Is een datalek pas een datalek als je zeker weet dat er data is gelekt?

Geplaatst op in Security, 3 reacties

disc-data-weg-bewaren-kruis.jpgEen lezer vroeg me:

Onze webwinkel is gehackt. We kunnen uit de logs achterhalen dat men via een zwakheid in het CMS is binnengedrongen en diverse bestanden heeft opgevraagd. Eén van die bestanden bevat het pad naar een backup-bestand met daarin onder meer klantgegevens. Helaas hebben wij geen logging op bestandstoegang, dus wij weten nu niet of werkelijk die backup is gedownload door de inbreker. Is dit een datalek en moeten wij dit melden?

De wet (art. 34a Wbp) spreekt van een datalek als sprake is van een “inbreuk op de beveiliging” van persoonsgegevens. Dit moet worden gemeld als er een “aanzienlijke kans op ernstige nadelige gevolgen” is voor de betrokkenen. Een hack waarbij men er vandoor gaat met een backup van klantgegevens zou ik wel als een inbreuk op de beveiliging kwalificeren. Of je die moet melden, hang af van het soort klantgegevens. Bij enkel het bestand van de nieuwsbrief denk ik dat niet, bij NAW + creditcardgegevens zeker wel.

De vraag is dus nu, ís er zo’n hack geweest? Vast staat het niet, maar uitsluiten kun je het ook niet. En dan moet je kiezen als wetgever – of als toezichthouder. Voor de zekerheid als datalek markeren, of pas iets een datalek noemen als het bewijs er ligt?

De toezichthouder (Autoriteit Persoonsgegevens) heeft beleidsregels gepubliceerd over hoe om te gaan met datalekken. Het criterium dat men hier hanteert, is of je “redelijkerwijs kunt uitsluiten” dat er toegang is geweest tot persoonsgegevens. Alleen dan hoef je het incident niet als datalek te behandelen. Men kiest dus voor de zekerheid, liever een lek te veel dan een te weinig gemeld.

Hier valt zeker niet uit te sluiten dat het backupbestand is opgevraagd. Zulke bestanden zijn immers aantrekkelijk voor criminelen, omdat er van alles bij elkaar staat. Leuke buit dus. En daarom moet dit incident als een datalek worden behandeld.

Arnoud

Hoe onbeperkt is dat ‘onbeperkt’ van T-Mobile?

Geplaatst op in Ondernemingsvrijheid, 39 reacties

oneindig-tmobileT-Mobile komt met een nieuwe databundel, die in combinatie met een smartphone of tablet onbeperkte data biedt, meldde Tweakers gisteren. Ja, haha quote quote onbeperkt: Tetheren is toegestaan, maar met een maximum van 20GB per maand. Zo lust ik er nog wel eentje, onbeperkt spareribs maar als je veel eet dan krijg je er maar 20.

Allereerst dan maar even het juridische bezwaar. We hebben in Nederland een strenge wet over netneutraliteit. Art. 7.4a Telecomwet verbiedt het belemmeren of vertragen van diensten of toepassingen op internet (en dus ook de internettoegang zelf) behalve in een paar specifieke uitzonderingen zoals het bestrijden van veiligheidsrisico’s of het blokkeren van spam.

“We willen onbeperkt aanbieden maar niet als mensen dan héél veel gaan slurpen” staat niet in de uitzonderingenlijst. Wat er wél staat, lijkt er een beetje op maar net niet helemaal:

om de gevolgen van congestie te beperken, waarbij gelijke soorten verkeer gelijk worden behandeld;

Je mag mensen afknijpen als het netwerk druk belast is. Logisch, want anders stort de boel in. Maar dit is bedoeld voor concreet handelen in een congestie-situatie, niet om preventief caps te introduceren. En een onderscheid tussen tethered verkeer van een laptop en verkeer vanaf de telefoon of tablet zelf, dat zie ik niet als “ongelijk soort verkeer” in de zin van dit artikel. “Gelijke soorten verkeer” gaat over bijvoorbeeld dat je bij iedereen dan de livestreams afknijpt of Skype maar even blokkeert (in tegenstelling tot alleen bij de basic-abonnees en niet bij de premium-klanten.) Dus nee, dit is in strijd met netneutraliteit.

