Je bent als bedrijf aansprakelijk voor stiekem geïnstalleerde software door je werknemer

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 28 reacties

camera-laptop-video-chat-gesprekEen werkgever is aansprakelijk voor illegale software geïnstalleerd door een werknemer, en daarbij maakt het niet uit of dat expliciet verboden was door de werkgever. Dat maak ik op uit een recent vonnis (via) van de rechtbank Rotterdam. Er is sprake van zogeheten risico-aansprakelijkheid: ongeacht wat je doet, je draait op voor eventuele inbreuken op auteursrechten door je personeel. Auw.

In deze zaak ging het om het CAD-pakket Solid Edge van Siemens. Het aangeklaagde bedrijf had keurig zeven licenties daarop aangekocht, maar op zeker moment nam een werknemer nog een achtste kopie in gebruik. (Waarom? Tussen de regels door lezend vermoed ik dat de gekochte versies beperkt waren in functionaliteit en de achtste kopie een gekraakte full versie.)

De software had bel-naar-huis functionaliteit, zodat Siemens op de hoogte kwam van de licentieschending en besloot beslag te leggen op de laptop waar die kopie op stond. Iets dat in het Nederlands recht gewoon kan als opmaat naar een rechtszaak, en die kwam er dan ook.

Maar hoe kun je als werkgever aansprakelijk zijn voor zo’n illegale stunt van je werknemer? Nou simpel, dat staat in de wet en wel als risico-aansprakelijkheid (art. 6:170 BW): als het gebeurt, dan ben je aansprakelijk. Dat is je risico als je werkgever bent. Het doet er niet toe of je de werknemer hiertoe had aangezet of het hem juist had verboden. De wet legt de lat heel laag. Het gaat erom of de kans op de fout door de opdracht tot het verrichten van de opgedragen werkzaamheden is vergroot. En daarvan is hier sprake zegt de rechter:

Daarvan is sprake omdat aan de werknemer ‘administrator’-rechten zijn verleend. Weliswaar had dit tot doel dat hij gratis applicaties kon downloaden voor het programmeren van complexe machines, maar hierdoor kreeg hij tevens de mogelijkheid het softwareprogramma op zijn laptop te plaatsen. Dat Maverick Manufacturing zich daarvan bewust was, volgt uit de omstandigheid dat zij op 15 oktober 2015 onmiddellijk heeft geprobeerd het softwareprogramma van de laptop te verwijderen toen zij ermee bekend raakte dat beslag tot afgifte werd gelegd.

Die laatste zin is natuurlijk redelijk dodelijk, maar de eerste vind ik intrigerender. Als je je werknemers toestaat legale software te installeren, dan neem je dus het risico (en de aansprakelijkheid) op je dat ze illegale software erbij zetten. En daar draai jij dan voor op, ook als je expliciet erbij had gezegd dat dit écht niet mag:

Voor het aannemen van aansprakelijkheid in de zin van art. 6:170 BW is niet relevant of werknemers gevolg geven aan een dergelijk verbod. Evenmin is voor het aannemen van aansprakelijkheid relevant dat software gemakkelijk van internet is te downloaden en dat dit buiten het zicht van Maverick Manufacturing heeft plaatsgevonden (…).

Het bedrijf moet dus de schade van Siemens (13.000 euro licentie- en onderhoudskosten en 5.000 opsporingskosten) plus advocaatkosten (een kleine 10.000 euro) vergoeden door deze fout.

Een grote strop die ze onmiddellijk gaan verhalen op die werknemer? Vergeet het maar. Allereerst moet er sprake zijn van opzet of bewuste roekeloosheid (art. 7:661 BW), en dat is een hoge lat. Iets doen dat je expliciet verboden is, voldoet nog niet aan deze eis. Je zult echt moeten bewijzen dat de werknemer dit deed met het oogmerk de werkgever schade te berokkenen.

Ze vanaf nu laten tekenen voor persoonlijke aansprakelijkheid? Ja, leuk geprobeerd maar die kennen we ook al: lid 2 van datzelfde artikel zegt dat dat alleen kan bij schriftelijke afspraak – dus in de arbeidsovereenkomst, niet in een later voorgelegd papiertje of reglement – en alleen voor zaken waar de werknemer voor verzekerd is. En dat is geen mens als het gaat om auteursrechtinbreuk. Desondanks zie ik het wel gebeuren dat de nodige werkgevers nu aansprakelijkheidsbriefjes opstellen voor mensen die administrator-rechten willen, maar die zijn dus volkomen waardeloos.

Arnoud

Hoe bewijs ik dat iemand een handtekening heeft gezet?

Geplaatst op in Informatiemaatschappij, 22 reacties

handtekening.jpgEen lezer vroeg me:

Onlangs ben ik aangereden door een bedrijfswagen en ik heb daar (zo bleek achteraf) een whiplash aan overgehouden. De twee inzittenden hebben destijds dat schadeformulier getekend, maar ontkennen nu dat ze die handtekening hebben gezet. Omdat ik achter hen reed (maar zij écht fout zaten) is dit cruciaal. Hoe houd ik ze nu aan dat formulier?

Wie een handtekening zet op een stuk papier, doet daarmee juridisch iets bijzonders: hij maakt een akte en die levert dwingend bewijs op van hetgeen daarin staat (art. 157 Rechtsvordering).

Je kunt er dus (in principe) niet meer onderuit: heb je daar verklaard “hij zat achter me en ik reed onverwacht achteruit want ik was dronken, stom stom stom” dan zit je daaraan vast.

