Ook Instagram moet zich aan het Lycos/Pessers-arrest houden

naam-handelsnaamDe rechtbank Noord-Holland heeft bepaald dat Instagram de naw-gegevens en het ip-adres van een account moet vrijgeven, meldde Tweakers. De moeder van een minderjarig kind eiste deze gegevens op, omdat het desbetreffende account pornografisch materiaal met de bijnaam van haar dochter verspreidde. Het verweer van Instagram was klassiek: we zijn een neutrale tussenpersoon en niet aansprakelijk, plus afgifte mag niet van onze community richtlijnen. Maar dat kun je dus echt vergeten.

Uit eerdere berichtgeving maak ik op dat dit account geen geïsoleerd incident of toeval was. De scholiere werd al tijden door een groep jongeren gepest, en daarbij was een scheldnaam voor haar gebruikt als naam van het Instagram-account. Bovendien werd bij de foto’s gesuggereerd dat ze van haar zouden zijn.

Reden genoeg om eens bij Instagram aan te kloppen, zou je zeggen. Want de bekende belangenafweging onder Lycos/Pessers vereist immers dat er een duidelijk vermoeden is van onrechtmatig handelen, en daarvan lijkt hier wel sprake.

Het vonnis zelf is nog niet online, maar het persbericht van Rechtspraak al wel. En daaruit maak ik op dat de toets impliciet werd afgelopen, en dat de rechtbank er vrij snel klaar mee was. Wel leuk om te lezen dat net als Facebook Instagram ook haar community richtlijnen om de oren krijgt: je zou abuse bestrijden, dit is bestrijden, dus doe het. Einde oefening, afgeven persoonsgegevens.

En ik blijf zitten met het gevoel dat als de VS vanaf dag 1 had gezegd, neutraal platform oké maar wel NAW afgeven, we nooit deze discussies hadden gehad. Want de hele wereld is Californië en alles dat afwijkt daarvan is eigenlijk maar raar.

Arnoud

Moeten we de aansprakelijkheid van autonome auto’s aan advocaten overlaten?

google-zelfrijdende-autoBergen rechtszaken zijn de belangrijkste hobbels (haha) waar de zelfrijdende auto overheen zal moeten zien te komen, las ik in Slate. Zolang de aansprakelijkheid van eigenaar, passagiers en fabrikant niet duidelijk zijn, zal de adoptie van deze voertuigen onnodig langzaam blijven lopen. Hoe lossen we dat op bij zoiets snel evoluerends als autonome auto’s? Simpel, zegt de auteur: laat dat gewoon aan het aansprakelijheidsrecht over. Dat is daar voor.

In theorie is de vraag simpel te beantwoorden. Hoe regel je aansprakelijkheid voor bepaalde situaties? Simpel, dat zet je in de wet. Die hebben we ook al de nodige: je bent aansprakelijk voor je huisdieren en voor je assistenten. Je bent ook aansprakelijk voor je minderjarige kinderen, maar omdat dat een tikje ongenuanceerd voelde is daar een complexe regel bij gekomen. Maar goed, daar komen we uit. En het is logisch dat de bal daar ligt, want jij bent in staat dat te borgen. Of (bij die dieren) het is gewoon redelijk want er is niemand anders.

Op zeker moment kregen we producten die soms ontploften of anderszins gevaarlijk waren. Dus toen kwam er ook een wet over productveiligheid, die de bal legt bij de fabrikant of importeur daarvan. Natuurlijk gaf die wet enig gesteggel maar het lijkt me niet meer dan logisch dat de bal daar ligt. Een televisie mag niet ontploffen, en de bouwer daarvan heeft alle controle dus die kan veiligheidsmaatregelen nemen.

Logisch allemaal. Maar bij de zelfrijdende auto ligt het iets ingewikkelder. Ja, natuurlijk heeft de fabrikant een grote rol want hij programmeert de AI, plaatst de sensoren en hakt knopen door over hoe te kiezen tussen passagier en medeweggebruikers. Maar de eigenaar/passagier/bestuurder heeft ook enige invloed, die gaat de weg op met het ding en drukt misschien wel op knopjes om het gedrag te beïnvloeden. Of hij zat niet op de noodrem.

