Geldt het recht op een thuiskopie ook als je een beveiliging moet kraken?

netflix-gratis-maandEen lezer vroeg me:

Mag ik een Netflix-stream opslaan onder de thuiskopieregeling? Dat is toch een legale bron? En mag ik dan de beveiliging kraken, anders krijg ik dit niet voor elkaar.

In de Auteurswet staat (art. 16b en 16c) dat je een kopie mag maken van elk werk dat je te pakken krijgt, behalve (kort gezegd) boeken en standbeelden. Het maakt niet uit of je het koopt of huurt, de enige eis is dat je het uit een legale bron krijgt. Dus ook Spotify-muziek of Netflix-video’s mag je kopiëren voor eigen gebruik. Downloaden uit die legale bron mag dus.

Het is vaak technisch moeilijk of zelfs onmogelijk zonder rare trucs. Dat is een probleem want er is wetgeving tegen het kraken van kopieerbeveiligingen. Die zegt botweg:

Degene, die doeltreffende technische voorzieningen omzeilt en dat weet of redelijkerwijs behoort te weten, handelt onrechtmatig.

Daar is geen woord genuanceerd aan. En het is dan ook een lastige vraag wat er gebeurt als je dat omzeilen doet met het doel een legitiem gebruik (zoals citeren of een thuiskopie) te maken van het werk. Zoals de tekst er ligt, mag het ook dan niet.

Dit onderwerp kwam bij de invoering van dit stukje wet aan de orde. Daarop is vervolgens dit toegevoegd:

Bij algemene maatregel van bestuur kunnen regelen worden vastgesteld die de maker of zijn rechtverkrijgenden er toe verplichten aan de gebruiker van een werk van letterkunde, wetenschap of kunst voor doeleinden als omschreven in de artikelen 15i , 16 , 16b , 16c , 16h , 16n , 17b en 22 van deze wet de nodige middelen te verschaffen om van deze beperkingen te profiteren, mits de gebruiker rechtmatig toegang tot het door de technische voorziening beschermde werk heeft. Het bepaalde in de voorgaande zin geldt niet ten aanzien van werken die onder contractuele voorwaarden aan gebruikers beschikbaar worden gesteld op een door hen individueel gekozen plaats en tijd.

Een AMvB is een lagere regeling dan een wet, die door de regering mag worden ingevoerd. De wet hoeft zo niet te worden gewijzigd, en de Tweede Kamer hoeft er dan ook niet over te stemmen. Dit is dus een manier om het makkelijker te maken om kleine dingen in een wet te enablen; zeg maar de plugin hooks van de wetgeving.

Hieronder valt het maken van de thuiskopie, dat is immers artikel 16b en 16c van de Auteurswet. Het probleem is dus in principe op te lossen – als het zich al voordoet in die mate dat de ministerraad vindt dat er wat aan gedaan moet worden.

Alleen, niet helemaal, want de laatste zin staat hier in de weg: “werken die onder contractuele voorwaarden aan gebruikers beschikbaar worden gesteld op een door hen individueel gekozen plaats en tijd” gaat over streaming content die op jouw verzoek wordt geleverd, Netflix-afleveringen dus. (Nee Wim, dat je het aanzet en dan in een binge-coma zakt terwijl het doorloopt is nog steeds “door hen gekozen plaats en tijd”). Het is niet de bedoeling dat streaming content wordt opgeslagen, dat botst met het businessmodel van de streamers. En daarom mag er geen thuiskopie van worden gemaakt als er DRM op zit.

Arnoud

Google moet naw-gegevens verstrekken van valse reviewer kinderdagverblijf

thumbs-down.jpgGoogle moet de persoonsgegevens overhandigen van mensen die neprecensies over een Amsterdams kinderdagverblijf hebben achtergelaten op de kaartendienst Google Maps. Dat meldde Nu.nl vorige week. De neprecensies gaven ophef bij ouders, maar Google was niet vrijwillig bereid deze weg te halen totdat het bij de rechter kwam.

Uit het vonnis komen een paar wonderlijke feiten naar voren. Het ging om vier recensies, die gekopieerd bleken van andere kinderopvangen. De namen van de recensenten waren niet bekend bij het kinderdagverblijf (oké, dat kan, maar van álle recensenten?) en de profielfoto’s daarbij waren afkomstig van andere personen op internet.