Er is een escape: als je “stellig ontkent” de handtekening gezet te hebben (art. 159 lid 2 Rv), dan zit je er niet aan vast. Tenzij de wederpartij dan kan bewijzen dat je wél getekend hebt.

Dat bewijs leveren mag op alle mogelijke manieren. Heb je een getuige die zag dat er werd gekrabbeld op papier, dan is dat genoeg. Een dashcam die filmde hoe hij zich over de motorkap boog en een krabbelende beweging maakte, levert ook gewoon bruikbaar bewijs op.

Natuurlijk staat dan niet 100% vast dat dít formulier is getekend, maar dan zou je op zoek moeten naar andere discrepanties. Waar is bijvoorbeeld het formulier van de wederpartij (die dus ontkende getekend te hebben)? Het is immers onwaarschijnlijk dat je na een ongeval géén handtekening zet onder een schadeformulier, zeker als er beeld is dat je krabbelt op papier.

In deze zaak werd betwist dat een akte van geldlening was ondertekend. De gedaagde gebruikte daarbij de term ‘stellig’, maar dat vond de rechter niet overtuigend. Er was divers bewijs: er was een getuige bij het opmaken van de akte, en er was diverse keren afgelost op de manier die in de akte stond. Ook leken de handtekeningen wel erg veel op elkaar. Dat bij elkaar opgeteld was voor de rechter genoeg om te concluderen dat de ontkenning niet geloofwaardig was.

Het wordt dus nu een kwestie van op zoek naar bewijs dat er getekend is.

Arnoud

Mag de Volkskrant een portretfoto tendentieus koppen?

Geplaatst op in Privacy, Uitingsvrijheid, 25 reacties

volkskrant-schiphol-veiligDe Volkskrant kreeg boze reacties op de voorpaginafoto van dinsdag, las ik gisteren. In dat artikel kondigde men een groot verhaal aan over beveiliging van Schiphol door het leger (en dus niet meer alleen politie en marechaussee), met een foto van een controle van een man met een “moslim-achtig uiterlijk” (zie plaatje hiernaast, foto Guus Dubbelman). Die was daar niet over te spreken: met de kop “Is Schiphol nog veilig?” direct boven zijn hoofd werd hij toch behoorlijk tendentieus neergezet. Schending van portretrecht?

Nee, zegt de Volkskrant. Het ging om de verscherpte controle, en het beeld laat die zien, niets meer en niets minder. Meneer staat op de foto omdat hij wordt gecontroleerd net als iedereen daar, puur toeval dus. Oké de kop was misschien een tikje onhandig maar uiteindelijk is dat niet heel erg, als ik het goed begrijp.

En trouwens, dat mag gewoon want: “Bij foto’s die kranten in de openbare ruimte maken, weegt het recht op vrije nieuwsgaring in principe zwaarder.” Maar nee. Grondrechten zijn in Nederland gelijkwaardig (HR Van Gasteren/Hemelrijk), het is dus zeker niet zo dat de vrije meningsuiting wint tenzij. Ook niet dat de privacy wint tenzij – het is een belangenafweging waarbij je alle factoren van het geval bij elkaar optelt en dan een conclusie trekt.

In maart hadden we discussie over een foto bij de NOS van een gewonde stewardess bij de aanslag van toen op Zaventem. Soort van dezelfde situatie: de foto liet een actuele en belangrijke nieuwssituatie zien, maar de persoon die herkenbaar centraal stond, was een toevallig onderwerp en niet de focus van het nieuws. In die situatie kun je moeilijk zeggen dat de nieuwswaarde van de foto automatisch over de privacy van die persoon heen gaat.

Daarbij komt dat je een foto niet los van de context kunt zien. En de context wordt hier gezet door de kop, dus die als ‘onhandig maar ach’ aan de kant schuiven gaat niet op. Dat bepaalt in hoge mate of het een privacyschending en/of aantasting van eer en goede naam oplevert.

Verder heb ik er nog moeite mee om hier van ‘gewoon’ een foto aan de openbare weg te spreken. Mensen worden staande gehouden door politie of marechaussee, daarbij kun je moeilijk nog spreken van vrijwillig ergens in de openbaarheid zijn. En dan op de foto gezet worden is dus heel wat anders dan toevallig gewoon langs een openbare camera hobbelen. Als ik een camera zie, kan ik omlopen. Maar als ik staandegehouden ben, kan ik dat niet. Dat weegt óók mee.

Bij NRC las ik nog het argument dat de fotograaf wilde laten zien dat: “Dit is de werkelijkheid. Alleen de moslimmannen worden uit de rij gepikt.” Dat zou kunnen, maar dat is niet uit het artikel terug te halen. En uiteindelijk weeg je nieuwswaarde en privacy op basis van wat er is gepubliceerd, niet wat er gepubliceerd had kunnen worden of wat er oorspronkelijk boven stond voordat de koppenmaker los mocht.

Het gewraakte artikel bevat nu overigens een andere foto die dezelfde politieactie laat zien maar zonder expliciet in beeld zijnde staandegehoude passant. Wat volgens mij het punt onderstreept dat de meneer van de oude foto er echt niet toe doet.

Arnoud

Mag je watermerken van Wikipedia-foto’s verwijderen?

Geplaatst op in Intellectuele rechten, 31 reacties

wikipedia-recht.pngStukje ophef bij Wikipedia: een fotograaf zou sluikreclame toevoegen aan zijn vrijgegeven foto’s, omdat hij een watermerk met zijn naam opneemt in elke foto. Een andere Wikipediaan uploadde daarop aangepaste foto’s met het watermerk eraf, waar de fotograaf bezwaar tegen maakte op grond van zijn intellectuele eigendom. Maar wacht even, alle foto’s zijn toch Creative Commons daar?

