Weg met dat modelcontract voor de zzp’er!

pen-contract-ondertekenen-algemene-voorwaardenDe Belastingdienst heeft van de afgehandelde modelovereenkomsten voor zelfstandigen bijna de helft afgekeurd. Dat meldde Nu.nl gisteren. Een modelovereenkomst is de vervanger van de Verklaring arbeidsrelatie (VAR). In plaats van dat de Belastingdienst zegt “meneer is zzp’er en geen werknemer” moet je nu het contract overleggen dat je met je klanten hanteert, en dan gaat de Belastingdienst kijken of daar werknemer-achtige bepalingen in zitten. En nee, dat was geen goed idee.

Het probleem van de VAR was dat het lastig controleren is voor de Belastingdienst of iemand écht als zelfstandig ondernemer opereert of toch als werknemer. Dan kun je wel een algemene verklaring afgeven maar daar is dan makkelijk misbruik van te maken. Oké, snap ik.

De oplossing was dan dus dat je je standaardcontract en/of je algemene voorwaarden voorlegde aan de Belastingdienst, die dan keek of er dingen in stonden die een echte ondernemer niet zomaar zou opnemen. Jezelf kunnen laten vervangen bijvoorbeeld, of vrij zijn in hoe je het werk invulde. Een ondernemer zegt immers niet, “ik zit om 9 uur aan je bureau te typen”, maar “het werk is vrijdag om 12 uur af”.

Op zeker moment is er bedacht dat het handig is dat er modelcontracten waren waarmee je kon werken als ondernemer. Die contracten waren dan gescreend en goed bevonden, dus dat werkt een stuk makkelijker. Plak je eigen algemene voorwaarden er eventueel bij en je kunt aan de slag. En dat was een heel slecht idee. (En nee dat zeg ik niet omdat ik zelf modelcontractgeneratoren heb die zzp’ers nu minder interessant vinden.)

Het grote probleem met die modelcontracten is dat er weinig duidelijkheid mee gecreëerd wordt. Je kunt immers op honderd manieren opschrijven dat je jezelf mag laten vervangen, dat je zelf je wijze van belonen bepaalt en werkt als je daar zélf zin in hebt. Bovendien staat elk modelcontract vol met allerlei fiscaal irrelevante bepalingen, van rare aansprakelijkheidsbeperkingen tot willekeurig gekozen levertijden, auteursrechtregelingen en ga zo maar door.

Ik snap er werkelijk niets van waarom dit systeem is gekozen. Als je wilt afdwingen dat zzp’ers werken onder bepaalde regels, dan lijkt het mij veel simpeler om te zeggen: hier zijn de contractuele regels voor de fiscus, copypaste dit (of verwijs naar het Besluit waar je ze in hebt opgesteld) en niets uit je contract mag dat tegenspreken. De rest is dan nog ter vrije bepaling van de ondernemer. Zo moeilijk kan dat toch niet zijn?

Arnoud

Mag je info@ adressen spammen? (en een webdevelopervacature)

spam-verboden.pngNaar aanleiding van onze vacature voor een webdeveloper met dreigende taal tegen acquisitie kreeg ik onder meer deze reactie via Twitter:

Een algemene [acquisitiemail] naar info@ is denk ik wel vrijgesteld (art 11.7 2a). (niet van mij hoor)

Die dreigende taal? In onze vacature hebben wij staan:

Acquisitie op basis van deze advertentie wordt niet op prijs gesteld en kan juridische consequenties hebben.

De juridische consequenties zouden dan een tip bij de ACM zijn wegens spammen: het ongevraagd sturen van commerciële berichten is immers verboden (art. 11.7 Telecommunicatiewet). Ook als het maar één mail is die op maat geschreven is. Of wellicht gaan we civiele schadeclaims indienen op diezelfde grond.