Als wetgever kom je daar niet echt uit. Wil je dan toch wetten maken, dan heb je een grote kans dat je de plank misslaat en de innovatie doodreguleert. Plus, een wet invoeren duurt meerdere jaren en wie weet waar we dán zijn met zelfrijdende auto’s en kunstmatig intelligente bestuurders.

Gelukkig is er een alternatief: de rechtspraak. Ik noem dat altijd de juridische exception handler: als het niet geregeld is, dan moet de rechter in vredesnaam maar verzinnen wat in deze situatie het beste past binnen de wet, de redelijkheid en de concrete situatie. Hij kan dan een oordeel doen over die situatie, maar hij kan ook een rechtsregel formuleren die vanaf dan in vergelijkbare situaties van toepassing moet zijn. En het mooie is dat zulke rechtsregels heel specifiek kunnen zijn, en dat ze over een jaar vervangen kunnen worden door een nieuwe uitspraak gebaseerd op de inzichten van dan. Noodwetjes, zo je wilt.

Het is dus helemaal niet zo’n gek idee om de rechtbank te laten oordelen over wat te doen met aansprakelijkheid bij ongevallen waar zelfrijdende auto’s bij betrokken zijn. Het zal in het begin wat zoeken zijn met diverse uitspraken alle kanten op, maar rechters lezen ook elkaars vonnissen en zeker bij uitspraken in hoger beroep ontstaat er dan een zekere lijn waar men op kan varen. En het mooiste is dan nog dat als die lijn goed bevalt, de wetgever hem zo over kan nemen in de Wet van 2020 over Autonome Voertuigen. Of juist iets heel anders kan verzinnen omdat de jurisprudentie laat zien waar de knelpunten zitten.

De auteur doet nog een aanvullend voorstel voor het geval de rechtszaken de pan uit rijzen: in de VS geldt een wettelijke bescherming voor bedrijven die vaccins ontwikkelen. Aangezien onjuist werkende vaccins tot medische claims kunnen leiden, zouden bedrijven daarmee kunnen stoppen om wat veiligers te gaan doen. Dat willen we niet, dus zijn ze in de VS beperkt aansprakelijk voor medische missers in vaccins. Wel is er dan tegelijk een verzekeringsfonds opgericht waar slachtoffers van die missers een vergoeding uit krijgen. Zo corrigeer je voor het maatschappelijk probleem van de slachtoffers, zonder de fabrikanten nodeloos af te schrikken iets nieuws te verzinnen.

Die wettelijke bescherming doet denken aan wat we eind jaren negentig voor tussenpersonen op internet hebben bedacht. Die zijn niet aansprakelijk voor wat er op hun platform gebeurt (waar trouwens nu heisa over is omdat artiesten massaal klagen dat ze niks krijgen van het beschermde Youtube) mits ze maar een notice/takedownsysteem toepassen. Ik roep al jaren dat dit eigenlijk een systeem met dwanglicenties moet worden: Youtube mag niet verboden worden maar moet wel betalen. En dat sluit dan mooi aan bij die vaccin-regeling.

Dat dan maar doen? Fabrikanten mogen zelfrijdende auto’s op de markt brengen, en zijn behoudens grof nalatige fouten niet aansprakelijk voor ongevallen die daarmee gebeuren. Wel storten ze verplicht een bedrag in een verzekeringspot, en slachtoffers van die ongevallen ontvangen daar een uitkering uit.

Arnoud

Wanneer is een bericht per contactformulier aangekomen?

mail-to-cc-bccEen lezer vroeg me:

Op 20 juni stuurde ik een opzegbericht via het contactformulier bij een betaalwebsite. Pas drie dagen later kreeg ik een reactie, waarbij ze meteen meldden dat ik te laat was. Maar 20 juni was de laatste dag, dus ik was wél op tijd. Ik kan met een screenshot bewijzen dat ik het formulier heb ingevuld en dat de site daarop meldde dat het bericht is ontvangen. Is dat genoeg bewijslast?