Ten tweede moet het wat mij betreft écht eens afgelopen zijn met bedrijven die dingen onbeperkt noemen terwijl dat ze niet zijn. Het is gewoon een misleidende handelspraktijk, je geeft een vals voorwendsel over een essentiële kwaliteit van de dienst, namelijk de limiet die erop zit. En nee, die neem je niet weg door in de kleine lettertjes datacaps te noemen. Oneerlijkheid corrigeer je niet met een sterretje.

Natuurlijk, T-Mobile zegt in haar reclame overal netjes dat het voor je telefoon is: “Stel je voor dat je jouw mobiele telefoon buiten net zo kan gebruiken zoals thuis”, “Onbeperkt internet op je smartphone in NL” en dergelijke. Leuk, maar dat maakt niet uit als je vervolgens zegt dat je bij “ongewoon gebruik” gaat onderzoeken en afknijpen. Internettoegang mag niet worden beperkt afhankelijk van of je met een telefoon dan wel een laptop internet op gaat.

T-Mobile noemt dat overigens “misbruik”:

Als we vermoeden dat je misbruik maakt van de bundel, bijvoorbeeld door gebruik als vaste lijn, dan nemen we contact op.

Maar “misbruik” is geen grond uit de wetgeving over netneutraliteit. Wat in de wet staat, is “integriteit en de veiligheid van het netwerk”. Die komt in gevaar als mensen bijvoorbeeld malware verspreiden, dan mag je ze in een sandbox stoppen. Maar de integriteit van het netwerk komt niet in gevaar omdat mensen de hele dag zitten te slurpen.

Dus nee, ik zie niet hoe dit legaal kan zijn. Maar ja, wie ben ik.

Arnoud

Mag een werkgever wachtwoorden kraken?

Geplaatst op in Ondernemingsvrijheid, Security, 28 reacties

password-salt.jpgEen lezer vroeg me:

Onze IT-afdeling heeft besloten dat security een extra aandachtspunt wordt en als onderdeel daarvan wil men middels rainbow tables en andere tools alle wachtwoorden uit het bedrijf eens gaan controleren. Ik heb daar moeite mee: ik gebruik sterke wachtwoorden maar bouw die wel op volgens een bepaald patroon, en als dat straks in interne documenten gaat rondzwerven dan schaadt dat juist de security. Mag de werkgever dit wel doen? Er zijn toch betere manieren om de beveiliging te versterken, zoals tweefactorauthenticatie.

Juridisch gezien denk ik dat hier weinig tegen te doen is. De werkgever bepaalt hoe het werk wordt uitgevoerd, dat is haast de definitie van werkgeverschap. Als hij vindt dat je wachtwoord zestien tekens lang moet zijn met maximaal acht letters, dan heb je maar zo’n wachtwoord te verzinnen. Wil hij geen tweefactorauthenticatie, dan zul je je daar als werknemer bij neer moeten leggen.

Het kraken van wachtwoorden om te kijken hoe sterk ze zijn, doet wat gek aan. Ik snap het wel: veel mensen hebben zwakke wachtwoorden, en met zo’n test kun je kijken hoe slecht je ervoor staat, om vervolgens draagvlak te creëren voor sterkere wachtwoorden of regels. Maar het kan vervelend zijn voor mensen die al een eigen, sterk wachtwoord hebben en zich nu verplicht zien een heel ander soort wachtwoord erop na te houden.

Ik weet alleen echt niet hoe je daar iets tegen kunt doen als werknemer. Dit is geen wijziging van je arbeidscontract of een schending van je grondrechten, en apert onredelijk kan ik deze actie ook niet noemen. Dat een andere oplossing sterker is (tweefactorauthenticatie) zie ik meteen, maar dat is echt de keuze van de werkgever. Ik zou dus niets anders weten dan het overleg aangaan en hopen dat de IT-afdeling inziet dat dat een betere besteding van het budget is.