Google deed niets met klachten van het kdv, behalve standaardriedels terugmailen zoals we gewend zijn van Californische techbedrijven:

Google+ local host inhoud van derden. Het is niet de maker van of een tussenpersoon voor die inhoud. We raden u aan geschillen rechtstreeks op te lossen met het individu die de inhoud heeft gepost. Als u niet tot overeenstemming kunt komen en besluit juridische stappen te nemen tegen de individu die de inhoud heeft gepost, en als die stappen leiden tot een juridisch besluit dat het materiaal illegaal is of moet worden verwijderd, stuurt u ons een rechterlijk bevel waarin de verwijdering wordt geëist.

Daarop stapte het kdv naar de Nederlandse rechter. Op enig moment na de rechtszitting kreeg Google een nieuw inzicht en werden drie van de vier recensies verwijderd wegens -u raadt het al- niet nader gespecificeerde strijd met de huisregels. Waarom de vierde mocht blijven staan, is onduidelijk, maar de rechter ziet een overtreding van de regel over valse identiteiten en auteursrechtschendingen (de recensie was immers gekopieerd van elders) en deze moet er dus af.

Hiermee staat tevens vast dat de recensies juridisch niet door de beugel kunnen. Daarmee is aan de eerste van de vier Lycos/Pessers-eisen voldaan. Dat er schade is geleden en dat het kdv die wil verhalen, ligt voor de hand en is legitiem (eis 2). Er is geen andere manier om deze gegevens te achterhalen dan via Google (eis 3). En omdat de onrechtmatigheid hier evident is, is er geen reden om afgifte dan toch tegen te houden (eis 4). Afgeven dus die IP-adressen en wat je nog meer weet.

Voor zover bekend is het voor het eerst dat Google de gegevens van Nederlandse neprecensenten op Google Maps moet overhandigen, zegt Nu.nl dan. Klopt, maar dat is wel een erg specifieke invulling van “voor het eerst”. Het raamwerk (Lycos/Pessers) is immers al lang bekend, dus het is niet gek dat het ook geldt voor Maps-recensenten. Maar ja, iets is alleen nieuws als het de eerste keer is. Of zo.

Arnoud

Is een Periscope-livestream auteursrechtelijk beschermd?

periscope-livestreamVia Twitter kreeg ik de vraag wat je kunt doen als een nieuwsmedium je Periscope-livestream overneemt zonder toestemming of bronvermelding. Inbreuk op het auteursrecht zou je denken, dat geldt immers ook voor livestreams. Alleen, bedacht ik me later: zít er wel auteursrecht op die stream?

Met Periscope kun je live video’s uitzenden die over de hele wereld kunnen worden bekeken, aldus de app-aanbieder. Heel simpel maar effectief. Druk op de knop en gaan met die banaan, pardon telefoon. Een principieel verschil met rondlopen met een ouderwetse camera en dat later op internet zetten zie ik niet; filmen is filmen en op internet zetten is op internet zetten.

Voor auteursrecht is nodig dat je een werk maakt. Vastlegging daarvan is niet nodig, ook op een livestream zit gewoon auteursrecht. Het gaat om de inhoudelijke eis: is sprake van een “eigen intellectuele creatie”, oftewel doet de maker van de video iets creatiefs (dat uit het werk te halen is) waardoor we kunnen spreken van meer dan basaal beeld?

De lat ligt niet heel hoog, maar er is wel iets van creativiteit nodig. Mijn standaardvoorbeeld is de bewakingscamera: die hangt daar om gewoon te filmen wat ergens gebeurt, daar gebeurt niets mee en daar verandert niets aan het beeld behalve wat er in werkelijkheid gebeurt. Dat is niet creatief. Ook een scan van een schilderij is niet beschermd. Een film van anderhalf uur waar een regisseur en producent uitgebreid in edit voordat deze op de markt komt, is natuurlijk wél beschermd.

Periscope zit hier tussenin. Enerzijds is het idee dat je ‘gewoon’ de werkelijkheid filmt, en bovendien heb je geen mogelijkheid om de video te bewerken voordat deze de wereld in gaat. Je bent dus een wandelende bewakingscamera. Anderzijds zit er misschien creativiteit in dat wandelen: je kiest een betere hoek, je houdt de camera schuin en ga zo maar door. En dat zijn typisch activiteiten waarvan juristen vinden dat ze auteursrechtelijke creativiteit opleveren. Derderzijds (hypothenusazijds?): doe je dat vanuit een creatief oogpunt of alleen maar om de werkelijkheid beter vast te leggen.