Maar dat lid 2a dan? Inderdaad, er staat een uitzondering op het spamverbod in de wet. Bij bedrijven (zowel eenmanszaken als rechtspersonen) is geen toestemming nodig als je een commerciële mail stuurt

indien de verzender bij het overbrengen van de communicatie gebruik maakt van elektronische contactgegevens die door de gebruiker daarvoor zijn bestemd en bekendgemaakt, en deze zijn gebruikt in overeenstemming met de door de gebruiker aan die contactgegevens verbonden doeleinden, of

Oftewel, als je zégt “stuur me hier alsjeblieft een aanbieding” op je website dan is het geen spam als mensen dat doen. Ik heb deze clausule nooit begrepen, volgens mij geef je gewoon tóestemming dan wel vraag je om deze aanbieding dus dan is het niet meer ongevraagd. Maar goed.

Een info@ adres is gewoonlijk voor algemene communicatie een bedrijf, en meestal wordt dat ook wel bekendgemaakt met teksten als “Vragen, interesse, mail ons!”. Mag je daaruit concluderen dat het info@ adres mag worden gespamd?

Dat gaat me toch wat ver. De wet vermeldt dat het adres daarvoor moet zijn bestemd en bekendgemaakt, oftewel voor het soort berichten dat de spammer stuurt. Ik denk dat dat toch echt betekent dat het een specifieke aanduiding moet zijn: “Kent u iemand die deze vacature kan vervullen of kunt u bemiddelen, dan horen we graag van u”. Of “Wie goedkope toner voor onze fax heeft, laat het even weten”. Er moeten immers bepaalde doeleinden bij staan en je moet in overeenstemming daarmee handelen.

Dus nee, het gaat me te snel om te zeggen dat je info@ adressen mag spammen. Je zult echt moeten laten zien dat het adres voor jouw soort berichten is opengesteld, en dat vereist meer dan enkel “info@ is de verzamelbak voor alles”.

Enne oh ja die vacature: Laravel, Symfony, Elastic én juridische zaken, wat wil je nog meer. Reageren kan tot 23 september! (update: schaam over typefout in Laravel en Symfony)

Arnoud

Hoe kun je voldoen aan een beveiligingsplicht én een achterdeurplicht?

brakke-beveiligingEen lezer vroeg me:

Sinds kort hebben we een wet tegen datalekken. Die zegt dat je je beveiliging zo goed mogelijk moet regelen. Maar nu lees ik dat er allerlei voorstellen in de maak zijn om end-to-end encryptie te verbieden. Hoe kun je nu aan twee zulke tegenstrijdige wetten tegelijk voldoen?

Van tijd tot tijd krijgen overheden het inderdaad in hun hoofd dat het een goed idee zou zijn om sterke en dus niet-aftapbare encryptie te verbieden of aan banden te leggen. Het niet kunnen meelezen met digitale communicatie is voor inlichtingen- en opsporingsdiensten nogal vervelend.

Dat zo’n wet een sterke negatieve invloed heeft op de beveiliging, staat buiten kijf. De technische feature van een achterdeur is neutraal: iedereen met de juiste toegang kan deze gebruiken, of hij daar nu toe gerechtigd is of niet.

Tegen ongeautoriseerde toegang hebben we sinds 1 januari een Wet meldplicht datalekken. Deze is breder dan enkel melden: ook op het niet goed op orde hebben van je beveiliging staan nu boetes. Moedwillig een achterdeur inbouwen kan daarmee in strijd zijn. Je verzwakt dan de beveiliging en maakt misbruik mogelijk.

Echter, hier zou het dan gaan om een wettelijk voorgeschreven achterdeur. Enkel het hebben van die achterdeur zal dan geen strijd met deze beveiligingseis opleveren. Wetten kunnen niet met elkaar in strijd zijn, is de gedachte daarachter: als er toch strijd lijkt te zijn, moet je gaan puzzelen hoe je de wetten met elkaar in overeenstemming kunt lezen.