Als een fotograaf een werk vrijgeeft onder een CC-BY-SA licentie, dan is het in beginsel toegestaan om het werk aan te passen. Dat staat immers in die CC licentie. Ook als daarmee de naam van de auteur wordt weggehaald. De CC licentie kent geen voorbehoud op dit punt. Alles mag, mits men de aangepaste versie maar ook weer CC-BY-SA maakt.

In beginsel, want specifiek met een aanpassing die namen verwijdert, is wat bijzonders aan de hand. De CC-BY-SA licentie zegt in artikel 4(c) dat naamsvermelding onder meer wil zeggen: “alle auteursrechtvermeldingen met betrekking tot het Werk te laten staan.” Dus of je nu een watermerk met dergelijke informatie mag verwijderen, is geen automatisme. Ik ben geneigd te zeggen dat dit niet zomaar mag.

Wel moet het gaan om een auteursrechtvermelding, dus als ik dan even de formele pietlut speel dan moet er het woord “copyright” of het (C)-teken bij staan. Bij de vermelding van fotograaf Keijsers op bijvoorbeeld deze foto staat dit niet. De tekst “Peter Keijsers Art & More” is een naamsvermelding maar geen auteursrechtvermelding. Deze mag er dus uit. Had er “(C) Peter Keijsers Art & More” gestaan, dan niet.

En er is nog iets bijzonders aan de hand: een naamsvermelding in een werk telt als ” elektronische informatie betreffende het beheer van rechten” in de zin van artikel 29b Auteurswet. Hieronder verstaat de wet:

alle door de maker of zijn rechtverkrijgenden verstrekte informatie welke verbonden is met een verveelvoudiging van een werk of bij de openbaarmaking van een werk bekend wordt gemaakt, die dient ter identificatie van het werk, dan wel van de maker of zijn rechtverkrijgenden, of informatie betreffende de voorwaarden voor het gebruik van het werk

Deze informatie mag niet worden verwijderd als men daartoe niet gerechtigd is. Een vermelding van de maker (ook zonder (C)-teken) valt hieronder, want dat is “identificatie van de maker”. Die mag er dus niet uit, tenzij de licentie toestemming heeft gegeven daarvoor. En ik denk dat de licentie die toestemming geeft, omdat het dus niet gaat om een auteursrechtvermelding.

Alles bij elkaar denk ik dat een ieder het recht heeft deze tekst te verwijderen omdat de foto CC-BY-SA is. Echter, zou de maker een copyright-teken toevoegen aan het watermerk dan is het vanaf dat moment verboden dat watermerk te verwijderen, af te knippen of onleesbaar te maken.

Arnoud

Mogen onze buren mijn overpad filmen?

Geplaatst op in Security, 10 reacties

dome-camera.jpgEen lezer vroeg me:

Onze buren hebben beveiligingscamera’s opgehangen. Deze filmen ook het pad waar wij een recht van overpad over hebben. Mag dat zomaar zonder overleg?

Mensen mogen beveiligingscamera’s ophangen om hun eigendommen, dus ook hun grond, te beschermen. Wel moet er duidelijk worden gewaarschuwd aan bezoekers dat cameratoezicht plaatsvindt.

De openbare weg mag eigenlijk niet worden gefilmd. De jurisprudentie is daar vrij streng in. De weg is niet van jou, dus daar heb je in principe geen noodzaak om te filmen. Maar ik kan dat wel omkeren: als het wél nodig is om de openbare weg te filmen, bv. om je auto te kunnen filmen als er regelmatig iets vernield wordt, dan zou het wél moeten kunnen.

Hier is sprake van een soort tussensituatie. Dat pad is geen openbare weg, maar de buren hebben een recht van overpad. Zij mogen er dus overheen, en hun bezoek ook. Maar het is eigendom van de andere buren, die met de camera’s.

In principe mogen zij een camera ophangen, want ze mogen hun eigendom beveiligen. Maar daarbij moeten ze vanwege het overpad wel echt rekening houden met de privacy van hun buren. De redelijkheid en billijkheid vereisen dit.

Volgens mij volgt daaruit dat je alleen in overleg met je buren die camera’s mag ophangen, en dat als zij dat écht niet willen, je naar iets anders moet zoeken. Maar specifiek hierover ken ik geen jurisprudentie.

Arnoud

Hoe werkt recht dat altijd buigzaam is? #dimorefi

Geplaatst op in Informatiemaatschappij, 15 reacties

internetrechtVandaag is mijn laatste vakantiedag, en toevallig trof ik in mijn inbox een ietwat filosofische vraag over het recht. Eens zien waar we uitkomen.

Een lezer vroeg me:

Dit zit me al een tijdje dwars. Ik lees al een paar jaar je blog, en elke keer als ik denk dat ik snap hoe het recht werkt, blijkt het weer net anders te zitten op grond van een of andere vage regel. Neem die “redelijkheid en billijkheid”: daar kun je alles wel mee rechtbreien of juist verbieden, lijkt het. En als dat niet lukt, dan zeg je gewoon dat het maatschappelijk onzorgvuldig is of tegen de goede zeden. Dat werkt toch helemaal niet op die manier? Hoe kun je nou ooit zekerheid krijgen binnen het recht als het recht altijd te verbuigen is?

Ik herken de frustratie; voor mij is dit hét onderscheid tussen IT-denken en juridisch denken. Of misschien wel alfa- en beta-denken. Waar beta-regels hard en duidelijk zijn, zijn alfa-regels zacht en buigzaam. (Ik moet nu denken aan Bul Super: “Recht is iets kroms dat verbogen is.”)

