Mag Revolv gewoon apparaten bij mensen thuis uitzetten?

Geplaatst op in Innovatie, Intellectuele rechten, 61 reacties

stop-bordRevolv, een smarthome-hub van Googles zusterbedrijf Nest, stopt ermee. Dat meldde Tweakers alweer een tijdje geleden. Gebruikers hebben dan ook niets meer aan de 300 dollar kostende hardware waarmee ze hun huis hadden geautomatiseerd. Zeg maar dat je stofzuiger niet meer zuigt omdat Philips haar afdeling Huishoudelijke Apparaten opheft. Kun je daar wat aan doen als consument?

Eerlijk gezegd zou ik het niet weten. Normaal zou je zeggen bij een niet-werkend apparaat: conformiteitsgebrek, gratis herstel of vervanging alstublieft. Maar dat gaat hier niet op. Het apparaat functioneert op zich nog steeds prima, alleen doet het weinig meer omdat de servers van Revolv ermee ophouden en je dus geen commando’s meer naar het apparaat kunt sturen. Maar omdat dat niet gaat over het apparaat zelf, zie ik geen kans voor een conformiteitsclaim.

De dienstverlener aanspreken op een slecht geleverde dienst? Ook dat kan op zich juridisch, maar het gaat hier niet om een wanprestatie in de dienst. Het gaat om een opzegging door de dienstverlener. En zoals ik al tijden roep: dat mógen ze gewoon. Bij online software. Bij smart TV’s. En bij telecom. Dus waarom niet bij huisautomatisering?

En nee, dit heeft niets met DRM te maken. Het probleem is fundamenteler: je koopt geen apparaten meer, je neemt een dienst af en je krijgt een kastje waarmee je dat gemakkelijk kunt doen. En dát is een constructie waar de wet eigenlijk niet mee om kan gaan. Er zijn geen aparte regels over diensten die met dure producten worden geleverd.

Die hub van 300 euro is een bioscoopkaartje, juridisch gezien. Leuk om te hebben, maar waardeloos als de bioscoop niet open is. En dat is onder de wet niet erg. En dát gaat een groot probleem worden voor Internet of Things en de cloud. Want als straks alles aan internet hangt en een externe dienstverlener nodig heeft, dan gaan we dit elke week meemaken.

Alleen: hoe los je het op? Je kunt moeilijk verlangen dat bedrijven een dienst tot in de eeuwigheid aanbieden. Open standaarden lijken de aangewezen route: dan had een ander bedrijf de apparaten van Revolv kunnen bedienen. Maar dat lijkt me nog knap ingewikkeld in de praktijk, want Revolv zal niet willen investeren in het opzetten van de infrastructuur als zij daar geen exclusiviteit op krijgen. Bovendien, hoe hou je dan kwaadwillende sujetten buiten de deur als iedereen moet kunnen praten met elk apparaat. Maar iets anders weet ik niet.

Arnoud

Mag je persoonsgegevens eigenlijk wel gebruiken in een aangifte?

Geplaatst op in Privacy, Regulering, 20 reacties

Een lezer vroeg me:

Ons bedrijf neemt inkomende telefoongesprekken op voor kwaliteits- en trainingsdoeleinden. Dit wordt ook keurig gemeld. Alleen nu is er iemand die onze receptioniste ernstig heeft bedreigd. Alleen, nu zegt onze security officer dat we geen aangifte mogen doen met de opname omdat we die niet voor dit doel verkregen hebben (art. 9 Wbp). Klopt dat?

De vraag klinkt absurd, maar onder de Wbp moet je toch altijd even verder kijken.

Wie persoonsgegevens wil verwerken, moet daar een grondslag voor hebben. Dat kan toestemming zijn, uitvoering van een overeenkomst of een eigen dringende noodzaak. Het opnemen voor trainings-of servicedoeleinden zie ik als nodig voor uitvoering overeenkomst. Ook de aanloop tot contracteren valt daaronder, net als klantenservice achteraf.

Echter, met een grondslag ben je er nog niet. Er is ook het principe van doelbinding (art. 9 Wbp):

Persoonsgegevens worden niet verder verwerkt op een wijze die onverenigbaar is met de doeleinden waarvoor ze zijn verkregen.