Spontane activiteiten kunnen tot auteursrecht leiden, bepaalde de Hoge Raad in 2008. Het is niet nodig dat mensen zich voornemen een creatief werk te maken, of zelfs maar dat ze auteursrecht wilden. Op de achterbank leeglopen over wat je meegemaakt hebt, levert dus al heel snel een auteursrecht op. Verschil met Periscope is wel dat je meer moet nadenken over je woorden dan over wat je camera vastlegt.

Alles bij elkaar lijkt het me dus zeker mogelijk om auteursrecht te kunnen claimen op je Periscope-stream, maar je hebt denk ik wel de schijn tegen je vanwege de afwezigheid van editten en het live-karakter van de stream. Je zult dus bij een claim op zoek moeten gaan naar redactionele keuzes in de stream: waarom veranderde je daar van hoek of positie, en waarom is dat creatief?

Arnoud

Mag mijn smarttv worden ‘verbeterd’ door dingen uit te zetten?

televisie-televisionEen lezer vroeg me:

Wij hebben een home cinema set met Smart TV. Daarmee kun je met apps van de leverancier televisie kijken, bijvoorbeeld Uitzending Gemist. Op zeker moment werkte dat niet meer, en navraag bij de fabrikant leerde me dat men had “besloten SmartTV niet langer te ondersteunen in het kader van verbetering van het product”. Kan dat zomaar, functionaliteit uitzetten in een gekocht product?

In principe kan zoiets niet. Je koopt een product met bepaalde verwachtingen, en als het product die op zeker moment niet meer waarmaakt, dan is dat een conformiteitsgebrek. Of het nu is dat de stekker doorbrandt, een knopje afbreekt of de Smart TV-functie ermee ophoudt, dat hoef je niet te verwachten dus dat is gewoon een probleem.

In principe, want er is natuurlijk een verschil tussen een afgebroken knopje en een dienst als Smart TV: dat laatste is een dienst, en diensten kunnen op zeker moment stoppen (waar we het vaker over hebben gehad).

Dit steekt behoorlijk, dat wel. Want je kóópt dat apparaat mede vanwege die functie. En hoewel iedereen wel snapt dat je van een leverancier niet kunt verlangen dat deze tot in de eeuwigheid een dienst actief houdt, krijg je nu dus wel de vraag: hoe en wanneer mag dat dan? Want het voelt erg onbillijk als men zomaar ergens de stekker uit kan trekken omdat het toevallig niet meer uitkomt.

Helaas is dit een ongeregeld iets uit de wet. De enige optie is de algemene regel over redelijkheid en billijkheid (art. 6:248 BW), maar dat is in feite niet meer dan “dit kan niet waar zijn” in juridische taal. Waarom is het niet redelijk? Of beter gezegd: wanneer zou het wel redelijk zijn? Wanneer mag een leverancier zeggen, ik stop met deze dienst want het wordt me te duur/complex?

Arnoud

Duitse mededingingsautoriteit onderzoekt Facebook om gebruiksvoorwaarden

facebook-duitsland-likeHet Bundeskartellamt laat weten dat het is begonnen met een onderzoek naar Facebook, omdat de toezichthouder vermoedt dat het bedrijf zijn dominante marktpositie misbruikt, las ik bij Tweakers. Het misbruik zou eruit bestaan dat ze steeds meer privacyschendingen opdringen, waar iedereen dan zich verplicht voelt toestemming voor te geven. Want tsja, ga maar eens weg bij Facebook.

De aankondiging verraste me wel een beetje. Als het gaat om privacyschendingen, dan zou je zeggen dat de privacytoezichthouder daar wat van moet vinden. En in Duitsland gebeurt dat ook met enige regelmaat. Wordt er wel netjes toestemming gevraagd, krijgt de gebruiker adequate informatie, kun je je dossier inzien en wordt er geen data naar het perfide Amerika gesmokkeld, dat soort dingen zijn eigenlijk gewoon privacyvragen. Dus waar bemoeit die mededingingswaakhond zich mee?