Arnoud

Hoe de KNVB en Always meisjes maandverband opdringen

Geplaatst op in Privacy, 18 reacties

e-mail-email-brief-post-envelopIemand met de functie ‘marketing intelligence’ bevestigt dat de KNVB ‘persoonsgegevens’ van leden verkoopt, meldde de Volkskrant licht verontwaardigd. De verkochte persoonsgegevens betroffen namelijk Volkskrantlezer Anne de Rooij en haar elfjarige dochter, die een “vrolijke envelop met smileys en de tekst ‘Kleine meisjes worden groot…’ ” ontving met daarin twee stuks Always maandverband. Ja, die puntjes vond ik ook dubieus. Maar goed, laten we bij het juridische blijven: mag de KNVB dat zo doen en mag de Always dan die reclame uit sturen?

De dochter blijkt vier jaar eerder bij de KNVB lid te zijn geweest. De voetbalbond heeft bepaalde gegevens (ongeveer: “Op adres X woont een meisje geboren in 2005”) verkocht aan databeheerbedrijf EDM, die ze op basis van intelligente profielen in liet zetten voor deze reclameactie van het maandverbandmerk. Dus laten we eens met de KNVB beginnen, mag die dat? Ja, aldus de bond: er is door de ledenvergadering toestemming gegeven voor dergelijke handel. Dat lijkt me niet heel relevant, sinds wanneer geeft de ledenvergadering opt-ins op lidgegevens?

Toen viel ik van mijn stoel, want de journalist had de Autoriteit Persoonsgegevens gebeld en die zegt:

Een vereniging mag na toestemming van de ledenvergadering inderdaad gegevens over die leden verstrekken voor commerciële activiteiten.

Dat wordt bevestigd in hun informatieblad over verenigingen:

Uw vereniging hoeft u niet expliciet om toestemming te vragen om uw gegevens door te geven als het gaat om activiteiten die zijn goedgekeurd door de ledenvergadering.

Wel moet je worden geïnformeerd en heb je een recht van verzet (opt-out) als je niet wilt dat men dit doet.

In telefonisch overleg meldt de AP aan mij dat goedkeuring door de ALV niet genoeg is. Je moet nog steeds toestemming of een andere grondslag vinden, bijvoorbeeld een eigen dringende noodzaak (art. 8 sub f) die zwaarder weegt dan de privacy van de leden. De goedkeuring ALV is een extra controle: zonder goedkeuring mag het überhaupt niet. Maar goedkeuring impliceert niet “alles mag”. Ik kan dan werkelijk geen rechtvaardiging bedenken onder die dringende noodzaak die handel in persoonsgegevens rechtvaa rdigt.

Dan duik ik nog even in de melding van de KNVB van haar verwerkingen als vereniging. Hierin staat gemeld dat men gegevens gebruikt voor reclame- en marketingactiviteiten. Alleen zie ik daar niet dat er verstrekt wordt aan dat EDM, tenzij dat onder “listmanagers” valt wat ik wel héél obscuur zou vinden. Verder is dat gebruik gekoppeld aan “Informatievoorziening aan de leden”, wat voor mij betekent dat het informatievoorziening dóór de KNVB is, waaronder reclame en marketing. Van de KNVB zelf dus. Ik zie dan ook geen melding van deze verkoop aan derden.

Via Twitter wijst Simon Hania erop dat het mogelijk kan gaan om een foute interpretatie van het Vrijstellingsbesluit Wbp. Daarin staat namelijk een vrijstelling voor verenigingen bij een verstrekking van persoonsgegevens aan

anderen, in de gevallen bedoeld in artikel 8, onder e en f, van de wet, voor zover het slechts gegevens betreft als bedoeld in het derde lid, onder a, en nadat het voornemen daartoe aan de betrokkene of diens wettelijk vertegenwoordiger is medegedeeld en deze gedurende een redelijke termijn in de gelegenheid is geweest het recht als bedoeld in artikel 40 of 41 van de wet uit te oefenen.