Je moet dus concreet nagaan waarom (binnen die grondslag) je de gegevens exact kreeg. En dan mag je de gegevens alleen gebruiken (binnen die grondslag) voor dat doel. Vraag je bijvoorbeeld een geboortedatum om na te gaan of de klant 18 is, dan mag je niet de klant op zijn verjaardag een felicitatie sturen. Dat is immers een ander doel, hoewel ze beiden binnen het ‘uitvoeren overeenkomst’ gerekend zouden kunnen worden.

Hierbij moet je kijken naar zaken als het soort gegevens, de relatie tussen de doelen, de gevolgen van het nieuwe gebruik, de wijze van verkrijging van de gegevens en de waarborgen tegen misbruik die je inbouwt bij het nieuwe gebruik. Dit is een open norm, dus het komt neer op een goede onderbouwing.

Specifiek bij aangifte is er gelukkig een escape. Artikel 43 Wbp bepaalt dat je artikel 9 (de doelbinding) mag negeren bij “de voorkoming, opsporing en vervolging van strafbare feiten”. Aangifte doen en daarbij die opgenomen gesprekken aanleveren als bewijs is dus legaal, ongeacht het doel waarvoor die gesprekken ooit zijn opgenomen.

Zou je wat anders willen, bijvoorbeeld de opname aan een tv-programma als Opgelicht?! geven, dan zul je dat wél moeten rechtvaardigen onder de doelbindng. Dat lijkt me iets lastiger. Aan de andere kant, het voelt ongepast om bij crimineel handelen je te beroepen op je privacy.

Arnoud

EC formuleert samen met techbedrijven gedragsregels tegen haatzaaien op internet

Geplaatst op in Uitingsvrijheid, 8 reacties

leeuw-boos-trol-figuur.jpgSamen met Microsoft, Facebook, YouTube en Twitter heeft de Europese Commissie een gedragscode tegen haatzaaien op internet opgesteld, meldde Tweakers vorige week. Daarin is onder andere vastgelegd dat dergelijke inhoud binnen 24 uur verwijderd wordt. De gedragscode is een uitvloeisel van nieuwe wetgeving voor online mediaplatforms.

Het doet wat gek aan, maar gezien de partijen waarmee de EC dit heeft opgesteld toch weer logisch. In het Amerikaans recht, waar deze clubs vandaan komen, staat de vrijheid van meningsuiting op een hoog voetstuk. Tussenpersonen zoals forumbeheerders zijn daarom volledig beschermd tegen aansprakelijkheid (47 U.S.C. § 230) voor hetgeen hun gebruikers plaatsen. Hierop geldt slechts één uitzondering: wanneer een forumlid een auteursrechtinbreuk begaat, is de beheerder gehouden op klacht de inbreuk te beëindigen (een DMCA notice/takedown). Maar ook al staat je sociale netwerk vol met de meest ranzige haat, je bent er formeel niet aansprakelijk voor.

In het Europese recht ligt de bescherming van tussenpersonen genuanceerder. De E-commercerichtlijn bepaalt dat tussenpersonen wiens dienst eruit bestaat dat zij informatie van anderen opslaan en doorgeven, niet aansprakelijk zijn voor de inhoud wanneer zij deze niet vooraf screenen en een adequaat notice-takedown regime hanteren. Dit betreft echter alle mogelijke onrechtmatige inhoud, en niet alleen auteursrechtinbreuk. Je moet dus bij ons sowieso al in actie komen als er haatzaai-inhoud geplaatst wordt.

Wel zit je natuurlijk met de lastige vraag wanneer sprake is van dergelijke inhoud. Onder de huidige regels moet sprake zijn van onmiskenbaar onrechtmatige inhoud, oftewel iets waar niet aan te twijfelen valt. De gedragscode maakt daar geen verwijzing naar. Wel zie ik een definitie van haatcontent, en die is specifiek gericht op bevolkingsgroepen en xenofobie:

all conduct publicly inciting to violence or hatred directed against a group of persons or a member of such a group defined by reference to race, colour, religion, descent or national or ethnic origin.

Je vraagt je dan af waarom niet doorgepakt naar álle vormen van discriminatie, zoals op grond van geslacht of seksuele voorkeur. Misschien omdat het zo beter te verkopen was aan de Amerikanen? Of omdat de werkgroepen in kwestie alleen gericht zijn op rassendiscriminatie?