Tegelijk voelt het ook heel logisch. Het punt met Facebook is niet zozeer dat ze heel veel van je vragen en je diep besnuffelen om getargete advertenties naar je te sturen. Het punt is vooral dat je eigenlijk geen keuze hebt. Weggaan bij Facebook is voor veel mensen geen optie. Het netwerk is te waardevol om contact te onderhouden met familie, vrienden en kennissen. En dát noemen we een schending van de Mededingingswet, mensen de facto dwingen bij je te blijven en ze dan steeds eenzijdiger voorwaarden opleggen of dingen laten doen.

Een ander punt waar de Bundeskartellamt mee komt, is dat de terms & conditions van het sociale netwerk wel héél erg onduidelijk en daardoor onbegrijpelijk zijn voor de gemiddelde consument. Wat gebeurt er met je data, en waar ga je allemaal mee akkoord? Zelfs mensen die de Facebook TOS hebben gelezen, weten dat niet: de voorwaarden veranderen immers met enige regelmaat. En gezien de impact die dat heeft, is ook dat een stukje machtsmisbruik.

Ik ben heel benieuwd wat hieruit gaat komen. Want iedereen weet: als een kartelwaakhond je in het vizier heeft (een hond met een vizier?), dan heb je een serieus probleem. De boetes zijn stevig en men is niet bang voor politieke gevolgen.

Alleen: wat zouden ze kunnen doen? Ja, boetes opleggen natuurlijk, maar meestal doe je dat om een gedragsverandering af te dwingen. Maar wat zou Facebook anders moeten doen? Haar voorwaarden en privacyverklaring leesbaarder maken? Wat ze ook opschrijven, niemand leest het. Vaker apart toestemming vragen? Alsjeblieft zeg, ik heb nóg RSI van al die cookiepopups. Minder data verzamelen? Ah kijk, nu komen we ergens. Alleen, dat kost Facebook geld en dat moet dan ergens vandaan komen. Een betaald snuffelvrij abonnementje dan? Ik zou wel een paar tientjes per jaar betalen daarvoor. Jullie?

Arnoud

Mag de HEMA haar fotosoftware zomaar uitzetten?

hema-foto-softwareDeze software wordt op 16 februari 2016 vervangen door een geheel nieuwe versie, las ik in de Google Cache. Want de huidige pagina werkt niet meer, net zo min als de software zelf. En daarmee hadden mensen toch jarenlang fotoalbums opgebouwd. Het haalde onder meer de kranten. Kan de HEMA die software zomaar uitschakelen?

Omdat de HEMA van leverancier gewisseld is, kunnen de oude albums niet meer worden verwerkt en moet iedereen dus overstappen. Begrijpelijk op zich, maar alle oude data (de albums en vaak ook de fotobestanden zelf) zijn nu weg. En het lijkt erop dat daar geen oplossing voor is.

Volgens de HEMA is het aangekondigd in de nieuwsbrief en op Facebook, maar lang niet iedereen raadpleegt die kanalen natuurlijk. Het verbaast mij ook: hoe moeilijk is het een popup in die software op te nemen “Let op, over 3 maanden stopt deze software met werken”? Dat lijkt me wel zo zorgvuldig.

Helaas is er wettelijk eigenlijk niets geregeld. Online software is juridisch niet anders dan een glazenwasser: zolang er een overeenkomst is, kun je aanspraak maken op de dienst, maar zodra een der partijen opzegt, houdt dat op. En resultaten van die dienst bestaan juridisch niet, tenzij het om concrete fysieke zaken gaat maar een online fotoalbum is dat niet. Data is juridisch niets.

En ja, de HEMA mag zo’n overeenkomst eenzijdig opzeggen. Dat staat in de wet (art. 7:408 lid 2 BW). Het gaat hier om een overeenkomst voor onbepaalde tijd, en dan mogen beide partijen die opzeggen wanneer dat zo uitkomt. Wel moet je daarbij rekening houden met de belangen van je wederpartij, maar zoals we in de T-Mobile Flex&Relax-zaak zagen, dat gaat vooral over opzegtermijn en soms een schadevergoeding aanbieden.

Schade is niet echt aan de orde. Je zou ze dus op (het aankondigen van) de opzegtermijn kunnen aanspreken, maar ook dat is niet heel sterk. En dan nog. Stel ze hadden wél drie maanden van tevoren gezegd “De dienst stopt, sorry”, dan nog ben je best ontevreden: je wilt je data en de bijbehorende albums (de metadata) graag exporteren naar een andere dienst (of dienstverlener). Maar precies dat is nu net niet wettelijk geregeld. Data-export is geen recht.

