan overnemen en wissen. En ten tweede ben ik verplicht de telefoon af te geven als het bedrijf dat nodig acht in het kader van een rechtszaak. Kunnen ze dat zo eisen?

Dat wissen op afstand zie ik vaker bij BYOD policies (beleiden? beleids?). Het idee is dat als er bedrijfsdata op zo’n telefoon staat, en die telefoon gestolen of verloren raakt, de werkgever de schade kan beperken door de inhoud te wissen. Op zich logisch, en bij een zakelijke telefoon niet meer dan normaal denk ik. Maar bij een BYOD telefoon raakt dat natuurlijk óók privédata van de werknemer.

Het afgeven van de telefoon is een stukje conservatisme volgens mij. In met name de VS is het een ding dat je bij rechtszaken een discovery-procedure kunt krijgen, waarbij alle relevante documenten moeten worden afgegeven aan de wederpartij. Dat omvat ook elektronische documenten, dus dat kunnen ook bestanden op een BYOD-telefoon zijn.

In principe zullen die bestanden kopieën bevatten van gegevens van bedrijfsservers zijn, het hele punt is natuurlijk dat je dingen daar downloadt en gebruikt. Maar het is niet uit te sluiten dat er data op maar één plek staat (die telefoon), en dan moet de inhoud van die telefoon worden afgegeven. Dus dan komt er een stukje in het beleid dat je daaraan moet meewerken.

Daarnaast is er natuurlijk de mogelijkheid dat Justitie of een toezichthouder inzage eist in bedrijfsdata, en ook dan geldt dat die inzage er moet komen. Ook als dat bij een medewerker thuis ligt. Je hebt dan een medewerkingsplicht. Bij een fysiek dossier zal niemand dat gek vinden, die doos moet dan naar kantoor. Maar bij een BYOD telefoon voelt het ineens een stuk complexer.

Wat is dat toch, dat dingen ineens moeilijker zijn omdat er ICT in zit? Waarom is inzage in een fysiek dossier thuis niet gek en inzage in een telefoon wel?

Arnoud

Fabrikanten mogen van EU-Hof pc’s met geïnstalleerde software verkopen

Geplaatst op in Intellectuele rechten, 22 reacties

hardware-software-computer-gollem-huh.jpgComputerfabrikanten mogen gewoon pc’s blijven verkopen met bijvoorbeeld Windows vooraf geïnstalleerd. Dat meldde Nu.nl onlang. Ze hoeven geen alternatief te bieden zonder de geïnstalleerde software. Dit volgt uit een uitspraak van het Hof van Justitie (zaaknr C-310/15) naar aanleiding van een Franse rechtszaak over de vraag of dit een oneerlijke handelspraktijk was.

Een Franse consument had in 2008 een laptop gekocht en kreeg daar ongevraagd Windows Vista bij. Hij wilde de EULA daarvan niet accepteren en claimde toen bij leverancier Sony het geld van die licentie terug. Dat werd geweigerd, waarop hij naar de rechter stapte met het argument dat hier sprake was van een oneerlijke handelspraktijk: het is niet netjes en dus niet eerlijk dat je geen laptop zónder Windows kunt kopen.

Volgens het Hof kan een handelspraktijk zoals reclame of het aanbieden van producten alleen oneerlijk zijn als aan twee eisen is voldaan:

Een handelspraktijk kan in dat verband slechts als oneerlijk […] worden beschouwd onder de dubbele voorwaarde dat zij in de eerste plaats in strijd is met de vereisten van professionele toewijding en in de tweede plaats het economische gedrag van de gemiddelde consument met betrekking tot het product wezenlijk verstoort of kan verstoren.

Is sprake van strijd met die professionele toewijding, zeg maar even wat je van een fatsoenlijk handelaar in de ICT-sector mag verwachten? Behoort een normale dozenschuiver ook dozen zonder OS te schuiven?