De bedrijven beloven in principe binnen 24 uur te reageren op onderbouwde klachten, en wel door de berichten te blokkeren of weg te halen. Ook zeggen ze toe hun gebruikers op te gaan voeden op dit punt.

Ik zit een beetje in dubio. Enerzijds is dit (volgens Europese en Nederlandse regels) niets nieuws. Je moest sowieso al reageren op alle (evident juiste) klachten, ook bij haatzaaien en discriminatie. Je moest sowieso al op de stoel van de rechter gaan zitten als hoster/tussenpersoon en ingrijpen. “Kom maar terug met een gerechtelijk bevel” was nooit een geldige reactie. Maar anderzijds voelt het alsof er nu iets nieuws ingevoerd wordt, alsof de lat lager ligt en de verplichting hoger. Ik krijg er alleen niet de vingers achter waar hem dat in zou zitten.

Arnoud

Mag je mensen ethisch scammen?

Geplaatst op in Security, 13 reacties

ring-bel-alarm-geluidEen lezer vroeg me:

Ik lees veel over ethisch hacken en vroeg me af of dat ook voor andere misdrijven geldt? Ik overweeg een “ethische scam” op te zetten. Ik adverteer producten voor €10, en wie geld overmaakt, krijgt een uitleg dat ze opgelicht zijn maar met tips hoe je dat voortaan herkent en wat je kunt doen om het te voorkomen. De €10 houd ik dan als vergoeding voor het advies.

Het strafrecht kent geen uitzondering voor misdrijven die je “ethisch” begaat. Ook hacken – computervredebreuk – is en blijft volgens de letter van de wet strafbaar als je het met de meest ethische nobele motieven begaat.

Alleen vinden we ondertussen dat iemand die dat zeer netjes doet, én zich netjes meldt én geen schade berokkent, niet veroordeeld zou moeten worden. Het belang van het melden van securitybreaches en datalekken weegt zwaar, en als er dan verder ook geen schade of persoonlijk gewin is, dan is er weinig reden iemand nog te vervolgen. Maar dat is geen wettelijke grond waar je je op kunt beroepen, het is coulance.

Deze ethische scam is een aardig idee maar ik denk dat hier heel wat minder draagvlak voor is. Bovendien berokken je mensen zo schade: die tien euro zijn ze kwijt. Dat je (ongevraagd) advies geeft, maakt niet uit. Ik zou dit dus dringend afraden.

Als je mensen hun geld zou teruggeven, dan is in ieder geval de schadecomponent eraf. De kans op vervolging wordt dan kleiner. Maar het blijft voor mij zeer dubieus.

Wat zouden jullie doen als je op deze manier werd “opgelicht”?

Arnoud

Mag je jezelf de Tinder/Uber/Dinges voor X noemen?

Geplaatst op in Ondernemingsvrijheid, 3 reacties

http-www-url-merk-adres-hand.pngEen lezer vroeg me:

Ik wil een app maken waarbij je dingen selecteert door er doorheen te swipen, net zoals bij Tinder. Mag ik dan zeggen dat ik “de Tinder voor X” ben? Dat is voor iedereen duidelijk en je hoort het ook de hele tijd in reclame en zo. Maar ik gebruik wel hun merknaam bij mijn product.

Het gebruik van een merknaam is in principe alleen toegestaan om naar het merkproduct te verwijzen. Je mag geen verwarring zaaien over jouw band tot de merkhouder, of afbreuk doen aan het merk.

Op zich is “de Tinder voor X” of “de Uber voor Y” een neutrale omschrijving, iedereen snapt dan wat je bedoelt en niemand zal denken “Oh, gaat Tinder/Uber nu ineens ook X of Y doen”. Maar als je het als je éigen omschrijving hanteert, dan wordt dat anders want dan kun je wellicht de indruk wekken dat jij de afdeling X van Tinder bent.

Zeker als je die als ondertitel (tagline) van je eigen dienst opvoert. “HuisdierSelect – de Tinder voor katten”. Zo’n tagline kan worden gezien als een ondertitel en die kan de indruk wekken dat je aangeeft wat je bent. HOe veel merken heb je niet waar dan onder staat “een product van” of “Powered by”. Dus als mensen “Tinder for X” onder jouw naam lezen en denken, oh dat is de afdeling X van Tinder, dan ga je nat.