Wat mij betreft is dát het eerstvolgende dat in het consumentenrecht wordt geregeld, maar ik vrees dat we dan nog wel even kunnen wachten. De enige juridische optie is dan nog te beredeneren waarom het redelijk is dat een leverancier dit moet aanbieden. Alleen, wat is dan het argument? Iets graag willen maakt het nog niet redelijk. Gaan er maatschappelijk dingen mis? Is dat beetje extra werk van de foto’s zelf in kopie bewaren nu echt zo bezwaarlijk? Móet je wel deze software gebruiken of zijn er gewoon alternatieven die wel een exportknop hebben?

Arnoud

Mag een webwinkel je een jaarabonnement verkopen?

dino-discountWie wat koopt bij Dinodiscount, zit aan een abonnement vast dat honderden euro’s per jaar kost. Dat las ik bij Tweakers (dank, tipgevers). Dinodiscount is een webportaal voor iedereen die graag voor inkoopsprijzen producten wil bestellen en zo een heel leuk centje extra kan gaan verdienen, zo staat op de site. Maar wat ik dan niet direct kan vinden, is dat je een betaald lidmaatschap (abonnement) bij ze afsluit, terwijl dat wel is waar de vrouw van de vraagsteller over viel. Oké, het staat in de voorwaarden maar is dat dan genoeg?

De consumentenwet is vrij simpel: alle essentiële informatie over een product moet voorafgaand aan het sluiten van het contract expliciet zijn gemeld. Je mag dat niet verstoppen in algemene voorwaarden of prijslijsten. Zo staat het letterlijk in de wet, art. 6:230m BW:

verstrekt de handelaar de consument op duidelijke en begrijpelijke wijze de volgende informatie: … In het geval van een overeenkomst voor onbepaalde duur of een overeenkomst die een abonnement inhoudt, omvat de totale prijs de totale kosten per factureringsperiode. Indien voor een dergelijke overeenkomst een vast tarief van toepassing is, omvat de totale prijs ook de totale maandelijkse kosten.

Dit moet dus voor of bij het sluiten van de overeenkomst zijn gemeld. In het geval van Dino Discount gaat het dan om het registratieproces. Oké, registeren dus. Op het registratieformulier staat het netjes in de eerste alinea:

Dinodiscount is een webshop voor iedereen die op zoek is naar goedkope handel. Door u te registreren op onze website gaat u een duurverband met ons aan voor 1 jaar. U kunt dan een jaar gebruik maken van onze diensten. U betaalt hiervoor slechts 299 euro. Alle producten koopt u dan voor inkoopsprijzen en op die manier kunt u heel veel omzet maken. Veel marktplaatsverkopers kopen hun goederen bij ons in.

Als pietlut merk ik dan wel op dat de prijs een tikje verstopt voelt, zo als vierde zin in een blokje tekst.

Onderaan bij de knop ‘registreren’ staat er dan nog iets over de prijs:

Ik heb het bovenstaande en de algemene voorwaarden gelezen en ik ga akkoord met het betaald lidmaatschap op dinodiscount.

Hoe duidelijk en begrijpelijk is dit alles? Ik blijf er moeite mee houden. Het stáát er uiteindelijk wel, maar om nou te zeggen dat heel voortvarend en expliciet de prijs in je gezicht geduwd wordt, nee. En volgens mij is dat toch echt wat de wetgever wilde zeggen met dit wetsartikel. Helemaal omdat elders in de wet (art. 6:230v lid 3 BW) staat dat je écht écht écht alle onduidelijkheid moet uitsluiten:

De handelaar richt zijn elektronische bestelproces op zodanige wijze in dat de consument een aanbod niet kan aanvaarden dan nadat hem op niet voor misverstand vatbare wijze duidelijk is gemaakt dat de bestelling een betalingsverplichting inhoudt. Indien de aanvaarding geschiedt door gebruik van een knop of soortgelijke functie, is aan de vorige zin voldaan indien bij het plaatsen van de bestelling in niet voor misverstand vatbare termen en op goed leesbare wijze blijkt dat de aanvaarding een betalingsverplichting jegens de handelaar inhoudt.