Dit is voor het recht een feature. Het recht reguleert de samenleving, en de samenleving is niet hard en duidelijk. Er zijn geen wiskundige formules, natuurwetten of axioma’s die het menselijk gedrag duiden. Alle uitspraken over mens en maatschappij zijn dus noodzakelijkerwijs benaderingen, vuistregels.

Wetgeving, en daarvan afgeleid het recht, is daarmee een poging om zo goed mogelijke vuistregels te geven. Ze zijn opgezet als een groots raamwerk dat alles probeert te regelen, geformuleerd als harde regels die duidelijke lijnen zetten. Dat kan de indruk geven dat het harde regels zijn, maar dat is dus niet zo.

Dat de regels soms verbogen moeten worden, is vanuit juridisch perspectief nodig. Soms kom je er gewoon niet uit met de regels. Een situatie is niet voorzien, er zijn hele bijzondere omstandigheden of de regels waren gewoon niet bedoeld voor dit geval. En dan pakken dingen héél onrechtvaardig uit. Je hebt dan een noodrem nodig, of een ventiel zo je wilt, om de uitkomst te corrigeren. Want regulering moet uiteindelijk wel werken, en dat betekent je soms aanpassen aan de realiteit in plaats van de realiteit dwingen in het hokje van de regels.

Een nobel streven, maar echt voorspelbaar is het niet. Neem de matigingsbevoegdheid van de rechter: die mag een schadevergoeding of boete omlaag doen als de billijkheid dat kennelijk eist, zo zegt de wet. In moderne taal: dit bedrag vind ik echt bizar, dat gaan we even niet doen. Ook al staat in het contract keurig een formule hoe je aan die boete komt of is de schade prima onderbouwd. Gewoon, omdat het moet.

In het algemeen kom je op heel weinig plekken harde regels tegen in de wet. De Wegenverkeerswet kent de meeste volgens mij, en dat is vooral omdat handhaving anders gewoon te ingewikkeld wordt. Het zou ahem interessant worden als de Wvw zou zeggen “Rij zoals je wil maar breng niemand in gevaar”. Maar ook daar zijn er uitzonderingen mogelijk: je mag te hard rijden als je met een medisch spoedgeval naar het ziekenhuis rijdt, bijvoorbeeld.

Dit soort vaagheden wreekt zich bij internetdingen, waar regels wel hard en duidelijk moeten zijn omdat ze in software gebouwd moeten worden. Je kunt geen nieuws-scraper bouwen die “het redelijkerwijs benodigd aantal” zinnen overneemt van krantensites, er moet een getal komen. “Onwelvoeglijk taalgebruik” is niet te filteren, maak alsjeblieft een woordenlijst. En wat je dan dus krijgt is een benadering in formulevorm van een vuistregel die juist niet als formule opgezet was. Met automatisch als gevolg dat je de flexibiliteit kwijtraakt die het recht nu net ingebouwd had.

Tegelijk snap ik dat het knap ingewikkeld is om iets te bouwen dat wél die benadering realiseert die het recht ingebouwd heeft. En je moet toch iets. Misschien zijn lerende netwerken (zoals spamfilters) een oplossing. Voer een systeem genoeg testinvoer en het kan op zeker moment zelf fuzzy onderscheid maken. Maar ook dat blijft beperkt, want zo’n systeem zal niet perse dezelfde uitkomst geven als een rechter in een geval dat beiden nog nooit gezien hebben.

Dus nee, het recht is niet rechtlijnig en er zal altijd ruimte zijn waar vooraf weinig zinnigs over te zeggen is. Dit is een feature waar je mee om moet kunnen gaan als ICT-jurist. Daarbinnen vuistregels en benaderingen formuleren die harde uitkomsten leveren is prima, zolang je maar altijd die juridische exception handler hebt voor de rare gevallen.

Arnoud

Gastpost: Hoe T-shaped moet je worden als advocaat?

Geplaatst op in Innovatie, 8 reacties

t-shaped-lawyerOmdat ik met vakantie ben, traditiegetrouw een aantal gastblogs. Vandaag advocaat Nine Damsté over de T-shaped lawyer, en die moest ik ook even opzoeken (klik op plaatje voor Het Concept).

De advocatuur en de rechtspraak proberen te moderniseren. Zo worden er in de rechtspraak digitale dossiers toegevoegd, werken veel meer advocatenkantoren papierloos en in the cloud en proberen wij als advocaten afstand te doen van onze geliefde fax. Dat laatste lukt nog niet helemaal. Ook bloggen wij ons rot en kreten wij steeds meer moderne, vaak Engelstalige leuzen uit om onze waar aan de markt te kunnen brengen.

Dit kijken wij af van de giganten van deze wereld. Zo adverteert Coca Cola al jaren met de slogan Open Happiness. U moet toegeven dat dit veel beter klinkt dan “Open Vrolijkheid”. Gek genoeg, en dan terugvertaald naar de frisdrankwereld, adverteren advocatenkantoren nog steeds als volgt: “Wij zijn een grote Frisdrankfabriek. Wij hebben vestigingen in Amerika. Wij werken in een goed team samen waar iedereen wat weet over frisdrank. De een weet wat over doppen, de ander over koolzuur. Dat maakt onze frisdrank érg lekker!”. Kortom: de advocatuur staat nog in de kinderschoenen als het gaat om marketing, profilering en pakkende leuzen. Ik denk dat dat komt omdat het lang verboden was om als advocaat reclame te maken voor de dienstverlening, en het stereotype advocaat – die beschrijf ik zo – misschien niet hip kan zijn. De advocatuur probeert dit besmette beeld van zich af te schudden en lijkt massaal een inhaalslag te maken op marketinggebied. Dat leidt echter tot bijzondere en soms haast aandoenlijke pogingen.