Arnoud

Maakt die Google/Oracle-uitspraak de GPL krachteloos?

Geplaatst op in Intellectuele rechten, 33 reacties

gpl-sans-plombeJe kunt je mooie GPL vaarwel kussen, las ik bij Ars Technica vorige week. Die Google/Oracle uitspraak die een API fair use verklaarde, gaat namelijk de GPL en consorten onderuit schoffelen. Oké, het was de advocaat van Oracle die dat schreef, maar er zit een argumentatie bij. Dus laten we die eens nader bekijken.

In het kort is het een typisch “de wereld stort in want ik kreeg ongelijk”-verhaal dat te reduceren is tot deze quote:

While we don’t know what ultimately swayed the jury, Google’s narrative boiled down to this: because the Java APIs have been open, any use of them was justified and all licensing restrictions should be disregarded. In other words, if you offer your software on an open and free basis, any use is fair use.

Volgens mij slaat advocate Hurst hier de plank stevig mis, want er is nogal een verschil tussen een API hergebruiken met je eigen code en het hergebruiken van code. En dát is waar de GPL voor geschreven is: copypasten van code, of het linken/combineren van die code in je eigen software. Bij dergelijke handelingen heb ik weinig twijfel dat sprake is van een auteursrechtelijk relevante handeling.

Inderdaad, als iemand een GPL header file of API zou hebben en jij zou een eigen implementatie daarvan schrijven, dan zou je waarschijnlijk in Amerika onder fair use daarmee vrij lopen zodat de GPL niet op jou van toepassing zou zijn. Maar is dat vervelend? Volgens mij is dat een behoorlijk uitzonderlijke situatie en zeker niet de normale wijze van hergebruiken van iemands GPL werk.

Dus nee, hier wordt uit de nek gekletst.

Arnoud

Marathon oplezen gebruikersvoorwaarden apps duurt bijna 32 uur

Geplaatst op in Informatiemaatschappij, 22 reacties

ie-aagree-ezelEen marathon gebruikersvoorwaarden van populaire apps voorlezen in Noorwegen, is na 31 uur en 49 minuten afgerond. Dat meldde Nu.nl vorige week. De Noorse Consumentenbond had deze actie georganiseerd om de absurditeit van de app EULA aan te tonen: niemand leest ze, redelijkerwijs kán niemand ze lezen, dus waar zijn wij met zijn allen mee bezig.

Heel creatief. Het deed me denken aan Richard Dreyfuss die iTunes voorleest, hoewel dat een stuk aangenamer was om te horen dan die Noorse marathon. Maar het punt is in beide gevallen hetzelfde: inhoudelijk zijn standaardvoorwaarden voor consumenten zo onbelangrijk dat het lezen ervan een opmerkelijkheid is.

Ik schrijf die dingen voor mijn brood, maar zelfs ik kom met het lezen meestal niet verder dan de helft. En als ik dat zeg, dan lacht er normaal niemand. En er zijn meer juristen met zulke problemen.

Waarom werkt iedereen dan toch met die dingen? Gewoonte, voornamelijk. Cargo culting: iedereen doet het, het ziet er juridisch uit, dus zal het juridisch wel wat doen. Maar het voegt over het algemeen bar weinig toe, zeker als de app gratis wordt verspreid. Meestal komt het neer op: 1) we denken dat ie het doet, maar zo niet dan heeft u pech 2) ©, hij is van ons, afblijven 3) wij zijn niet aansprakelijk 4) er komen soms updates, zie 1 t/m 3, en 5) deze voorwaarden kunnen wijzigen. Maar dan dus met veel meer woorden.

Oké, er zit iets meer achter. Er is geen relevante contractwetgeving voor apps (en software in het algemeen, om over internetdiensten en SaaS maar niet te spreken). Je moet dus eigenlijk elke keer opnieuw het wiel uitvinden, en dan heeft iedere jurist zijn of haar eigen formulering die net wat beter klinkt. Maar wat mij betreft is het de hoogste tijd voor wettelijke standaardvoorwaarden. Dat hebben we ook voor webwinkels en een heleboel andere soorten contracten. Waarom dan niet voor de meest voorkomende vorm, de softwarelicentie?

Arnoud

Mag je iemands gezicht opzoeken op sociale netwerken?