Dit is dus waarom menig webshop een bestelknop met als tekst “Bestelling met betaalplicht” heeft ingevoerd, want met die tekst voldoe je aan de wet. Het hóeft niet letterlijk op de knop en het hoeft niet letterlijk die tekst, maar hoe meer pixels je verandert hoe dubieuzer het wordt. En ik blijf moeite houden met bovenstaande teksten, “niet voor misverstand vatbaar” kan ik ze niet noemen. Ik ben dus geneigd te zeggen dat aan dit artikel niet voldaan is. Gevolg hiervan is dat de consument deze overeenkomst kan vernietigen (laatste zin van 6:230v lid 3 BW).

Dit staat dan verder los van de vraag of je zo’n abonnement (want dat is het, of je het nu lidmaatschap noemt of niet) mag annuleren op grond van de gewone 14-dagenregel. Bij een dienst die je meteen in gebruik neemt, mag het annuleringsrecht worden uitgesloten. Wel moet je dat expliciet doen bij de bestelling, zo staat in art. 6:230p BW. Die tekst staat dan weer niet bij het “ik heb de AV gelezen”-zinnetje. Dus volgens mij is dat ook nog steeds een route.

Oh, maar wat zie ik nu in artikel 5.3 van die AV:

De consument kan de overeenkomst niet langer ontbinden indien de consument reeds gebruik heeft gemaakt van de door Dinodiscount te leveren diensten. U kunt alleen een bestelling plaatsen nadat u akkoord bent gegaan met de directe levering van onze diensten en daarmee afziet van uw herroepingsrecht met betrekking tot de dienst. (Akkoord is gegeven in de mail waarmee u uw email adres bevestigd en uw account en onze voorwaarden accepteerd)

Dit is dus wat bij het formulier had moeten staan. En nee, deze procedure is fout: je sluit de overeenkomst hier door op dit formulier op “Registreer” te klikken, niet door achteraf nog dingen te gaan bevestigen.

Dat er verder nog van alles anders in de algemene voorwaarden staat, doet niet ter zake. De wet is heel duidelijk: dit soort essentiële dingen moeten in het bestelformulier zelf worden vermeld en geaccordeerd.

Arnoud

Wanneer is een quote een citaat?

quote-citaat-aanhalen-aanhalingstekensRegelmatig krijg ik vragen van mensen die korte stukjes tekst willen gebruiken voor allerlei doeleinden. Een mooie uitspraak op een t-shirt, motiverende posters met iemands gezicht en wat die iemand zei, of een site met quotes beginnen. Mag dat, zo’n quote gebruiken? Wanneer valt dat onder het citaatrecht?

Ook het overnemen van een kort stukje tekst kan een inbreuk op auteursrecht overnemen. Volgens het Infopaq-arrest van het Hof van Justitie kunnen elf woorden al auteursrechtelijk beschermd zijn. Het gaat erom of de overgenomen tekst iets creatiefs, iets eigens van de auteur bevat.

Gelukkig is er het citaatrecht dat bepaalt dat je gedeeltes van iemands werk mag overnemen (en bij een kort werk, het gehele werk) mits je aan een aantal eisen voldoet. De bekendste is de bronvermelding (dat is vindplaats én naam auteur), maar dat is niet de enige. Je mag ook niet meer overnemen dan nodig is voor het doel van je citaat. Oftewel, kon dat niet een paar zinnen minder, moet dat nou écht zo veel?

En dat doel, daar gaat het hier om bij een quoteverzameling. De wet (art. 15a Auteurswet) noemt een aantal toegelaten doelen:

in een aankondiging, beoordeling, polemiek of wetenschappelijke verhandeling of voor een uiting met een vergelijkbaar doel

Het is bijvoorbeeld een ‘aankondiging’ om een still uit een film te laten zien om te melden dat die film nu in de bioscoop draait. Een stukje tekst aanhalen om de taalfouten eruit te halen, lijkt me een beoordeling. Bij een polemiek haal je een citaat aan om vervolgens daarop inhoudelijk te reageren. En in de wetenschap haal je andermans werk aan om erop voort te kunnen bouwen. Allemaal duidelijk, en allemaal niets te maken hebbend met een quote op een shirt of mok, of een motiverende poster of een quoteverzameling punt extensie.

De wet noemt nog de “uiting met een vergelijkbaar doel”, dus daar zal het dan in moeten zitten. Het komt er dan op neer of je je gebruik als redelijkerwijs vergelijkbaar kunt presenteren aan de vier genoemde doelen. Het is wellicht een soort van aankondiging-achtig gebruik als je iemand wilt inspireren door Churchill of Gandhi aan te halen, of om een hoofdstuk te openen met een wijze uitspraak.