Die zou goed kunnen. Er is een wijdverbreid misverstand dat dingen mogen omdat ze in een vrijstelling staan. Dat is echt onzin. De vrijstelling gaat immers alleen over het moeten melden van deze verwerking. Het wil niet zeggen dat de verwerking überhaupt legaal is. Je moet nog steeds gewoon voldoen aan alle wettelijke eisen, en netjes het Vrijstellingsbesluit volgen is géén garantie dat je voldoet. Maar als ik een euro kreeg voor elke keer dat mensen dat misverstand uiten, dan had ik een dag minder kunnen werken. Maar de tekst hier lijkt genoeg op die uit het informatieblad om de basis te kunnen zijn van het misverstand.

Vervolgens dat matchen en reclamemaken door EDM voor Always. Als er een grondslag is voor de KNVB om die gegevens aan EDM te geven ten behoeve van marketing, dan mag EDM natuurlijk ook die marketingactiviteit uitvoeren. Niet naar kinderen, staat er dan. Klopt: het is een verboden (‘agressieve’) handelspraktijk, art. 6:193i BW om

e. kinderen in reclame er rechtstreeks toe aanzetten om geadverteerde producten te kopen of om hun ouders of andere volwassenen ertoe over te halen die producten voor hen te kopen;

Het doet dan wel wat raar aan dat de envelop zodanig is opgemaakt dat een kind zou denken, dit is wat voor mij. Maar goed, daar ben ik vast een kniesoor in.

En raar, dat is het algehele gevoel dat ik hierbij heb. Ik kan niet vinden hoe dit legaal is onder de Wbp. Maar je zou denken dat een club als de KNVB toch wel dingen juridisch checkt voordat ze zulke marketing doen?

Tijd om massaal te gaan opt-outen tegen zulke handel?

Arnoud

Moet Blendle eigenlijk geen prijs bij het artikel tonen?

Geplaatst op in Informatiemaatschappij, 12 reacties

blendle-kopenKrantenartikelsite Blendle verkoopt artikelen zonder te melden wat die kosten, meldden diverse lezers me. Weliswaar kun je achteraf een aankoop terugdraaien en het gaat maar om dubbeltjes per artikel, maar toch. Mag dat, een nieuwsbericht verkopen zonder vooraf te zeggen wat dat kost?

De wet is vrij streng als het gaat om online verkopen. De prijs is “essentiële informatie”, en wie die niet toont begaat een oneerlijke handelspraktijk (art. 6:193e BW). Dat maakt de overeenkomst annuleerbaar door de consument.

Ook geldt specifiek bij online handel (waar Blendle ook onder valt) dat je (art. 6:230m BW) moet melden:

de totale prijs van de zaken of diensten, met inbegrip van alle belastingen, of, als door de aard van de zaak of de dienst de prijs redelijkerwijs niet vooraf kan worden berekend, de manier waarop de prijs moet worden berekend, en, in voorkomend geval, alle extra vracht-, leverings- of portokosten en eventuele andere kosten of, indien deze kosten redelijkerwijs niet vooraf kunnen worden berekend, het feit dat er eventueel dergelijke extra kosten verschuldigd kunnen zijn.

Doe je dat niet, dan is de consument niet gebonden aan je overeenkomst. Oké, dan mag hij het artikel ook niet meer lezen maar dat is een tikje mosterd na de maaltijd natuurlijk.

Blendle rechtvaardigt hun keuze als volgt:

Door de prijs al in de brief te vermelden, zou er een gekleurde selectie ontstaan. Je zou een artikel misschien constant beoordelen op basis van de prijs, in plaats van op de inhoud. Wij denken dat het beter is als je achteraf beoordeelt of het artikel dat bedrag waard was.

Dat is sympathiek en op zich creatief (en nogmaals, het gaat om dubbeltjes) maar het klopt niet met de wet. Die laat geen ruimte voor welke motivatie dan ook waarom je de prijs niet hoeft te tonen.