Nee, aldus het Hof:

In casu blijkt uit de verwijzingsbeslissing met name dat de verkoop door Sony van computers met voorgeïnstalleerde software voldoet aan de uit de analyse van de betrokken markt blijkende verwachtingen van een belangrijk deel van de consumenten die de aankoop van een aldus uitgeruste en onmiddellijk bruikbare computer verkiezen boven de afzonderlijke aankoop van een computer en software. Bovendien werd volgens diezelfde beslissing Deroo-Blanquart, als consument, vóór de aankoop van de betrokken computer door de detailhandelaar van Sony naar behoren geïnformeerd over het bestaan van voorgeïnstalleerde software op deze computer en de specifieke kenmerken van elk van de softwareprogramma’s. Tot slot heeft Sony, na de aankoop en bij het eerste gebruik van deze computer, Deroo-Blanquart de mogelijkheid geboden om in te stemmen met de „eindgebruikersovereenkomst” om deze software te kunnen gebruiken, dan wel de verkoop te herroepen.

In gewone taal: Je wist bij aanschaf dat er Windows op die laptop zou staan. Dat is ook normaal bij computerverkoop aan consumenten. En je mág de EULA annuleren, alleen moet dan wel de gehele aanschaf terug (dus ook de hardware) en niet alleen de software. Daar is niets mis mee. Ook niet omdat de prijs van Windows niet uitgesplitst is.

En moet een handelaar ook kale computers aanbieden? Nee, ook dat is niet in strijd met de professionele toewijding. Als een winkel alleen combinaties hardware/software wil verkopen, dan staat ze dat vrij (het mededingingsrecht even daargelaten) en zolang je als consument maar wéét dat je dat gaat krijgen, is er niets aan de hand. Je kunt dan naar een concurrent.

Arnoud

Mag McAfee zichzelf zakelijk geen McAfee meer noemen?

Geplaatst op in Ondernemingsvrijheid, 7 reacties

naam-handelsnaamAntiviruspionier John McAfee mag zijn nieuwe bedrijf niet de naam John McAfee Global Technologies geven, meldde Nu.nl onlangs. Chipmaker Intel, de koper van zijn oude securitybedrijf McAfee, had formeel bezwaar gemaakt tegen deze bedrijfsnaam. Het nieuwe bedrijf van John McAfee zou zich gaan richten op het ontwikkelen van anti-spionagesoftware, en ik zie wel hoe Intel dan kan denken dat er verwarring ontstaat. En dat is eigenlijk genoeg.

Het doet wat raar aan, deze zaak: mag je dan niet je eigen achternaam gebruiken als merknaam of handelsnaam? Dat is toch zeer gebruikelijk zou je zeggen. Veel zelfstandig ondernemers en freelancers gebruiken de eigennaam als handelsnaam.

Prima op zich, tenzij iemand anders al eerder onder die naam actief was op de markt (handelsnaam) of de naam heeft laten vastleggen (merkrecht) voor dezelfde soort producten of diensten als waar deze ondernemer in opereert. De handelsnamenwet en het merkenrecht zien dit niet als iets speciaals; als er verwarring kan ontstaan dan is het merkinbreuk of handelsnaaminbreuk.

Als je natuurlijk al jaren opereert onder je eigen naam als handelsnaam, dan kan iemand niet die gauw als merk vastleggen en jou vervolgens blokkeren. Een oudere handelsnaam wint van een jonger merk. Maar ook dat is een algemene regel die niet alleen geldt bij eigennamen.

Wel kun je je afvragen of Intel’s claim nog wel terecht is nu ze eigenlijk de naam McAfee niet meer gebruiken. Uit het artikel haal ik dat het bedrijf nu naar zijn beveiligingstak refereert als Intel Security. Dat zou een tegenargument kunnen zijn. Bij ons geldt immers dat wie een merk vijf jaar niet meer gebruikt, de rechten verliest (ook al staat het nog netjes in het merkenregister). Daarna is de naam dus weer vrij en zou ook de eigennaamhouder deze weer mogen gebruiken.