Ik zie daar wel ruimte voor: die achterdeur moet er dan komen en dat is dan niet strijdig met je beveiligingsplicht of datalekmeldplicht. Gebruik daarvan door bevoegde opsporingsambtenaren is dan geen datalek, dat is dan immers wettelijk toegestaan en dus geen misbruik of ongeautoriseerd gebruik.

Natuurlijk moet je dan ook die achterdeur goed beveiligen (organisatorisch en technisch) tegen wél ongeautoriseerd gebruik. Dat is lastig en duur, maar dat is dan een onvermijdelijk uitvloeisel van een wettelijke plicht.

Is de winkel aansprakelijk voor een softwareupdate aan mijn telefoon?

apple-iphone-6Een lezer vroeg me:

Ik heb een Sony Z3 Compact. Sinds de (door Sony geleverde) upgrade naar Android 5.1.1 heb ik – en velen met mij – problemen met de GPS module. Kan ik daar de verkoper op aanspreken? Die zegt namelijk dat updates achteraf iets tussen mij en de fabrikant zijn. Maar dit is toch een conformiteitsprobleem?

In principe is de winkel verantwoordelijk voor de conformiteit van de telefoon gedurende de gehele levensduur. Maar als derden dingen toevoegen, dan kun je dat moeilijk de winkel verwijten.

Hier is het echter niet zomaar een derde, maar de fabrikant zelf. Die speelt een bijzondere rol: wat hij zegt over het product, is in principe deel van de conformiteit (art. 7:18 lid 1 BW). Reclame-uitingen van de fabrikant (bv. over de hoeveelheid opslagruimte) kun je dus tegen de verkoper inzetten als die niet waar blijken.

Mijn gedachte is dan: als dat geldt voor uitspraken, waarom dan niet voor software-updates? Het lijkt me meer van hetzelfde, alleen dan in nullen en enen.

Wel denk ik is dan van belang hoe verplicht de update was. Als de fabrikant een losse update op de site zet, en je kunt kiezen die al dan niet te downloaden, dan vind ik dat wat anders dan wanneer de telefoon zo geconfigureerd is dat de updates automatisch binnengehaald en geïnstalleerd worden. In dat laatste geval hoort die update-functionaliteit bij de telefoon, en dan is een fout in een update gewoon een conformiteitsprobleem.

Bij een losse update die je zelf optioneel kunt installeren vind ik dat lastiger te verdedigen. Dat is meer een accessoire, een eigen keuze, ook al komt die van de fabrikant van je telefoon. Natuurlijk kun je de fabrikant aanspreken voor fouten in een update (en de EULA die zegt van niet is vernietigbaar) maar dat is toch van een andere orde dan gewoon terug naar je Nederlandse winkel.

In de praktijk gaat het natuurlijk anders: Sony komt na enige tijd met excuses en en nieuwe update, en we gaan vrolijk verder met z’n allen.

Arnoud

Ben ik eigenaar van de augmented reality op mijn perceel?

pokemon-goEen lezer vroeg me:

Het terrein rond mijn huis (een Rijksmonument) is erg populair bij Pokémon Go-spelers, er blijkt hier een zeldzaam beestje te zitten. Allemaal leuk en aardig, en als mensen netjes aanbellen dan wil ik ze best nog eens binnen laten, maar er zijn ook mensen die over het hek klimmen. Kan ik daar wat aan doen bij Niantic, is dat plaatsen van die beestjes niet een inbreuk op mijn eigendomsrecht?

Het eigendomsrecht is het meest veelomvattende recht dat je op een zaak zoals een huis kunt hebben. Jij bent de baas en jij beslist wat er mee gebeurt, en daar hoef je geen redenen voor op te geven. Wil je dus geen Pokémonspelers in je tuin, dan hebben ze buiten te blijven.