De wet zegt dat wie een bericht verstuurt, moet bewijzen dat het aangekomen is bij de beoogde ontvanger. Bewijzen dat het verzonden is, is daarbij niet genoeg. Zelfs niet bij aangetekende post.

Bij e-mail is bewijs van ontvangst best ingewikkeld. Ik ken eigenlijk maar één manier en dat is dat de ontvanger terugmailt dat hij het heeft gehad. Ja, of je moet met portalen gaan werken waar een derde logt of en zo ja hoe laat het bericht is ingezien door de ontvanger.

Bij een contactformulier is de regel hetzelfde. Maar het bewijs is volgens mij iets makkelijker: vrijwel elk formulier zegt na insturen iets van “Dank u, uw bericht is ontvangen en wij reageren binnen X werkdagen”. Daaruit mag je concluderen dat het bericht ook echt binnengenkomen is. Natuurlijk gaat het bericht vervolgens per mail naar de persoon die er wat mee moet, en die mail kan net zo hard kwijtraken als jouw mail naar info@, maar dat doet er dan niet meer toe. Vanaf ontvangst door het bedrijf is alle vervolgdoorzending hun risico.

Lastig is dan weer wel bewijzen wát er is ontvangen. Want (grote ergernis) je kunt zelden tot nooit vragen om een kopietje naar je eigen mailbox, en “Uw bericht zoals ontvangen staat hieronder” zie je ook vrijwel nooit. Je kunt dan eigenlijk alleen screenshotten (of een filmpje maken) wat je invult en wat het bevestigingsscherm was, en dan moet je maar hopen dat de wederpartij niet gaat roepen dat je die vervalst hebt. Oh, en het filmpje ergens online neerzetten zodat er een onafhankelijke datering is van de inhoud.

Dat gezegd hebbende vind ik het altijd wel heel verstandig om bij zo’n late opzegging er zelf extra bovenop te gaan zitten. Even namailen, drie keer dat formulier insturen of bellen. Want het gedoe om het achteraf recht te trekken is altijd meer dan het gedoe van dat ene telefoontje.

(Terzijde: bewijslast gaat over wie bewijs moet leveren, niet de hoeveelheid bewijs die nodig is.)

Arnoud

Mag je voor je afstudeeropdracht 17.000 mensen typosquatten?

shell-script-hacker-go-awayEen Duitse student is erin geslaagd zo’n 17.000 mensen zijn eigen script te laten draaien middels typosquatting, meldde Ars Technica onlangs. Hij had het script geïnstalleerd op de bekende sites PyPI, RubyGems en NPM met als naam een spelfout op de 214 populairste scripts daar. “It’s not clear if the experiment broke ethical or even legal boundaries, since it relied on confusion if not outright deceit to trick people into installing something other than what they intended to install,” zegt Ars dan netjes. Nou, ik durf wel een juridisch balletje op te gooien.

De truc van de student was eigenlijk te simpel voor woorden. Steeds meer software maakt gebruik van via internet beschikbare standaardbibliotheken via bekende sites (repositories), en deze worden volautomatisch gedownload bij het gebruik. Natuurlijk typen mensen wel ooit in welk pakket moet worden gebruikt, en daar zit dan de truc: mensen maken spelfouten, en dat levert hier dan een pakket van de slimme student op. Want die had dus eigen software geüpload naar die sites met namen die typefouten van die bekende bibliotheken zijn. Die software deed hetzelfde, maar met een klein stukje tracking dat hem vertelde waar de software gebruikt werd.

Is dit nieuw? Heel algemeen gesproken niet. Typosquatten kennen we al sinds de begintijden van domeinnamen bijvoorbeeld. Binnen software kende ik het echter nog niet. Heel gek is dat ook niet: het is vrij normaal dat als je een bibliotheek wilt gebruiken, dat je die even ophaalt van de bron, er snel doorheen loopt en hem dan in gebruik neemt. Of je software-omgeving zorgt daarvoor, via eerder geïnstalleerde standaardbibliotheken. Recent is echter die trend van “pak het even dynamisch van internet” opgekomen en daar ontstaan nu dus dit soort problemen.