Arnoud

Is encryptie een mensenrecht? #vrijmorefi

Geplaatst op in Informatiemaatschappij, 36 reacties

sleutel-key-encryptie-decryptieBegin september hadden we een discussie over crypto-achterdeuren, waarbij de vraag langskwam of encryptie eigenlijk niet gewoon een mensenrecht is. Je hebt toch het grondrecht privacy, en hoe kun je dat nu effectief uitoefenen anders dan door versleutelde communicatie? Een goed punt, en ik werd er door aan het denken gezet want dit is een van die issues waardoor internetrecht/ICT-recht voor mij toch écht meer is dan een hippe naam voor nieuwigheden in het recht.

Encryptie of versleuteling is als technologie al ongeveer zo oud als het recht. Wie iets belangrijks over te brengen heeft, wil graag voorkomen dat ongewenste derden dat ook lezen. Van boodschappen tatoeëren op het hoofd van je slaaf tot de boodschap uitschrijven op een lange rol die alleen te lezen is door ‘m om één specifieke houten stok te wikkelen, de creativiteit is eindeloos.

Maar eigenlijk was encryptie wel altijd iets van de elite: regeringen, militairen en hele grote industrie. De belangen bij het geheim houden van berichten waren daar het grootste, en de kosten om encryptie te realiseren waren daar te dragen. Voor ‘gewone’ mensen (al dan niet als ondernemer) was encryptie nauwelijks te realiseren, in ieder geval niet op een praktische manier. Na de bredere opkomst van chips en daarna software kon je wel iets met encryptie doen, maar onder strenge regels waaronder het makkelijk kraakbaar maken van je encryptie.

In 1991 kwam daar verandering in. Philip Zimmerman bracht toen het softwarepakket Pretty Good Privacy oftewel PGP uit. Dit programma implementeerde hele krachtige cryptografische technieken middels een (naar de normen van die tijd) eenvoudig te gebruiken interface. De belangrijkste innovatie die PGP op de markt bracht, was die van publiekesleutelcryptografie. Wilde je met een willekeurige persoon veilig communiceren, dan kon je diens sleutel opvragen via een onbeveiligde verbinding. Een meeluisterende aanvaller had daar niets aan, want die sleutel was alleen te gebruiken om berichten te versleutelen en niet om ze te ontsleutelen. Voor dat laatste had iedereen nog een eigen private sleutel.

PGP was een schok in overheidskringen. Zimmerman werd vervolgd voor het exporteren van wapens en munitie, want cryptografie viel in de VS onder de wapenwet (ITAR). Hij werd vrijgesproken, terwijl ondertussen een stel slimmeriken de broncode van PGP uitprintten in een boek dat vervolgens geheel legaal naar Europa gestuurd werd – boeken zijn vrijheid van meningsuiting immers, haha dank u First Amendment – alwaar ze keurig ingescand en ge-OCR’d werden. Daarmee was de geest uit de fles. PGP werd opgevolgd door het vrijesoftwareproject Gnu Privacy Guard (GPG) en vele anderen implementeerden ook sterke, onkraakbare cryptografie.

Deze periode wordt wel de Crypto Wars genoemd: pogingen van overheden om de opkomst en vrije beschikbaarheid van encryptie in te dammen, onder meer door bepaalde cryptografie te verplichten (de Clipper Chip, met achterdeur), sterke encryptie te verbieden en stiekeme pogingen vanuit met name de NSA om encryptie te verzwakken (zoals naar verluidt in DES zou zijn gebeurd, en volgens Snowden-documenten ook de random number generator DualECDRBG). Dat leverde uiteindelijk weinig op: sterke encryptie is goeddeels de norm vandaag de dag.

Volgens sommigen zitten we nu in Crypto Wars 2.0. Die Snowden-onthullingen lieten namelijk ook zien hoe diep geheime diensten in de grote tech-bedrijven zaten mee te luisteren. De reactie daarop was om dan ook alles gelijk cryptografisch dicht te timmeren, niet alleen de interne netwerken maar ook de communicatiekanalen van klanten. (Er waren natuurlijk meer redenen, zoals compliance met persoonsgegevenswetgeving, bescherming van klantcommunicatie tegen meelezende dictators en enigszins cynisch het voorkomen dat je je netwerk hoeft af te laten tappen door Justitie.)