Alleen: hier gaat het niet om het eigendomsrecht in de fysieke wereld, maar om een virtueel eigendomsrecht. Zeggenschap over welke augmentations dienstverleners zoals Niantic toevoegen aan je huis. Dáár is het eigendomsrecht niet voor gemaakt, en volgens mij ook niet voor bedoeld. Het lijkt me niet goed te werken om te zeggen dat je als eigenaar toestemming moet geven voor augmented reality-gebruik van je eigendom. Al is het maar omdat Google Maps dan óók ineens onmogelijk wordt, immers straatnamen of informatie over een huis projecteren is óók augmented reality.

Er is wat mij betreft eigenlijk niet eens een augmented reality. Het is gewoon een dienst, waarbij men handig gebruik maakt van transparante afbeeldingen. Het gaat me te ver om die dienst onmogelijk te maken (want dat doe je met zo’n toestemmingseis, zeggen “het mag met toestemming” is hetzelfde als “het mag niet”). Natuurlijk, aan overlast moet wat worden gedaan maar daar zijn andere instrumenten voor.

Arnoud

Mogen wij aangekochte foto’s ook op Linkedin publiceren?

stockfoto-stockphoto-stock-sxc.jpgEen lezer vroeg me:

Bij ons bedrijf bloggen veel medewerkers, en daarbij plaatsen we dan foto’s uit betaalde beeldbanken. Die blogs zetten we ook door op bijvoorbeeld LinkedIn, maar mag dat eigenlijk wel? Zo’n LinkedInprofiel zien wij als eigendom van de medewerker, dus treden we dan niet buiten de licentie die voor ons bedrijf geldt?

Heel formeel geldt het gebruiksrecht alleen voor de koper, het bedrijf dus. Een ander – ook als die toevallig werknemer is – mag dat recht niet uitoefenen.

Echter, werknemers mogen de foto gebruiken voor alles dat met het werk te maken heeft. Dan is het formeel gezien nog steeds het bedrijf dat de foto gebruikt. Een werknemer is niet meer dan een handje van het bedrijf.

Of werknemers zo’n foto op Linkedin mogen zetten, hangt er dus vanaf hoe jullie Linkedin inzetten bij het werk. Zijn deze blogs deel van het werk? Het lijkt me van wel, en mensen publiceren het ook vanuit hun functie. Dus dat zie ik dan als publiceren van het bedrijf met de naam van een handje erbij.

Dit wordt nog wel eens ingewikkeld bij een profielfoto. Die is ook gemaakt (en betaald) bij de huidige werkgever, dus die mag dan niet zomaar worden meegenomen. Maar voor werknemers is die foto ‘hun’ foto en dus logisch dat je ‘m blijft gebruiken.

Arnoud

Mag WhatsApp data gaan delen met Facebook?

whatsappChat-app WhatsApp gaat standaard accountinformatie van gebruikers delen met Facebook, zodat het sociale netwerk relevantere advertenties gaat aanbieden. Dat meldde Tweakers vorige week. Wie dat niet wil, kan het uitzetten (klik gerust, ik wacht wel even) maar moet wel bedenken dat Facebook dan minder optimaal “spam [kan] bestrijden en advertenties relevanter [] maken”. Maar ik mis iets, mag dit zomaar?

“We have not, we do not, and we will not ever sell your personal information to anyone. Period. End of story”. Dat was ooit de stoere uitspraak van de chatdienst over privacy. Dat werd bevestigd na de aankoop door Facebook – WhatsApp zou een autonoom bedrijf blijven. Maar al is de marketingmeelbal nog zo snel, het wijzigingsbeding achterhaalt hem wel. Want uiteraard had ook WhatsApp ergens in de voorwaarden een “Wij mogen deze voorwaarden herzien en als je dat niet bevalt dan hoepel je maar op”-clausule.

En ja, zulke clausules zijn legaal. De wet ziet WhatsApp als niet anders dan een schoonmaakbedrijf dat elke week je huis komt reinigen. Dienstverlening moet van tijd tot tijd kunnen wijzigen, en het is dan logisch dat de opdrachtgever mag opzeggen. Logisch bij schoonmaken en dergelijke, iets minder logisch bij online diensten en apps. Want dan krijg je dus dit soort dingen.