Is het juridisch toegestaan? Nou ja, er is natuurlijk geen harde wet tegen. Typosquatten bij websites was altijd relatief eenvoudig aan te pakken, omdat je dan andermans merk of handelsnaam schond. Maar merknamen op package names, die zijn er niet veel. En dat kán ook niet altijd: veel pakketnamen zijn functioneel en daarmee beschrijvend voor wat ze doen, en dergelijke namen kunnen niet voor merkbescherming in aanmerking komen.

De sites in kwestie kunnen het natuurlijk wel oplossen met eigen regels, zoals we in maart zagen, waar de repository NPM zelf verzon dat de bekendste naam de meeste rechten had. Daar zou dus vrij makkelijk een regel “Geen dingen die typos lijken van andermans namen, hoe functioneel ook” bij kunnen. Niet dat je daar bij echte criminelen veel aan hebt, maar het is iets.

Je zou het met enige fantasie een poging tot binnendringen (computervredebreuk) kunnen noemen. Dan zeg je, hij gebruikte een valse hoedanigheid (de vermomming als de echte bibliotheek) om zijn code naar binnen te smokkelen, met de downloadende ontwikkelaar als willoos werktuig. En die code hoorde niet op die computer te zijn, dus wederrechtelijk.

Het kan, maar dan gaat hier het aspect van de afstudeerscriptie (het afstudeerscript?) spelen. Want criminele activiteiten kúnnen per ongeluk legaal zijn als blijkt dat sprake is van ethisch handelen. Harde regels daarvoor zijn er niet, maar in de cybercontext lijkt me dat wel opgaan voor iemand die een nieuw punt te maken heeft dat van algemeen belang is en dat niet op andere manier dan de criminele aan te tonen is, en bovendien geen schade aanricht. Dus ja, deze ene jongen mocht dit, maar vanaf nu mogen mensen dit niet meer.

Arnoud

Facebook mag niet-ingelogde internetters in België weer gaan volgen

facebook-vind-ik-stomFacebook mag niet-ingelogde Belgische internetters weer twee jaar gaan volgen met een datr-cookie, meldde Tweakers vorige week. In 2015 verbood de rechtbank dit volgen op verzoek van de Privacycommissie (de Belgische Autoriteit Persoonsgegevens), maar dat verbod wordt nu ongeldig verklaard omdat er onvoldoende spoedeisend belang zou zijn geweest.

Facebook weet alles van iedereen, onder meer omdat heel veel websites zo’n handig “Vind ik leuk/Deel dit”-knopje hebben opgenomen met door Facebook aangeleverde scripting. Dat knopje zet cookies en stuurt informatie door over de bezoeker, ongeacht of die persoon ingelogd is op Facebook of zelfs maar een Facebook-account hééft.

Dat gaat een tikje ver, en zeker onder de Europese cookieregels lijkt me dat niet in de haak. Om cookies te mogen zetten, moet toestemming zijn gegeven. En die Facebookwidget doet dat niet. Daarmee overtreedt men dus de cookiewet. En daarom besloot eind 2015 de Belgische rechter in kort geding dat dit onmiddellijk moet stoppen.

Facebook ging in hoger beroep, en won op een formeel punt: zij doen dit al sinds 2012, en de rechtszaak kwam pas in 2015, dus hoezo is er dan nog spoed bij deze zaak? En ja, dat is een argument want in kort geding gaat het allemaal even wat sneller en dus minder grondig, en dat doen we omdat er zulke grote spoed bij is dat we niet kunnen wachten op een bodemprocedure. Blijkt er dus geen grote spoed te zijn, dan moet de rechter in kort geding de eis afwijzen en de partijen naar de bodemrechter verwijzen. En dat is wat hier is gebeurd.

Ergerlijk, maar het betekent niet dat Facebook dus legaal is. Ik kan eerlijk gezegd geen enkel argument bedenken waarom dat zo zou zijn. Facebook roept dan steeds dat de cookies belangrijk zijn voor de beveiliging tegen cybercriminelen en malware, maar dat klinkt mij als marketingblaat (wie corrigeert me?). Dus voor mij leest deze uitspraak als een juridische trucje van Facebook on mog even door te mogen gaan tot die bodemprocedure in 2017 afgerond is.