Geplaatst op in Innovatie, 9 reacties

findface-ruslandRusland is in de ban van FindFace, een app waarmee gebruikers anderen kunnen identificeren door een foto van ze te maken, meldde de Volkskrant vorige week. De app vergelijkt een foto van iemands gezicht met profielfoto’s op Vkontakte, de Russische variant van Facebook. En dat is dan weer handig voor stalkers en dergelijk volk. Oh jee.

Het zal wel weer aan mijn antieke opvattingen over innovatie liggen, maar wat is dat toch dat iets nieuw is omdat het in een app zit? Want heel spannend voelt het niet: gezichtsherkenning als technologie bestaat al jaren, en dat matchen tegen foto-databanken is ook niet echt nieuw. Ook niet als app. (Oké, zomaar even toegang krijgen tot alle foto’s van een sociaal netwerk dat is een creatieve hack, dat wel.)

Mag het? Ja, leuke vraag. Dan haal ik maar weer de Wbp van stal: een foto maken is een verwerking van iemands persoonsgegevens, en dat zul je dus moeten rechtvaardigen onder een eigen noodzaak als er geen toestemming of contract is. (Met portretrecht kom je er niet want dat geldt pas bij publicatie, en de FindFace foto wordt niet gepubliceerd.) Tegen de Volkskrant zei ik dat de gebruikers onder de uitzondering voor huishoudelijke verwerking vallen, maar misschien moet ik daarop terugkomen: als cameratoezicht op de openbare weg er buiten valt, waarom dan niet los fotograferen op de openbare weg? Zeker in combinatie met dat matchen op een netwerk van derden.

Doet FindFace iets verkeerd? Die staat immers hoe dan ook grootschalig persoonsgegevens te verwerken door foto’s te herkennen en te matchen. Dat lijkt me wel, maar ze zouden kunnen zeggen dat ze per geval steeds in opdracht handelen van de consument die doel en middelen kiest, en daarmee zijn zij slechts bewerker en niet zelfstandig aan te spreken voor overtreding van de Wbp. Onder de Privacyverordening zal dat anders liggen, maar die heeft nog twee jaar overgangsrecht voor de boeg.

Daarbij komt – en dat is wel vaker met zulke apps – dat er ook allerlei legitieme toepassingen zijn van zo’n app. Het is handig om snel profielen van je vrienden te vinden. En hoe weet die app nou of jij een stalker bent of de beste vriend van die vrouw die je net fotografeerde?

Het is voor mij vooral de vraag hoe populair dit gaat worden, en hoe het dan misgaat. De eerste rechtszaak zal de toon zetten. Een principiële niet-Facebooker of een al jaren gestalkte dame, dat maakt nogal uit. Plus natuurlijk dat matchen op Facebook iets ingewikkelder is dan bij Vkontakte, dus de implementatie zal nog niet meevallen.

Arnoud

Amerikaanse rechtbank: Gebruik van Java API in Android is fair use

Geplaatst op in Intellectuele rechten, 28 reacties

aapje-api.pngNa twee weken was de jury er snel uit: wat Google deed met de Java API in Android is een “fair use” onder het Amerikaans auteursrecht, derhalve worden geen rechten van Java-eigenaar Oracle geschonden. Dat las ik bij Ars Technica. Google en Oracle liggen al een paar jaar in de clinch over de vraag of (kort gezegd) Google een herimplementatie van Java-functionaliteit mag doen als ze daarbij de API-definities overtypt uit de specificaties van Oracle. Oracle vond van niet en eiste diverse miljarden schadevergoeding.

In 2014 werd nog bepaald dat Android wél inbreuk maakte op de rechten van Oracle. De aangeboden code en de structuur, volgorde en organisatie van de api-packages zijn creatieve keuzes die de resulterende api een auteursrechtelijk beschermd werk maken. Daarom schendt Google met Android het auteursrecht van Oracle door namen, headers en functiedeclaraties over te nemen.

Althans, in principe. Dit is immers recht: er is altijd een uitzondering mogelijk. Omdat Google ongelijk had gekregen op het punt van de auteursrechten (zij hadden gezegd dat er geen auteursrecht zit op een API) was de rechtbank niet toegekomen aan de vervolgvraag of een wettelijke uitzondering op het auteursrecht zou gelden. Dat moest dus alsnog worden bepaald, en bij deze: fair use.