Een ‘normale’ advocaat – het stereotype – is iemand met behoorlijk wat vlieguren, een strenge blik, grijze haren en een gouden plakkaat aan de deur waarop zijn titels staan vermeld. Deze advocaat wordt inmiddels verdrongen door de “moderne jurist(e)”, waarvan ik nog altijd zelf niet precies weet wat het betekent. Ik weet wél dat een moderne jurist(e) ook wel een T-shaped lawyer wordt genoemd die werkzaam is binnen de dynamische wereld van de advocatuur 2.0 of zelfs 3.0. Ook van deze laatste definitie moet ik u een precieze uitleg schuldig blijven. Maar het klinkt erg smooth, en wij proberen allemaal zo’n T-shaped lawyer te zijn. Maar kunnen wij dat eigenlijk wel? En wat is het eigenlijk?

Enkele mooie aspecten van mijn beroep vind ik de diepgewortelde tradities, het dragen van een toga en het gebruik van moeilijke woorden. Ook de balie, de gedragsregels en het aanspreken van collegae met “amice” en “amica” kan ik van genieten. Het imago van de strafpleiter en de geur van net gestoomde befjes. Heerlijk. Ik weet dat er ook velen met mij zijn.

Die T-shaped lawyer is anders. Moe van de tradities en die toga hoeft hij ook bijna niet meer aan. Mediation, oftewel het oplossen van een probleem zonder rechter, is het nieuwe procederen. De T-shaped lawyer eet superfoods en kan meer dan een probleem juridisch inkaderen, overtuigen en redeneren. De T-shaped lawyer zou meer over de culture achtergrond van zijn klant weten, overal zijn kantoor kunnen opstarten vanuit zijn MacBook en zou een halve psycholoog zijn. Nee. Niet alle advocaten kunnen een T-shaped lawyer zijn. Rechters zijn er ook nog niet aan toe. Zo heb ik laatst een van mijn zittingen op een IPad gedaan waardoor ik geen dik procesdossier op de tafel hoefde te leggen (die ik overigens altijd in een rode map doe als ik hem wel bij me heb, noem dat vooral ook traditie!). Ik voelde me door de blik van de rechter betrapt op afkijken tijdens een tentamen waar geen mobieltjes mee de zaal in mogen.

Dan nog het bloggen. Binnen de advocatuur zijn we massaal aan het bloggen geslagen. Ja, ik ook. Maar ik blogde ook al voordat ik advocate werd. Contentmarketing (kennis delen) is hip in de advocatuur en in theorie zou het goed kunnen werken. Maar ook daar zijn we niet allemaal even goed in.

Mijn uitgangspunt voor het bloggen zijn Jip en Janneke. Ja: dit klinkt erg flauw maar dat is het niet. Juridisch schrijven in processtukken (oh heelijk!) is echt anders dan bloggen. De grootste valkuil wat mij betreft is dan ook dat wij als advocaten nog veel te veel jargon (daar ga ik al: vaktaal), wetsartikelen en rechtspraak in de blogs vermelden. Dat snappen Jip en Janneke niet. En moeder is er ook niet om het ze uit te leggen. Daarbij ontbreekt het ons vaak aan tijd waardoor we niet regelmatig uploaden. Het break point voor contentmarketing en een hoge ranking met de kantoorwebsite in Google. Conclusie: ook daar moeten wij nog groeien. Als het ooit echt lukt.

Ik noem mijzelf niet graag T-shaped lawyer geloof ik. Ik ben gewoon een (moderne) advocaat. Die iets van computers weet, enzo. Ik zie het als mijn taak om het verschil tussen een domeinnaam en een website bij de rechtelijk macht door te laten dringen. Toch ben ik wel gaan vloggen om mijn werk als advocaat op de gevoelige plaat vast te leggen. Regelmatig heb ik met mezelf zoveel lol om de starende blikken van colleage als wij ons op een sjiek advocatenfeestje bevinden en ik tegen het opklapbaar schermpje van mijn vlogcamera klets. Laat die stereoptye advocaten nog maar even bestaan. En vooruit, de fax ook.

Nine Bennink, advocate IE/IT bij Damsté advocaten – notarissen. Salsa, lippenstift en vlogs onder de naam Miss IP op Youtube.

Gastpost: Mag mijn telefoon mijn vingerafdruk eigenlijk wel gebruiken?

Geplaatst op in Privacy, Security, 27 reacties

iphone-vingerafdrukDeze week ben ik met vakantie, dus traditiegetrouw een aantal gastblogs. Vandaag: Xinthia Krielaart met een juridische kijk op vingerafdrukken op je telefoon.

Tot twee maanden geleden behoorde ik nog tot de zeer kleine groep mensen die nog nooit een smartphone had gekocht. Maar toen ik in dienst kwam bij een hip IT-bedrijf, moest mijn oude telefoon plaatsmaken voor een state-of-the-art smartphone. Vol met nieuwe snufjes, inclusief handige vingerafdruk scanner. Geweldig: geen gezeur meer met het onthouden en vegen van specifieke patronen of het intikken van een pincode. Alleen: wordt mijn vingerafdruk wel veilig opgeslagen? Hoe weet ik zeker dat mijn unieke afdruk niet gebruikt of doorgestuurd wordt naar een bepaalde app of leverancier?