Arnoud

Moet de IT-afdeling toestemming vragen om een pc over te nemen?

yes-toestemming-ja-permission.pngEen lezer vroeg me:

Ik werk op de IT-afdeling van een bedrijf (~120 medewerkers). Wij hebben op alle pc’s UltraVNC geïnstalleerd, zodat we op afstand beheer kunnen uitvoeren. Dat doen we uiteraard alleen als mensen ons daar toestemming voor geven. Alleen die toestemming vragen we gewoon aan de telefoon of in de chat als we iemand spreken. De VNC applicatie toont geen aparte popup daarvoor. Nu zegt een medewerker dat dat laatste verplicht is onder de privacywet. Klopt dat?

De privacywet (Wet bescherming persoonsgegevens) bevat geen regels op dat niveau. Of je mensen op een knop “Nu toegang tot mijn pc” laat drukken of ze mondeling dan wel op schrift dat laat verklaren, maakt voor de wet niets uit. Waar het om gaat, is dat er toestemming is.

Of nou ja, zelfs dat niet. Als het nodig is voor het werk, dan mág een collega (zoals de IT-er) zich toegang verschaffen tot de computer. Net zoals een collega mag binnenlopen in je kantoor. Kloppen is netjes, maar juridisch niet verplicht. En natuurlijk blijf je buiten als er “Niet storen” opgehangen is. Dus in principe zou voor support hetzelfde moeten gelden. Even melden is netjes, toestemming vragen hoeft niet (maar is wel héél netjes natuurlijk).

Of je moet zeggen: een goed werkgever doet niets dat nodeloos de privacygevoelens van werknemers schendt. En als mensen het gevóel hebben dat hun pc ineens wordt overgenomen, dan schend je toch de privacy. Dus vraag het dan toch nog maar via een popupje.

(Als IT-er heb je natuurlijk wel strikte geheimhouding te respecteren rondom eventuele privézaken die je aantreft bij zo’n remote access sessie.)

Arnoud

Chatbot vecht ruim 160.000 parkeerboetes met succes aan, nou en?

robot-lawyerEen app met een chatbot aangedreven door kunstmatige intelligentie heeft in 21 maanden met succes 160.000 parkeerboetes in New York en Londen aangevochten. Dat las ik bij Nu.nl (dank GJ). Allemachtig wat een buzzwords, de innovatie spát er vanaf. Dit móet wel een unicorn worden die de wereld gaat veranderen. Dit is toch véle malen beter dan al die stomme wizards die je op een stoffige desktopcomputer door een beslisboom heen leiden? Oké oké ik ben alweer rustig.

De app, DoNotPay genaamd, werkt vrij simpel. Je kiest een situatie (zoals parkeerboete), je beantwoordt wat vragen (welke situatie is van toepassing: mijn auto werd gestolen, ik moest naar het ziekenhuis, mijn auto heeft diplomatieke onschendbaarheid, etc) en op die basis worden vervolgvragen gesteld waarna een brief wordt samengesteld.

Ja, die heb ik ook, die dingen. Genereer je contract op maat, maak een NDA of stel een bewerkersovereenkomst op. En nog 40 van die contracten. En ik ben lang niet de enige. Het is technisch ook bepaald niet zo moeilijk om door een serie vragen te lopen en de uitkomst van de beslisboom te gebruiken om een tekst samen te stellen. De moeilijkheid zit hem in de juiste vragen stellen en de juiste teksten op te stellen bij ieder antwoord.

En het zal wel aan mij liggen, maar ik krijg dus echt jéuk van dit soort berichten. Oeh het is een app, dan is het innovatief en nog nooit eerder gedaan. Oeh wauw, het is een chatbot, dat is echt véél nieuwer dan een GUI waarbij je uit een serie antwoorden kiest. (Dat de chatbot een vraag stelt en je laat kiezen uit een serie antwoorden ipv vrije tekst, negeren we dan even.) Wauw, het is kunstmatige intelligentie. Maar hoe dan? Een beslisboom is geen kunstmatige intelligentie.

Oh en natuurlijk wint deze ‘chatbot’ geen rechtszaken. Dat doen de mensen die de brief insturen toch zelf.