Fair use is een open norm in het Amerikaans auteursrecht. Alles kan fair zijn als je maar kunt uitleggen waarom. Er zijn dan vier factoren:

  1. Het doel en karakter van het gebruik, inclusief de vraag of het gebruik commercieel is of educatief en non-profit;
  2. De aard van het beschermde werk;
  3. De omvang en de scope van het overgenomen deel in verhouding tot het beschermde werk als geheel; en
  4. Het effect van het gebruik op de potentiële markt voor of waarde van het beschermde werk.

Helaas komt dat in dit vonnis niet heel goed uit de verf. Het was een jury-oordeel en die komen niet verder dan “inderdaad, dit is fair.” De jury-instructies geven mij de indruk dat het vooral zal zijn gegaan om de aard van het werk: als Google een eigen herimplementatie mocht doen van de functies, dan móet ze wel de API overtypen anders is haar werk volslagen onbruikbaar. Maar het is nog even afwachten hoe een en ander in vonnis wordt gegoten. En natuurlijk gaat Oracle in hoger beroep.

In Europa ligt het anders. In de SAS-zaak werd bepaald dat de functionaliteit, de programmeertaal en de bijbehorende bestandsformaten geen deel van de beschermde code zijn, maar meer achterliggende ideeën of uitgangspunten waarmee je die code maakt.

… neither the functionality of a computer program nor the programming language and the format of data files used in a computer program in order to exploit certain of its functions constitute a form of expression of that program and, as such, are not protected by copyright in computer programs for the purposes of that directive.

We hebben nu dus twee systemen: in Amerika zit er auteursrecht op een API máár is hergebruik daarvan fair use, en bij ons zit er geen auteursrecht op een API dus leef je uit, qua hergebruik.

Is Java op Android eigenlijk nog wel belangrijk? Ik zie nooit meer Java-applicaties op dat platform.

Arnoud

Moet een Whats-Appbuurtgroep rekening houden met de Wbp?

Geplaatst op in Privacy, 32 reacties

whatsappEen lezer vroeg me:

In steeds meer buurten worden zogenaamde WABP-groepen opgericht. Dit zijn Whatsapp groepen voor buurtbewoners zodat die elkaar via zo’n groep snel kunnen alarmeren als er iets verdachts in de buurt aan de hand is. Je deelt dan foto’s en beschrijvingen van verdachte personen, plus iedereen ziet natuurlijk elkaars telefoonnummer, en beheerders vragen vaak om nog meer gegevens (zoals namen en adressen). Valt zo’n groep ook onder de Wet bescherming persoonsgegevens?

De Wbp is van toepassing op iedere geautomatiseerde verwerking (en dat is ieder gebruik) van persoonsgegevens. Niet alleen als een bedrijf of stichting dat doet. Ook privépersonen hebben dus te maken met deze wet.

De enige echte uitzondering is die voor het strikt huishoudelijk gebruik, maar die uitzondering werd in 2014 ver uitgekleed, toen het Hof bepaalde dat zodra je “buiten de privésfeer geraakt van degene die door middel van dit systeem gegevens verwerkt” je die uitzondering niet meer mag inroepen. Oftewel, het moet écht iets privé zijn en het mag niet met de openbare ruimte te maken hebben.

Een WhatsApp-bericht sturen met daarin een beschrijving (of foto) van een verdacht iemand is dus een verwerking van persoonsgegeven, waar de plaatser voor verantwoordelijk is. De gegevens van groepsleden worden beheerd door de beheerder, en die is daar dus verantwoordelijk voor. En die 06-nummers die iedereen kan zien, daar is WhatsApp dan weer verantwoordelijk voor.

In de praktijk gaat dit allemaal per ongeluk goed, omdat niemand er echt een probleem van maakt. En meestal komt de belangenafweging binnen de Wbp ook wel goed uit: er is een dringend belang bij het elkaar wijzen op verdachte figuren in de buurt, iedereen snapt wat een WhatsApp-Buurtpreventie is, eigenlijk ontbreken alleen de verplichte contactgegevens van de verantwoordelijke. Maar in theorie heb je echt een privacyverklaring nodig, beveiligingsregels en onderlinge afspraken over gebruik van die gegevens.

Arnoud