Maar wacht. Blendle werkt eigenlijk niet met een aparte aankoop per artikel. Volgens de “leukste algemene voorwaarden” (ik neem aan omdat ze zo triviaal ongeldig zijn wegens niet op kunnen slaan en wegens de hilarisch ongeldige exoneratie en wijzigingsbedingen) gaat het zo:

Bij inschrijving maak je een online ‘portemonnee’ aan. Deze kun je aanvullen met een bedrag tussen €5,- en €150,- door middel van een betaling aan Blendle. Onze betaaldienstverlener, Adyen BV, verwerkt deze betalingen. Het tegoed kun je aanwenden om toegang te krijgen tot edities en artikelen. Als een artikel niet bevalt, kun je simpel je tegoed terugkrijgen. Dat kan tot 24 uur na de aankoop. Er geldt een fair-use-policy: als we het idee krijgen dat je misbruik van deze optie maakt kunnen we de optie blokkeren. We laten je het in dat geval uiteraard weten. Aangeschaft tegoed wordt enkel teruggestort bij bijzondere omstandigheden. In een dergelijke situatie wordt het resterende deel van het aangeschafte bedrag teruggestort. Wij zijn namelijk verplicht het tegoed dat reeds gebruikt is, uit te betalen aan de uitgevers.

De betaling die je doet naar die portemonnee is natuurlijk wél volgens de regels. Je kiest zelf welk bedrag je erin doet, dus daarmee is de prijs van die opwaardeertransactie vooraf bekend. Niks aan de hand dus.

Maar dat gaat me te snel: de aanschaf van een artikel kost geld, en of dat nu uit een tegoed komt of uit een aparte betaaltransactie, het is een betaling. En ik zie geen reden waarom de wet daar niet op zou gelden. Als bol.com zou werken met online tegoed (zoals bij hun cadeaubonnen) en dan zou zeggen “we willen niet dat je onze producten beoordeelt op prijs, vandaar dat we achteraf melden wat er uit je tegoed is gehaald”, dan zou dat toch heel raar zijn? Waarom bij nieuwsberichten dan niet?

Arnoud

Mag een webwinkel gratis retourneren koppelen aan een waardebon?

Geplaatst op in Ondernemingsvrijheid, 21 reacties

push-for-coin-retour-ontbinding.pngEen lezer vroeg me:

Bij Kleertjes.com geldt nu een nieuwe regel voor retourneren. Je kunt gewoon retourneren en je geld terug krijgen, maar dan betaal je zelf de retourkosten. Wil je gratis retourneren, dan kan dat ook maar dan krijg je een waardebon in plaats van je geld terug. Is dat legaal?

Wie online iets koopt, heeft (behoudens een paar uitgezonderde categorieën) altijd het recht de aankoop binnen 14 dagen te annuleren. Je hebt dan recht op je geld terug, en ook op de heenzendkosten en andere administratieve kosten (art. 6:230r BW). Heb je voor duurdere dan normale verzending gekozen, dan hoef je dát niet terug te krijgen.

Natuurlijk moeten de producten terug, en dat kost geld. Die kosten komen volgens de huidige wet voor rekening van de winkel, tenzij de winkel heeft gezegd dat die voor je eigen rekening komen. De wet (art. 6:230s BW) zegt het iets omslachtiger:

De consument draagt de rechtstreekse kosten van het terugzenden van de zaak, tenzij de handelaar heeft nagelaten de consument mee te delen dat hij deze kosten moet dragen.

Een winkel mag dus zeggen “Terugzenden is op eigen kosten”. (Ze moeten dat wel expliciet doen, alleen maar zeggen “Terugzenden graag naar postbus 123 te Amsterdam” is niet genoeg.) En omdat ze dat mogen zeggen, mogen ze ook zeggen “Terugzenden is op eigen kosten, maar wil je een waardebon in plaats van geld dan krijg je op die waardebon óók de terugzendkosten gezet”. Je wettelijk recht wordt hierdoor niet aangetast.

Wat dan weer niet mag, is je recht van retour opgeven zoals het Amerikaanse Jet.com doet: je kunt daar kiezen tussen de gewone prijs met ruilrecht of korting in ruil voor niet mogen retourneren. Dat is bij ons onmogelijk, de regel over retourneren is van dwingend recht zoals dat heet.

Arnoud

Kun je worden verplicht via een poel des verderfs aangifte te doen?