Overheden pushen nu met enige regelmaat het inbouwen van achterdeuren, variërend van lopers (master keys) voor encryptie tot het hebben van een extra sleutel die door Justitie kan worden gevorderd. Techbedrijven en cryptografen zijn daar fel op tegen: dit verzwakt per definitie de beveiliging, en misbruik is niet te detecteren. Daar is niet tegenop te programmeren.

Valt hier juridisch wat van te maken? Als je zegt, het communicatiegeheim is een essentieel deel van de privacy, dan is encryptie een afgeleid grondrecht: een geheim dat triviaal kan worden gebroken, is geen geheim. Encryptie moet dus alomtegenwoordig en sterk zijn om dat grondrecht privacy in de informatiesamenleving te kunnen borgen.

Tegelijk: grondrechten zijn (zelden tot) nooit absoluut. Als er een voldoende diepgaande noodzaak is, dan mag een grondrecht worden ingeperkt of tijdelijk op het tweede plan gezet. Ben je verdachte in een ernstig misdrijf, dan mag je huis worden doorzocht zonder jouw toestemming bijvoorbeeld. Een inbreuk op je privacy (je huis valt daar ook onder) maar legaal want de opsporing van ernstige strafbare feiten vinden we in principe een diepgaande noodzaak.

Vanuit dat perspectief is ook het ontsleutelen van je berichten ‘gewoon’ een maatregel die genomen kan worden bij strafbare feiten. Bepaal bij welke feiten, weeg de voors en tegens af en leg dat vast in een wet en je bent er (de meelezende grondrechtjuristen eisen dat ik nu “noodzakelijkheid, proportionaliteit en subsidiariteit” zeg, dat is formeel de norm).

Heb je nog de praktische implementatie over. Want waar een huis altijd wel te openen is door een goede slotenmaker of desnoods een dikke stormram, en een dikke map met administratie met voldoende mankracht echt wel door te ploegen is, is een versleuteld bestand in principe met mathematische zekerheid niet te openen zonder de sleutel. Heb je mazzel dan is er een foutje gemaakt in de cryptografische software, of staat de sleutel op een geel briefje naast de monitor, maar daar kun je niet op rekenen.

We hebben nu in de wet staan dat wie kennis heeft van de versleuteling van berichten, deze moet ontsleutelen als daar aanleiding toe is (zo’n ernstig misdrijf dus). Dat werkt bij bijvoorbeeld zakelijke e-mail, die vaak versleuteld wordt maar vrijwel altijd met een achterdeur voor de bedrijfscontinuïteit – als Piet ontslag neemt of onder lijn 5 komt, dan moet zijn collega bij zijn mail kunnen. Maar steeds meer software is écht onkraakbaar. Neem WhatsApp, dat end to end encryptie toepast. Alleen afzender en ontvanger kunnen het bericht lezen, WhatsApp zelf kan er gewoon niet bij en die collega ook niet (tenzij hij bij de telefoon kan).

Daarmee heeft de wet een probleem. Want dan kun je wel zeggen “wie kennis heeft”, maar die hééft niemand dan meer (behalve de verdachte, en die kun je niet zomaar verplichten mee te werken – los van dat ‘ie wel gek zou zijn om dat te doen). En dan ontstaat er dus een fundamenteel heel lastige situatie: dat grondrecht privacy is nu wel prachtig gewaarborgd, maar de ruimte die er is om dat grondrecht te beperken voor de opsporing van strafbare feiten, die is nu verdwenen. Weggeprogrammeerd. Code as Constitution: het communicatiegeheim is onschendbaar, punt.

Wat hiermee te doen, weet ik nog niet. Het voelt juridisch een beetje raar dat je een absoluut recht hebt, waar geen inbreuk op gemaakt kán worden. Maar het kan dus kennelijk wel. Fascinerend.

Arnoud

Dochter klaagt ouders aan wegens babyfoto’s op Facebook

Geplaatst op in Privacy, 15 reacties

facebook-duitsland-likeEen achttienjarig meisje uit Oostenrijk heeft haar ouders aangeklaagd omdat die zonder haar toestemming babyfoto’s op hun Facebook-account hadden gepost. Dat meldde Het Nieuwsblad onlangs (dank, Koen). De ouders van de vrouw (sinds wanneer zijn volwassenen ‘meisjes’?) publiceerden dagelijks babyfoto’s van hun dochter, al vanaf dat zij elf was. Dit ondanks aandringen van de dochter. Kan dat?