Privacytechnisch zie ik ook weinig dat je kunt doen. Want ja, de gegevens die ze gaan delen zijn persoonsgegevens onder de Wbp en straks de Privacyverordening (check die cursus) en nee dat mag niet zonder uitdrukkelijke toestemming worden gekoppeld (ook in de VS niet) maar daar komt vast een draai dat stilzitten uitdrukkelijk instemmen is, want dat is het bij de cookiewet ook. Sorry, ik ben alweer rustig.

Ik werd nog getroffen door de reactie van ‘Rainbow’ bij Tweakers:

Wat ik persoonlijk het meest bezwaarlijk vind is dat je er niet onderuit kan, ook als je zelf geen WhatsApp gebruikt (en dus niet hebt ingestemd met de gebruikersvoorwaarden van die dienst). Voorheen was dit nog niet echt een probleem, omdat de privacyvoorwaarden van WhatsApp wel prima waren, ze verzamelden de gegevens, maar deden er in principe niets mee. Nu dus wel.

En dat is hier nog wel een hele interessante. Want inderdaad, bij WhatsApp worden ook telefoonnummers van niet-gebruikers opgeslagen. Hoewel in Nederland alleen als hash zodat niet-gebruikers van WhatsApp beter beschermd zijn, zoals de Autoriteit Persoonsgegevens eind 2015 nog meldde. Maar “hashen == privacy” is ook een beetje overrated: matchen blijft gewoon mogelijk, alleen moet Facebook nog even de hash van de bij haar bekende 06-nummers berekenen. Alleen gebruikers wier 06 niet bij Facebook bekend is (oeps, handig joh die tweefactorauthenticatie), zouden nu buiten schot moeten blijven. Ik ben benieuwd.

Arnoud

Hoe krijg ik na bestelling akkoord op het contract?

dode-boom-papier-contractEen lezer vroeg me:

Hoe laat ik een klant na een online bestelling het beste akkoord gaan met een contract? We werken nu met documenten die ze moeten uitprinten, ondertekenen en retourneren maar dat is nogal bewerkelijk.

Het plaatsen van een bestelling is juridisch gezien hetzelfde als een akkoord op een contract. Een ondertekening is zelden echt van belang, tenzij je bang bent dat klanten gaan ontkennen iets besteld te hebben.

Toch zie ik veel bedrijven die nog steeds een bestelling via een prachtige webshop uiteindelijk laten uitmonden in een stuk papier dat je moet printen, ondertekenen en opetenterugsturen, waarbij een scan per mail vaker niet dan wel in orde is. Heel raar, en ik kan afgezien van “dit doen we al dertig jaar” daar eigenlijk geen goede reden voor bedenken.

Natuurlijk, een ondertekend stuk papier levert tussen partijen dwingend bewijs op van wat ze hebben afgesproken. Je staat dus sterker. Alleen: het gaat dan om geschillen waarbij de klant zegt “ik heb nooit iets besteld” of “de prijs was toch echt 5 euro” of iets dergelijks. In mijn ervaring gaat het zelden over wat er in het afsprakendocument staat, maar juist over hoe je dat moet interpreteren. Of over wat je juist niet had opgeschreven. “Er staat niks over btw maar zakelijke prijzen zijn toch altijd ex” of “ze zijn #cc0000 van kleur en we hadden toch #dd0000 verwacht” bijvoorbeeld. Daar kom je ook met een getekend contract niet zonder kleerscheuren uit.

Bij automatische incasso ligt het een heel klein beetje genuanceerder. Formeel moeten incasso’s op papier, en is een online gezet vinkje met “Ik geef toestemming voor deze incasso” niet rechtsgeldig. Maar in de praktijk is dit zó ingeburgerd dat ik me nauwelijks kan voorstellen dat dat ooit nog een probleem wordt. Bovendien, als je een incasso intrekt dan moet je natuurlijk nog steeds gewoon je rekening betalen als je een overeenkomst hebt.