Geplaatst op in Iusmentis, 56 reacties

tros-wondere-wereld-chriet-titulaer-computer-mac-internet.jpgHet zijn van die pareltjes die vonnislezen de moeite waard maken. “Naar de overtuiging van eiseres is het gebruik van internet in strijd met Gods geboden, omdat het internet een verzamelplaats is van immoraliteit, ongerechtigheid en blasfemie.” Zoiets kom je zelden tegen, toch? En al helemaal in een belastingzaak: de eiseres wilde op papier aangifte doen van omzetbelasting en andere zaken, maar de Belastingdienst eist nu eenmaal elektronische aangifte. Kun je dan met een beroep op de vrijheid van godsdienst daar omheen?

Als ondernemer moet je sinds een tijdje elektronisch aangifte doen bij al je belastingzaken. Papier mag eigenlijk niet meer, en sinds 2014 wordt dat ook echt gehandhaafd: een papieren aangifte wordt genegeerd en in plaats daarvan krijg je een naheffing. Maar helemaal consequent blijkt men niet te zien, bij deze eiser werden sommige aangiftes omzetbelasting wél beboet (nageheven?) en andere niet.

Hoe dan ook, de ondernemer maakte bezwaar tegen de naheffingen voor het niet elektronisch aangifte doen. En de reden van het bezwaar was dus dat pareltje:

Naar de overtuiging van eiseres is het gebruik van internet in strijd met Gods geboden, omdat het internet een verzamelplaats is van immoraliteit, ongerechtigheid en blasfemie. Zij acht het bovendien ongewenst om derden in haar naam op te dragen dingen te doen die zijzelf onjuist acht. Eiseres wijst er daarnaast op dat de verplichting tot het doen van elektronische aangifte niet geldt voor particulieren en buitenlandse belastingplichtigen.

Voor mij is internet nog steeds die wondere wereld (vandaar het plaatje) maar ik geloof onmiddellijk dat deze eiser dit oprecht anders ziet en echt moeite heeft met elektronisch aangifte doen via deze poel des verderfs. En dat je dan ook je boekhouder dat niet wilt laten doen, vind ik wel consequent.

In juridische termen: aan de eis tot elektronisch aangifte doen kan ik niet voldoen, want dat botst met mijn godsdienstopvattingen. Dat is een in principe rechtsgeldig argument. De vrijheid van godsdienst is een grondrecht, en je kunt daarmee in principe tegen elke rechtsregel bezwaar maken. Alleen ligt de lat wel hoog. Het moet echt gaan om een regel die jou zonder goeie grond zwaar in de weg zit bij de uitoefening van je godsdienst. Uit het vonnis:

Hoewel deze vrijheid in de genoemde verdragsbepalingen dus ruim wordt omschreven, vloeit daaruit niet voort dat het een ieder zou vrijstaan zich aan wettelijke voorschriften te onttrekken, ook indien deze geen betrekking hebben op het in enigerlei vorm tot uiting brengen van godsdienst of overtuiging, door op grond van aan zijn godsdienstige opvattingen of overtuiging ontleende bezwaren de nietigheid of ongeldigheid daarvan te zijnen aanzien in te roepen.

Een regel zoals deze, die in feite niets met godsdienst te maken heeft, moet het wel héél bont maken om opzij gezet te kunnen worden met een beroep op de vrijheid van godsdienst. En het verbaast dan ook niet dat de eis wordt afgewezen:

[D]e rechtbank is van oordeel dat de vennoten door het gebruik van internet voor het voldoen aan de elektronische aangifteverplichting niet op enige wijze in de uiting van hun geloofsovertuiging worden beperkt. De rechtbank betrekt daarbij in haar oordeel dat de wijze waarop en de mate waarin van het internet gebruik wordt gemaakt door de gebruiker zelf kan worden bepaald, bijvoorbeeld door het gebruik tot bepaalde websites te beperken en/of het instellen van filters.

Het is immers niet zo dat je bij iedere stap op internet gelijk de immoraliteit, blasfemie en andere onfatsoenlijkheden opgedrongen krijgt. Het is er, zonder meer, maar je moet er wel even een paar keer voor klikken. En wie zich beperkt tot de beveiligde website van de belastingdienst, heeft buitengewoon weinig kans dergelijk materiaal in beeld te krijgen. En daarmee wordt die hoge lat niet gehaald.