Sorry, ik ben wat cynisch – ik realiseer me nu pas dat ik die generatoren AI smart contract builderbots had moeten noemen, dan had ik nu miljoenen durfkapitaal gehad. Maar pff.

Arnoud

Mag ik mijn klanten verplichten SSL/TLS te gebruiken?

security-beveiliging-ketting-slot-chainEen lezer vroeg me:

Mag ik, als hostingprovider, klanten dwingen om SSL/TLS te gebruiken? Via een aantal scripts is het gehele proces te automatiseren, zodat er tijdens het aanmaken van een account een certificaat wordt aangemaakt (via Let’s Encrypt, dus geen meerkosten) en verbindingen vervolgens over SSL/TLS forceren (mod_rewrite en HSTS header). Ik heb veel kleine ondernemers als klant die hier écht steken laten vallen en ik wil ze tegen zichzelf beschermen.

Ik denk dat dit in principe wel kan. Je kunt in je algemene voorwaarden opnemen dat je verlangt dat klanten hun websites en software goed beveiligen, en dat jij maatregelen mag nemen, zoals SSL/TLS beveiligde verbindingen, om dat af te dwingen.

Dit is wel een tikje ongebruikelijk (helaas) dus je moet de klant daar wel expliciet over informeren. Ik zou zelf dat heel proactief willen zien: stuur ze een mail dat er wat mis is, vraag of ze dat binnen 14 dagen willen herstellen en anders doe jij het. Aangenomen dat dit geen nadelige effecten heeft voor de site, zie ik dan het probleem niet.

Maak je dingen wél stuk, dan komt dat op jouw bordje te liggen. En natuurlijk heb je als hoster in je algemene voorwaarden je aansprakelijkheid beperkt, maar bij dit soort handelen gaat dat niet zomaar op. Voor opzettelijk handelen ben je altijd volledig aansprakelijk, en dit neigt daar toch wel een tikje naar. Een hoster zou er dan ook voor kunnen kiezen om te zeggen, binnen 14 dagen herstellen en anders de site in een sandbox of op zwart. (Ja, de wet vindt het erger dat je iets half doet dan wanneer je iemand op zwart zet.)

Arnoud

Nee, bij opzeggen wegens prijsverhoging geldt géén maand opzegtermijn

sim-telefoon-telfortEen lezer vroeg me:

Op 19 mei heeft Telfort per e-mail aangegeven dat de prijs van mijn internetabonnement per 1 juli a.s. wordt verhoogd. Daarbij werd vermeld dat ik mijn abonnement kosteloos kan aanpassen of opzeggen tot 1 juli 2016. Vervolgens heb ik op 15 juni telefonisch opgezegd, waarop ik een bevestiging kreeg dat mijn abonnement per 15 juli wordt beëindigd. De klantenservice van Telfort gebeld en die zeggen dat een opzegging áltijd dertig dagen opzegtermijn kent. De AV erbij gepakt, maar dat mocht niet baten. Wat kan ik nu doen?

Bij een normale opzegging van een telefoniecontract geldt inderdaad een opzegtermijn van dertig dagen vanaf de dag waarop je de opzegging doorgeeft (art. 7.2a lid 3 Telecomwet). Maar het gaat hier niet om een normale opzegging; een telecomcontract mogen opzeggen is een wettelijk recht wanneer de aanbieder het contract wijzigt.

Bij een contractswijziging (waar ook een prijsverhoging onder valt) mag je altijd opzeggen. Het moment waarop die opzegging effect heeft, is het moment waarop die wijziging in werking zou treden. Dat is hier dus 1 juli, en je mag dus op 30 juni nog opzeggen om vervolgens een dag later van je contract af te zijn.

De wet (art. 7.2 Telecomwet) zegt niet expliciet dat de opzegging ingaat er datum contractswijziging. Dat is wel zo logisch, het hele idee is immers dat je kunt opzeggen om niet aan de nieuwe regels gebonden te zijn. Gelukkig is bij Telfort dit geen discussie, want in hun AV staat letterlijk:

16.4. Indien een Klant een wijziging, die betrekking heeft op een door hem afgenomen Dienst, niet wenst te accepteren, kan hij de Overeenkomst met betrekking tot die Dienst schriftelijk beëindigen met ingang van de datum waarop de wijziging van kracht wordt. De schriftelijke opzegging dient voor de ingangsdatum van de wijziging door Telfort te zijn ontvangen.