Arnoud

Amerikaanse telecomwaakhond dwingt TP-Link open firmware toe te staan

tp-link-router-firmwareDe FCC heeft een schikking getroffen met TP-Link van 200.000 dollar omdat verschillende wifi-routers van het bedrijf de radiofrequentieregels van de VS overtraden, las ik bij Tweakers. De routers konden met hoger vermogen zenden dan toegestaan. De schikking komt met een opmerkelijke uitkomst: het bedrijf zal opensourcefirmware toestaan op haar routers, iets dat sowieso vrij zelfzaam is in routerland.

De Amerikaanse toezichthouder FCC had op zeker moment nieuwe regels opgesteld over zenden op de 5 gigahertz-band. Een routermaker mocht ook derden niet meer toestaan op die band uit te zenden. TP-Link koos er voor deze regel na te leven door gewoon het installeren van software van derden onmogelijk te maken.

De FCC fluit TP-Link nu terug: dit gaat te ver, je had er enkel voor moeten zorgen dat die software van derden netjes omgaat met de 5 GHz-band. En om een duidelijk voorbeeld te stellen, wordt er gekozen voor een schikking waarbij TP-Link expliciet het mogelijk zal maken dat derden eigen firmware op mogen gebruiken.

Een uitdaging lijkt me, want TP-Link moet nog steeds wel ervoor waken dat de zendregels niet worden overtreden. Het zendvermogen op de 2,5GHz band mag niet meer zijn dan 100mW, en firmware moet dat niet kunnen aanpassen. De vraag is dus of je wel zinnige firmware kunt maken én dat soort regels kunt bewaken.

Arnoud

Mag je een op maat geassembleerde pc retourneren?

hardware-software-computer-gollem-huh.jpgInteressante discussie bij Tweakers:

ik heb onderdelen bij Azerty besteld en deze laten assembleren tot een computer. Nu vraag ik me af of ik recht heb om de computer binnen 14 dagen te retourneren, volgens azerty niet omdat het een op maat bestelde computer betreft, maar op internet kom ik verschillende meningen hierover tegen.

De wet zegt dat je bij een online aanschaf altijd recht hebt het bestelde binnen 14 dagen na ontvangst te retourneren, behalve in een paar specifiek genoemde gevallen (art. 6:230p BW). Eentje daarvan gaat over maatwerk, maar de tekst van het artikel is iets specifieker:

de levering van volgens specificaties van de consument vervaardigde zaken, die niet geprefabriceerd zijn en die worden vervaardigd op basis van een individuele keuze of beslissing van de consument, of die duidelijk voor een specifieke persoon bestemd zijn;

Het gaat hier om een computer waarvan de onderdelen standaard en geprefabriceerd zijn. Zou je een doos losse onderdelen bestellen, dan is er geen twijfel mogelijk: die doos mag terug en je geld ook. (Hooguit met aftrek van eventuele schade door het zelf in elkaar zetten om te testen.) Maar de winkel zet het product hier in elkaar, en gaat daarbij af op de specificaties van de consument. Kun je die computer dan een zaak noemen die op zo’n individuele keuze is vervaardigd?

De ACM vindt van niet:

Hieronder staan voorbeelden van situaties waarbij de bedenktijd gewoon geldt. En waarvoor dus geen uitzondering geldt: (…) Computers die zijn samengesteld op verzoek van de consument.

Helaas staat er niet bij waarom. Gezien de andere voorbeelden (kleding in verschillende maten, standaard maten gordijnen) denk ik dat het argument is dat de keuzeruimte van de consument te beperkt is. Of het zit hem in de relatief kleine moeite van het assembleren en disassembleren bij computers. Een maatpak kun je niet terugdraaien naar een rol stof, een computer kan wel weer terug naar een doos onderdelen die opnieuw verkocht kunnen worden.

Wat vinden jullie? Moet een computer op maat retourneerbaar zijn (uiteraard zonder schade en grappen) of gaat dat te ver?

Arnoud