Arnoud

Gebruik van mijn browser betekent akkoord met mijn gebruiksvoorwaarden

Geplaatst op in Informatiemaatschappij, 14 reacties

ie-aagree-ezelGebruik van mijn browser betekent akkoord met mijn gebruiksvoorwaarden, een idee van David Rosenthal, digitaal conservator uit Amerika. Hij vroeg zich af waarom al die sites wegkomen met “Gebruik van onze site betekent akkoord met onze voorwaarden” en of dat niet om te keren was. Dan stel jij voorwaarden aan gebruik van je browser, en dat is niet gek als je bedenkt dat die bedrijven echt dingen dóen met je browser in plaats van alleen passief een tekst en een plaatje op te sturen.

In de kern geen gek argument. Als bezoek van een website akkoord impliceert met voorwaarden waaraan alleen in lichtgrijze tekst onderaan wordt gerefereerd, dan zou je dat ook om kunnen keren. Bijvoorbeeld door in het HTTP verzoek een header op te nemen (“License:”) met een link naar jouw voorwaarden. Ja, dat is nauwelijks opvallend en op een gekke plek, maar niet minder gek dan zo’n lichtgrijze zin. En als de een bindend is, waarom de ander dan niet?

Als eigenaar van een computer heb je zeggenschap over wat daarop gebeurt. Dat weten we in Nederland uit het XS4All/Ab.Fab arrest: de intenetprovider mocht reclame weren van het directmailbedrijf op grond van haar eigendomsrecht op de mailservers. Als dat voor een bedrijf geldt, dan ook voor mij als consument. Eigendom is eigendom. En zeker als je de cookiewet erbij haalt – er mag niets op mijn pc komen zonder mijn toestemming, en waarom zou ik daar geen voorwaarden aan kunnen verbinden?

Persoonlijk geloof ik niet dat browsewraplicenties (want dat zijn dit) rechtsgeldig zijn, precies vanwege dit soort dingen die dan mogelijk worden. Het kan niet waar zijn dat het ophangen van een bordje of het neerzetten van voorwaarden an sich leidt tot gebondenheid daaraan. Er moet iets zijn van een handeling waardoor je aangeeft ermee gebonden te zijn. Enkel een link is niet genoeg, ook niet met een toverformule die een willekeurige handeling tot akkoord verklaart. Door deze blog te lezen, zegt u toe namens uw werkgever drie jaar lang exclusief met ICTRecht zaken te zullen doen, en garandeert u bevoegd te zijn deze toezegging te doen. Giechel.

Maar stel dat je zegt, zoals die sites doen is het wél rechtsgeldig want het is nu eenmaal maatschappelijk aanvaard dat voorwaarden via lichtgrijze zinnen worden aangereikt. Ben je er dan met Rosenthals tegenargument? Dat betwijfel ik dan nog steeds. Hij stopt de tegenvoorwaarden op een wel érg rare plek, in de HTTP headers. En het is bepaald nog niet maatschappelijk aanvaard dat er voorwaarden in headers staan.

Arnoud

Mag minister Kamp wel werken vanaf zijn privémail?

Geplaatst op in Ondernemingsvrijheid, Privacy, 27 reacties

email-e-mail-elektronische-post-envelopMinister Henk Kamp (Economische Zaken) blijft zijn privémail zakelijk gebruiken, ondanks een phishingaanval en waarschuwingen van het Openbaar Ministerie, meldde Nu.nl vorige week. Kamp stuurt af en toe werkdingen naar zijn privémail “omdat dat gemakkelijker is voor mij. Zo is het”. Hij gaat in tegen de officiële richtlijnen, maar kennelijk mag dat. Maar hoe zit dat dan, mag een werkgever daar geen regels aan stellen?