De General Data Protection Regulation (GDPR) Aangezien ik een juridische achtergrond heb, begon ik mijn zoektocht bij wet- en regelgeving. Mijn startpunt was de nieuwe General Data Protection Regulation (GDPR, in het Nederlands ook wel de Privacyverordening) die in mei 2018 van kracht gaat samen met de huidige Wet bescherming persoonsgegevens (wbp). In vergelijking met de Wbp gaat er behoorlijk wat veranderen in 2018, waaronder de uitgangspunten omtrent het gebruik van biometrische gegevens.

Volgens de GDPR zijn alle biometrische gegevens bijzondere persoonsgegevens. De verwerking van biometrische gegevens is hiermee verboden, tenzij is voldaan aan een van de uitzonderingssituaties. Bovendien moet in het geval van een uitzonderingssituatie de verwerking van persoonsgegevens voldoen aan het subsidiariteit en proportionaliteit principe en aan strenge organisatorische en technische maatregelen.

Werp je een vlugge blik op de limitatief opgesomde uitzonderingen in de GDPR, dan lijkt het opslaan van biometrische gegevens ten behoeve van authenticatie door commerciële bedrijven hier niet direct onder te vallen. De meeste uitzonderingssituaties vallen namelijk binnen de publieke sector (zoals publieke gezondheid, werkgelegenheid en sociale veiligheid). Ik kan bijvoorbeeld geen situatie bedenken waarbij het gebruik van je vingerafdruk voor het ontgrendelen van je smartphone noodzakelijk is voor je werkgever.

Wettelijke uitzondering: toestemming De enige situatie waarin commerciële bedrijven wel biometrische persoonsgegevens mogen verwerken is de situatie waarin het datasubject expliciete toestemming heeft gegeven. Mijn mobiele telefoon mag dus mijn vingerafdruk gebruiken, omdat ik hiervoor expliciete toestemming heb gegeven. Of niet?

De vraag is namelijk of mijn toestemming wel expliciet genoeg was. Je kunt je namelijk, net zoals bij cookies, afvragen wanneer er sprake is van expliciete toestemming. Zoals ik al zei was ik bij ingebruikname vooral gedreven door het voor mij nieuwe en interessante technologische snufje. Ik dacht op het moment van instellen niet na over mogelijke gevolgen voor mijn privacy. Ik heb bovendien nergens zien staan wat er precies met mijn vingerafdruk gebeurt. Heeft de fabrikant nu ook mijn vingerafdruk in een database staan?

Toestemming of niet? Op basis hiervan zou ik dus kunnen beargumenteren dat ik geen expliciete toestemming hebben gegeven. Ik heb immers niet alle consequenties afgewogen. Door het gebrek aan informatie was dit bovendien ook niet echt mogelijk. De fabrikant daarentegen zou kunnen zeggen dat ik een keuze heb gehad. Het was namelijk ook mogelijk om mijn smartphone niet te beveiligen, of om enkel een wachtwoord of patroontje te gebruiken. Doordat ik toch heb gekozen voor mijn vingerafdruk, zou de fabrikant kunnen zeggen dat ik expliciet toestemming heb gegeven.

Wie heeft er nu gelijk? Ik weet het niet. Ik denk wel dat dit vraagstuk een stuk makkelijker wordt wanneer de biometrische gegevens versleuteld worden opgeslagen. Als je dit doet, zijn de data immers niet meer direct herleidbaar tot een natuurlijke persoon. In de GDPR staat bovendien dat persoonsgegevens data zijn die direct of indirect herleidbaar is tot een geïdentificeerd of identificeerbaar persoon. Maakt de versleutelmethode de data onherleidbaar tot een persoon? Dan is de kans groot dat deze data niet meer als persoonsgegeven te bestempelen zijn. De GDPR is dan niet meer van toepassing.

Toekomst Er zijn tegenwoordig legio van functionaliteiten te verzinnen waarbij biometrische gegevens gebruikt kunnen worden om de gebruiker te authenticeren. Continuous authentication kijkt bijvoorbeeld niet meer naar fysieke kenmerken, maar ‘leert’ van het gedrag van de gebruiker. Op basis van deze informatie kan de applicatie bijvoorbeeld bepalen om de toegang van de gebruiker te blokkeren, of extra bewijs te vragen, als zijn handelingen te veel afwijken van hoe de gebruiker normaliter acteert. Ook dit soort informatie valt binnen de GDPR onder bijzondere persoonsgegevens. In mijn situatie is het gebruik van een vingerafdruk nog redelijk behapbaar en is het uitleggen aan de gebruiker wat er met deze gegevens gebeurt nog vrij eenvoudig. In het kader van zelflerende techniek wordt dat een behoorlijke uitdaging.

De toekomst van biometrische authenticatiemethoden is enigszins onzeker. De GDPR lijkt immers enkele barrières op te werpen die het gebruik van biometrische authenticatiemethoden kunnen vertragen of tegenhouden. De lat voor het verkrijgen van expliciete toestemming lijkt namelijk steeds hoger te worden. Voor mij zal de regeling in de GDPR voor het verwerken van biometrische gegevens geen directe gevolgen hebben. Ik zal nog steeds elke dag blij zijn dat het zo makkelijk is om mijn telefoon met mijn vingerafdruk te ontgrendelen. Of mijn toestemming nou expliciet was of niet.

Xinthia Krielaart is Associate Advisory bij Everett B.V. Dit is een advies- en systeemintegratiebureau dat gespecialiseerd is in digitale identiteiten. Xinthia heeft een achtergrond in Privaatrecht en in Communicatie. Haar interesses liggen op het vlak van IT en dataprotectie.