Mijn cursivering. Dus hoe de klantenservice erbij komt dat er een maand opzegtermijn geldt en je daarmee op 15 juli uitkomt, is me een volslagen raadsel.

Het vervelende is, wat doe je nu praktisch als de klantenservice blijft bij die 15 juli. Je automatische incasso intrekken en handmatig nog een halve maand betalen (15 juni tot 1 juli) levert juridisch het correcte resultaat op. Maar ik gok zomaar dat er dan een incassoprocedure begint met mogelijk een notering bij Preventel. En heb je daar zin in voor die beperkte hoeveelheid geld?

Arnoud

Is een boevenopsporingspagina op Facebook nuttig of een schandpaal?

stocks-schandpaalVergeet je iets te betalen bij een bedrijf in Zeeland, dan loop je kans dat je wordt ontmaskerd op Facebook, meldde PZC vorige week. Winkeliers met camerabeelden van vermeende diefstal kunnen die plaatsen in de facebookgroep ‘Vergeten te betalen? Zeeland’. Het lijkt effectief – diverse nietbetalers hebben zich bij de winkelier gemeld. Maar mag het?

Schandpaalsite, zal misschien uw eerste reactie zijn. Of juist: eindelijk de criminelen achter de vodden gezeten. En dat is hier exact het probleem. De maatschappelijke opvattingen lopen hierover uiteen, en dan loop je binnen de wet een tikje vast.

Natuurlijk, we hebben wetgeving die zegt dat je niet zomaar iemands gezicht mag publiceren. Portretrecht, en de Wet bescherming persoonsgegevens. Maar beide wetten toepassen op deze casus komt uiteindelijk neer op een belangenafweging. Wat weegt zwaarder, het belang van de winkelier om mensen herkenbaar te tonen op een site met als doel ze te shamen om alsnog te betalen, of het belang van de winkeluitloper om niet herkenbaar te zijn onder de vlag “Winkeldief” dan wel “Vergeten te betalen”.

Persoonlijk vond ik daarbij nog creatief de aanpak om eerst onherkenbare beelden te publiceren met iets van “Je weet wie je bent en je hebt een week om langs te komen anders gaat het balkje eraf”. Dat komt tegemoet aan de belangenafweging onder de Wbp om de privacy zo veel mogelijk te beschermen.

In 2004 werd het nog door de rechter eigenrichting genoemd en diffamerend en stigmatiserend voor de geportretteerde om een foto op te hangen met “Deze vrouw heeft hier gestolen”. Maar 2004 is ICT-technisch de middeleeuwen, dus of de opvattingen uit die tijd nu nog gelden, daar ben ik niet van overtuigd.

Wie de Wbp streng leest, concludeert dat camerabeelden met daarop een nietbetalende wegloper strafrechtelijke persoonsgegevens zijn, en die mag je gewoon nooit verwerken (art. 22 Wbp). In die lezing is het ook niet toegestaan om te zeggen dat Volkert van der G. een moordenaar is, dus ik heb daar moeite mee, maar goed. In 2015 werd een wetsvoorstel gedaan om een uitzondering te maken voor publicatie van dergelijke beelden door particulieren in geval van diefstal of vernieling. Ik kan niet vinden wat de actuele status is, maar het zal nog wel even duren voordat dat wet is (ik gok dat de Europese Privacyverordening dit in gaat halen en dan kan dit voorstel meteen de prullenbak in, want je mag geen nationale wetten over persoonsgegevens meer maken dan).

En dit is het lastige aan het recht: je moet ergens een grens trekken, maar soms kan dat niet. Dan kies je maar voor normen als “A tenzij B zwaarder weegt”, zodat de rechter het in een concreet geval kan inschatten. In 2004 was “Deze vrouw heeft gestolen” dus nog diffamerende eigenrichting, maar hoe kijken we anno 2016 aan tegen “Vergeten te betalen”?

Arnoud