Ja, op zich kun je je ouders aanklagen. Als je meerderjarig bent, staat niets daar juridisch aan in de weg. Bij minderjarigen is dat wat ingewikkelder, maar het kan ook. De vraag is alleen, hebben de ouders hier iets verkeerd gedaan?

Ook kinderen hebben recht op privacy (en portretrecht valt daaronder). En meer algemeen bepaalt de wet (artikel 1:247 lid 1 en 2 BW) en het VN-Kinderrechtenverdrag dat ouders een zorgplicht hebben om hun kind op te voeden (zie ook deze gastblog van Noortje Mulder ).

Maar zoals altijd met dit soort algemene normen, zijn er geen harde regels over hoe daaraan te voldoen. Het komt dus neer op een belangenafweging: in hoeverre draagt dit bij aan een goede zorg voor het kind, welk privacybelang heeft het kind en welk gerechtvaardigd belang mogen de ouders daar tegenover stellen?

Van publicatie van babyfoto’s van jezelf zullen weinig elfjarigen en ouder erg blij worden. Maar is gêne voelen over wat je ouders doen genoeg voor een schadeclaim? Dat gaat me ook weer wat ver. Misschien moet je het dan zoeken in de reden van publicatie. Een foto of wat tonen aan geïnteresseerden, dat is nog ergens informatief en blijft tussen de ouders en hun vrienden. Maar op Facebook meer dan 500 foto’s zetten waar de hele wereld het kan zien – en dus ook vrienden/vriendinnen van het kind – maakt het een ander verhaal. Ergens daartussen ligt denk ik een grens, maar een formule daarvoor is niet te geven.

Wat vinden jullie? Gaan deze ouders te ver, of moet deze dochter gewoon maar tolereren dat haar ouders foto’s plaatsen?

Arnoud

Wanneer zijn luchtfoto’s in strijd met de privacy?

Geplaatst op in Privacy, 21 reacties

drone-camera-vliegenEen lezer vroeg me:

Het weer is de afgelopen dagen weer erg mooi en dat betekent dat er weer diverse vliegtuigen luchtfoto’s aan het maken zijn, zie bijvoorbeeld deze. Nu vraag ik me af in hoeverre dit juridisch geregeld is, en hoe je privacy gewaarborgd is? Voor zover ik weer mogen zowel burgers en overheid gewoon foto’s maken vanaf de openbare weg. Ik neem aan dat de lucht daar ook onder valt? Maar hoe zit het met portretrecht?

De regels over privacy en portretrecht zijn algemeen, en gelden net zo goed voor foto’s genomen vanuit een vliegtuig als voor foto’s genomen vanuit een auto of lopend op de stoep.

Je mag op de openbare weg fotograferen en filmen wat en wie je wilt (tenzij je overlast veroorzaakt door bv. de weg te blokkeren of mensen lastig te vallen of te stalken). Dat geldt ook voor privéterrein als dat vanaf de openbare weg te zien is.

Wanneer mensen herkenbaar in beeld komen, kan hun privacy in het geding komen bij publicatie. Dit is waar het portretrecht over gaat: bij publicatie moet je een afweging maken van de nieuwswaarde/informatiewaarde van de foto versus de privacy van de geportretteerde. Ook via de Wet bescherming persoonsgegevens (een foto is een persoonsgegeven) kom je op die afweging uit.

De eerste vraag bij een luchtfoto is dus: zijn mensen herkenbaar? Afhankelijk van hoogte en resolutie is dat zeker geen gegeven. Als mensen niet redelijkerwijs herkenbaar zijn voor de gemiddelde ontvanger van de foto, dan is de privacywet niet van toepassing.