Gastpost: Mag KPN weer ‘Eindeloos Spotify’ aanbieden?

Geplaatst op in Ondernemingsvrijheid, 2 reacties

onbeperkt-spotifyDeze week ben ik met vakantie. Vandaar zoals elk jaar een serie gastposts. Vandaag Michel Arts over Eindeloos Spotify op een netneutraal internet.

Ongeveer een jaar geleden was in het nieuws dat KPN moest stoppen met het aanbieden van ‘Eindeloos Spotify’. Wat was er ook al weer aan de hand? KPN bood een Spotify-abonnement aan waarvan het datagebruik niet ten koste ging van de databundel. Aanvankelijk stelde de Autoriteit Consument & Markt (ACM) dat op een dergelijke losse dienst (je kon ‘Eindeloos Spotify’ ook gebruiken in combinatie met abonnementen zonder databundel) de netneutraliteitsregels in de telecommunicatiewet niet van toepassing waren. Nieuwe beleidsregels van de minister van Economische Zaken scherpte de interpretatie van deze regels aan. Voortaan zouden ze ook van toepassing zijn op combinaties van losse diensten en internettoegang. Losse diensten zijn alleen nog maar uitgezonderd als ze niet in combinatie met internettoegang worden aangeboden.

Een van de netneutraliteitsregels is het verbod op prijsdiscriminatie: een aanbieder van internettoegangsdiensten mag zijn tarieven niet afhankelijk stellen van diensten of toepassingen die via het internet gebruikt of aangeboden worden. Het buiten de databundel laten vallen van het gebruik van Spotify is een vorm van prijsdiscriminatie. Als je een andere (muziek)dienst gebruikt gaat dat immers wel ten koste van je databundel. Vlak nadat de nieuwe beleisregels gepubliceerd werden stelde de ACM in een brief aan KPN dat zij geen nieuwe abonnementen meer met ‘Eindeloos Spotify’ mocht aanbieden. Bestaande contracten mocht KPN wel voortzetten omdat deze op uiterlijk 1 mei 2017 aflopen.

Sinds 30 april van dit jaar geldt er een Europese netneutraliteitsverordening. Hierover is al veel discussie geweest. Vorig jaar schreef Arnoud op dit weblog al een artikel over de vraag of ‘Eindeloos Spotify’ volgens deze verordening wel is toegestaan. De definitieve tekst van de verordening was toen echter nog niet bekend. Hij kon in de conceptverordening geen bepaling vinden op grond waarvan prijsdiscriminatie zou zijn toegestaan.

Intussen is de netneutraliteitsverordening in werking getreden. We kunnen nu dus nagaan of KPN ‘Eindeloos Spotify’ weer mag aanbieden. Dit komt dus neer op de vraag of prijsdiscriminatie nu wel is toegestaan. De Nederlandse regering is van mening dat prijsdiscriminatie ook volgens de nieuwe regels verboden blijft. In tegenstelling tot een richtlijn hoeft een verordening niet ge??mplementeerd te worden in de nationale wetgeving omdat een verordening rechtsstreeks van toepassing is. Toch moeten nationale wetten vaak wel aangepast worden aan zo’n verordening. Een wetsvoorstel tot aanpassing van de telecommunicatiewet aan de netneutraliteitsverordening ligt op dit moment bij de Eerste Kamer. Dit wetsvoorstel schrapt de nationale netneutraliteitregels. Aanvankelijk zou ook het verbod op prijsdiscriminatie geschrapt worden. Later diende de minister een nota van wijzigingen (een wijziging van een wetsvoorstel dat bij de Tweede Kamer in behandeling is) in waarin het verbod op prijsdiscriminatie toch gehandhaafd wordt. De minster was tot de ontdekking gekomen dat prijsdiscriminatie ook volgens de nieuwe Europese regels verboden is.

Hoe zit dat nu? Het derde lid van artikel 3 van de verordening bepaalt:

Aanbieders van internettoegangsdiensten behandelen bij het aanbieden van internettoegangsdiensten alle verkeer op gelijke wijze, zonder discriminatie, beperking of interferentie, en ongeacht de verzender en de ontvanger, de inhoud waartoe toegang wordt verleend of die wordt verspreid, de gebruikte of aangeboden toepassingen of diensten, of de gebruikte eindapparatuur.
Alleen redelijke verkeersmaatregelen zijn toegestaan. De minister ziet hier een algemeen discriminatieverbod in. Dus prijsdiscriminatie is ook verboden.

Uiterlijk op 30 augustus moet de BEREC (de samenwerkende Europese toezichthouders op het gebied van telecommunicatie) met richtlijnen komen waarin staat hoe zij de netneutraliteitsverordening interpreteert. Er is een consultatie geweest waarbij belanghebbenden hun standpunt konden indienen. Het startpunt voor deze consultatie was een concept met richtlijnen van de BEREC. In dit concept kiest de BEREC voor een genuanceerde benadering: prijsdiscriminatie is niet altijd verboden. Alleen “A zero-rating offer where all applications are blocked (or slowed down) once the data cap is reached except for the zero-rated application(s)” is volgens de BEREC altijd verboden omdat dit in strijd is met het derde lid van artikel 3 van de verordening.