De werkgever bepaalt hoe het werk wordt uitgevoerd. Als mail daarbij nodig is, dan mag je mailen (en zo niet, dan niet). En de werkgever kan dan bepalen wat je doet met die werkmailbox. Privé mailen vanaf de werkmail mag voor 90% worden verboden, en monitoren ligt gevoelig maar er zijn mogelijkheden. Maar er is geen twijfel dat een werkgever kan zeggen, de werkdingen blijven in de werkmail en dat ga je niet doen vanuit je privémailbox thuis.

Alleen: een minister is geen werknemer. Kamp heeft een politiek ambt, maar is daarmee nog geen ambtenaar in de zin van de arbeidswetgeving. Hij kan dus niet juridisch worden gehouden aan de regels over privé en werk die op het ministerie gelden. Iets platter gezegd: hij is de baas en voor de baas geldt, hij mag per definitie wat hij wil. Dus juridisch zijn we heel snel klaar hier. Tenzij blijkt dat hij staatsgeheime documenten doorstuurt, maar daar lijkt geen sprake van te zijn.

Bepaald onhandig is het wel. Het schept natuurlijk een heel raar precedent, en iedere scriptkiddie zal nu gaan proberen die privémailbox eens te hacken want kennelijk is dat een vette buit. Maar ja, hoe zeg je dat tegen een minister?

Arnoud

Welk bordje wint: “niet aansprakelijk” of cameratoezicht?

Geplaatst op in Iusmentis, 19 reacties

Via Twitter kreeg ik deze prachtige combinatie van bordjes:

niet-aansprakelijk-wel-bewaken

Mooi is dat. Enerzijds zeggen dat je niet aansprakelijk bent voor zoekgeraakte kleding, anderzijds trots melden dat je uw en onze veiligheid én eigendommen bewaakt middels cameratoezicht.

Natuurlijk is dit een gevalletje 2x bureaucratische compliance: wie cameratoezicht wil hanteren, moet een bordje ophangen, en wie zijn klanten wil afschrikken van claims, moet een bordje ophangen. Dus hangen er nu twee bordjes maar niemand gaat over het onderlinge conflict van die bordjes, dus blijft het zo hangen.

Maar goed, toch even de jurist uithangen: wat ‘wint’ er nu?

Die vraag is nog ingewikkelder dan je zou denken. Enerzijds is dat “stelt zich niet aansprakelijk”-bordje juridisch betekenisloos, anderzijds is de “wij bewaken” ook niet meer dan een braaftaalfrase voor “wij filmen u”. Dus twee keer zinloos gemeld, als het ware.

Dat exoneratiebordje is betekenisloos, want je kunt niet met een eenzijdige mededeling je aansprakelijkheid beperken. En zelfs als je dat bordje wél als een contract opvat, dan is het niet rechtsgeldig want het contract gaat dan over het passen op de spullen (juridisch: bewaarneming) en het is gewoon niet redelijk om bij bewaarneming je aansprakelijkheid voor kwijtraken uit te sluiten.

Het bewakingsbordje is bedoeld om te voldoen aan de wetgeving over cameratoezicht. Dat mag alleen als dat duidelijk is aangekondigd. Logisch dus dat er een bordje hangt. Maar “U wordt gefilmd door onze beveiligingscamera” klink zo onaardig, dus zetten mensen daar dingen als “Wij waken over uw en onze eigendommen” bij. En dan heb je gelijk juridische grapjassen die dan zeggen “Aha, nu heeft u een zorgplicht op zich genomen om over mijn eigendommen te waken, dus ik stel u aansprakelijk bij vermissing of diefstal daarvan.”

Ik betwijfel of dat houdbaar is, want uiteindelijk wéten we dat mensen het alleen maar zeggen om op een niet-confronterende manier te zeggen dat je wordt gevolgd. Als een agent zegt “mag ik alstublieft uw ID zien” dan is dat ook niet meer dan een beleefde manier van zeggen “Ik vorder hierbij op grond van artikel 2 Wet op de Identificatieplicht inzage in uw identiteitsbewijs zoals bedoeld in artikel 1 daarvan.” En in het Nederlands recht wegen bedoelingen minstens zo zwaar als de letterlijke tekst, zeker bij contractuele afspraken.

Dus wat mij betreft: leuk voor op de borrel zo’n juxtapositie maar het levert niets op.

Arnoud