Zijn mensen wél herkenbaar, dan kom je dus bij die belangenafweging. Ik denk dat je wel een sterke privacyclaim hebt, zeker als je je op privéterrein bevond toen de foto werd gemaakt. Je verwacht immers niet van bovenaf gefotografeerd te worden. Je hebt vaak wel iets van zicht op de straat (of een schutting) waardoor je daar een afweging kunt maken, maar naar de lucht toe niet.

Daar zie ik geen sterke nieuwswaarde tegenover. Natuurlijk, een luchtfoto is interessant en informatief maar de personen op die foto zijn in beginsel volstrekt irrelevant. Dat is niet waar je luchtfoto’s voor maakt. Daarmee wint de privacy dus van de informatievrijheid en moeten mensen worden geblurd.

Arnoud

Wat is beter voor open source: rechtszaken of praten?

Geplaatst op in Intellectuele rechten, 16 reacties

gpl-sans-plombeOh oh, Linus Torvalds in de bocht in een discussie bij de Linuxfoundation over GPL handhaving. Dan weet je het wel. De stelling was: “we can all decide to give up on the GPL, or we can enforce it in Courts.” Torvalds, zeer karakteristiek: “this arguing for lawyering has become a nasty festering disease, and the SFC and Bradley Kuhn has been the Typhoid Mary spreading the disease.” De juristerij als builenpest, oké dan. Heeft hij een bult, eh punt?

Handhaving van de GPL bij de rechter komt zelden voor. Afgezien van een paar simpele kortgedingzaken in Duitsland is er niemand die daarover echt procedeert. Daardoor ontstaat er enige onzekerheid in de markt: hoe ver gaat die GPL nou, wat mag er wel of niet. Maar het omgekeerde komt ook voor: geen rechtszaken, dan geloof ik het wel en ga ik gewoon doen wat ik wil totdat ze piepen.

Dat piepen, dat gebeurt regelmatig. De Linux-mensen, maar ook vele anderen, steken een hoop energie in het aanspreken van bedrijven en instellingen die de GPL niet netjes naleven. Informeel en achter de schermen, joh er gaat iets niet helemaal lekker, mag ik je een tip geven? En vrijwel altijd heeft dat effect, zij het dat het enige tijd kan duren. (Ik spreek uit persoonlijke ervaring vanaf de ‘andere kant’ van die tips.)

Zie je een overtreding van de GPL op jouw code, dan kún je natuurlijk ook een blafbrief sturen en daarna naar de rechter. Dat heeft nog niemand gedaan, mogelijk vanwege de kosten en het gedoe. Ook de onbekende status van de GPL speelt een rol – ga je wel winnen, zegt de rechter niet bijvoorbeeld iets doms straks over afgeleide werken waarmee de GPL tandeloos zou worden.

Torvalds:

But quite apart from the risk of loss in a court, there real risk is something that happens whether you win or lose, and in fact whether you go to court or just threaten: the loss of community, and in particular exactly the kind of community that can (and does) help. You lose your friends.

En dat is natuurlijk waar. Als je iemand aanklaagt, verstoor je de relatie. Want welk bedrijf je ook dagvaardt, de reactie zal eigenlijk altijd hetzelfde zijn: de luiken gaan dicht, een externe advocaat doet de correspondentie en alle banden met het OSS-project in kwestie gaan de ijskast in want alles kan tegen je worden gebruikt. Van zo’n klap herstel je niet makkelijk. En als je dat als community doet, loop je ook de kans dat ánderen gaan denken, die club daar moeten we van wegblijven want die klagen je aan, raar spul dat open source. Dus het is zeker niet gezegd dat het een goede move is.

Natuurlijk, het gevolg van de Linus-aanpak is wel dat sommige gebruikers wegkomen met licentieschendingen. Dat voelt oneerlijk; doe jij veel moeite netjes compliant te zijn, gaat je buurman je de pas afsnijden met in feite gejatte code. En dan zegt die Torvalds “heb geduld, we spreken ze nog wel een keer en over een jaar of twee draaien ze vast bij”. Logisch dat je daar juridisch van gaat dreigen. Maar dan kom ik weer bij het juridische punt: hoe groot acht je de kans dat je gaat winnen, en wat heeft jouw rechtszaak dan voor gevolgen voor de community?

Arnoud