De BEREC baseert haar beleid m.b.t. prijsdiscriminatie vooral op het tweede lid van artikel 3. Daarin staat

Overeenkomsten tussen aanbieders van internettoegangsdiensten en eindgebruikers over commerci??le en technische voorwaarden en de kenmerken van internettoegangsdiensten zoals prijs, datavolumes of snelheid, en alle commerci??le praktijken van aanbieders van internettoegangsdiensten, mogen de uitoefening van de in lid 1 bedoelde rechten van eindgebruikers niet beperken.
Hier wordt niet verwezen naar het derde lid van artikel 3 maar alleen naar het eerste lid. De BEREC concludeert
Article 3(2) clarifies that agreements between ISPs and end-users on commercial and technical conditions and the characteristics of IAS such as price, data volumes or speed, and any commercial practices conducted by ISPs are allowed, but shall not limit the exercise of the rights of end-users laid down in Article 3(1).
en hieruit trekt zij dan weer de conclusie dat prijsdiscriminatie niet in alle gevallen verboden is.

Is een Nederlands verbod op prijsdiscriminatie dan in strijd met de netneutraliteitsverordening? Naar mijn mening niet. Het tweede lid van artikel 3 stelt alleen maar dat overeenkomsten en commerci??le praktijken niet in strijd mogen zijn met het eerste lid van artikel 3. Voor het overige laat de verordening deze materie ongeregeld en dat schept ruimte voor nationaal beleid. De BEREC stelt juist dat overeenkomsten en commerci??le praktijken zijn toegestaan als dit niet in strijd is met het eerste lid van artikel 3. Dat is toch net iets anders als wat in de verordening staat. Mijn conclusie is daarom dat een nationaal verbod op prijsdiscriminatie is toegestaan omdat regulering van tarieven niet het onderwerp van deze verordening is. Nederland mag dus haar regels behouden en Eindeloos Spotify blijft gewoon verboden.

Michel Arts heeft elektrotechniek gestudeerd aan de Technische Universiteit Eindhoven. Naast techniek gaat zijn persoonlijke belangstelling uit naar (de geschiedenis van) auteursrecht, mediarecht en telecommunicatierecht.

Gastpost: Zien we door de datapunten het individu niet meer?

Geplaatst op in Privacy, 16 reacties

facebook-profielOmdat ik met vakantie ben, deze week een aantal gastposts. Vandaag Joke Ruwen die zich zorgen maakt over het individu in het profileergeweld.

We leven in een wereld waarin in data steeds belangrijker wordt. En met de opkomst van het Internet of Things, zal er nog meer data gegenereerd, verzameld en verwerkt worden. Data wordt gezien als het nieuwe olie en je persoonsgegevens zijn veel geld waard. Er heeft een verschuiving plaatsgevonden in de marketingwereld, waarbij het hoogst haalbare het persoonlijk bereiken van potentiële klanten is. En zolang je je als bedrijf maar aan de Wbp houdt is, kan (bijna) alles. Maar ik vraag mij af of we niet vergeten dat er achter al die data personen schuil gaan? Personen die het allemaal niet erg vinden om individueel getrackt te worden en persoonlijke reclames te zien te krijgen, maar ook personen die dit liever niet hebben. Niet voor niets is er een stevige toename in het gebruik van ad-blockers.

Zo schreef Arnoud op 27 juni over Citytraffic, een bedrijf dat bijhoudt hoe winkelend publiek zich door de stad beweegt door middel van wifi-tracking. Dit is gewoon wettelijk toegestaan op het moment dat ze toestemming vragen of een dringende noodzaak hebben en voldoende privacywaarborgen implementeren. Maar betekent dat dat het ook een goed idee is? Lang niet iedereen zal het een prettig idee vinden dat een bedrijf precies weet waar ze in de stad waren en hoe lang ze daar bleven. Er moeten toch andere minder manieren invasieve manieren zijn om deze data te vergaren. Maar die zijn duurder, dus doen ze dat niet. Compliance officers, als ze er al zijn, worden liever niet gevraagd, want die kunnen mooie projecten in de war schoppen.

Of neem nou dat marketingbureau in Londen dat voor een reclamecampagne voor Renault via camera’s en beeldherkenning kentekens van auto’s afleest. Deze door een nationale database te halen, om vervolgens een marketingteam te laten bedenken hoe ze dat op de minst creepy manier konden gebruiken voor een advertentiecampagne op digitale borden langs de weg. De reclameborden zeggen bijvoorbeeld: ‘Hallo, jij in die zwarte cabrio..’.

Er is dus het besef dat wat ze doen creepy is en daarom gebruiken ze de gegevens op een manier die niet overkomt als creepy. Ook hier is de redenatie: we gebruiken de verzamelde kentekens nergens voor, dus is het geen probleem. Maar ik vraag me echt af, waarom? Als je denkt dat het mensen een raar gevoel geeft herkend te worden, dan kun je toch beter een manier van adverteren verzinnen die minstens net zo leuk, maar minder persoonlijk is? Waarom moet er tot op de persoon nauwkeurig getarget, getrackt en geadverteerd worden?

Recent onderzoek van TNO heeft aangetoond dat zo’n 83% van de Nederlands het belangrijk vindt dat persoonsgegevens beschermd worden. Slechts 30% van de respondenten vindt het normaal in een moderne maatschappij om informatie te delen. Dit lijkt echter niet door het bedrijfsleven opgepikt te worden. Wordt het niet eens tijd dat bedrijven verder gaan dan de wet vereist in het beschermen van onze persoonsgegevens? Dat ze nadenken over de personen die schuil gaan achter al die datapunten en hoe die personen zich zouden voelen over de manier waarop hun gegevens verwerkt worden.

Joke Ruwen is Professional Standards Executive bij ESOMAR, de mondiale organisatie voor marktonderzoekers en opiniepeilers. Ze schreef eerder over demystifying data flows.