Een quotesverzameling, die is iets lastiger. De wetenschappelijke verhandeling? Bronnen bundelen en gemakkelijk de belangrijkste inhoud daarvan ontsluiten? “Dit is wat Churchill allemaal zei tijdens de Tweede Wereldoorlog” voelt als niet heel wetenschappelijk. Er zal dus íets van context nodig zijn, waarom zijn nu juist deze uitspraken relevant om als quote gepresenteerd te worden. Zijn ze heel bekend, wil je bewijzen of ontkrachten dat hij ze werkelijk zei? Een quotesite moet dus iets meer hebben dan alleen quotes om legaal te zijn.

Wat is jullie mooiste quote van iemand uit eender welke industrie of tak van wetenschap? Ik blijf fan van “Computer Science is no more about computers than astronomy is about telescopes.” maar die is dus kennelijk niet van Dijkstra.

Arnoud

Mag een internetprovider je afsluiten bij spam?

spam-verboden.pngEen lezer (dank!) wees me op deze Tweakersdiscussie waarin iemand schrijft:

Gisteren had ik opeens geen internet meer. De lan lampjes van de modem bleven ook allen uit. “Vast een storing” en ik ging naar mijn werk. Tot mijn vader mij belde dat hij de Ziggo helpdesk had gebeld en we worden beschuldigd van het versturen van SPAM mail.

Na enige frustrerende belrondjes kwam er dan toch uiteindelijk een logbestand boven water: “Mail amount : 650”. Oftewel, vanwege 650 uitgaande mailberichten in een tijdsperiode van drie kwartier (07:46:04 tot 08:31:20) werd een automatische blokkade opgeworpen – computer says spam. Mag dat nu zomaar?

Het lijkt logisch dat een internetprovider mag ingrijpen bij geconstateerd kennelijk misbruik, en uitgaande spam is nu eenmaal een groot probleem bij consumentencomputers. Er is dan ook weinig op tegen (als het in de voorwaarden toegelicht staat), afgezien dan van netneutraliteit.

Art. 7.4a Telecomwet bepaalt dat een telecomprovider zoals Ziggo geen internetverkeer mag beperken of blokkeren, behalve in vier genoemde gevallen. Eentje daarvan gaat over spam:

om de doorgifte van ongevraagde communicatie als bedoeld in artikel 11.7, eerste lid, aan een eindgebruiker te beperken, mits de eindgebruiker daarvoor voorafgaand toestemming heeft verleend,

Maar dat gaat over het filteren van inkomende spam bij de provider. Dan is de enige relevante optie nog deze:

ten behoeve van de integriteit en de veiligheid van het netwerk en de dienst van de betrokken aanbieder of het randapparaat van de eindgebruiker;

Uitgaande spam vanaf een consumentklantcomputer wijst er gewoonlijk op dat de computer geïnfecteerd is met een spamversturend virus of andere rommel, en daar ligt dan een schone taak voor de provider. Echter, in dat geval geldt nog een aanvullende eis:

[Als het probleem] wordt veroorzaakt door verkeer afkomstig van een randapparaat van een eindgebruiker, doet de aanbieder voorafgaand aan het nemen van een maatregel waarmee het verkeer wordt belemmerd of vertraagd, melding aan de betrokken eindgebruiker, zodat de eindgebruiker de gelegenheid heeft de inbreuk te staken. Wanneer dit wegens de vereiste spoed niet voorafgaand aan het nemen van de maatregel mogelijk is, doet de aanbieder zo snel mogelijk melding van de maatregel.

Oftewel, eerst bellen en de consument het zelf laten fixen, pas daarna ingrijpen aan de providerkant. Daar lijkt het hier dus mis te gaan, nu er geen overleg is geweest en al helemaal niet voorafgaand aan de blokkade.

Of je zegt, Ziggo moest wel direct blokkeren anders komen hun IP-adressen op allerlei zwarte lijsten. Daar valt wat voor te zeggen, en dan is de vereiste spoed dus aangetoond. Maar dan nog moet er worden gemeld bij de consument dat dit is gebeurt.

Zou de gedachte dan zijn, ze merken het vanzelf en dan gaan ze wel bellen, dat is handiger? Of is er een mailtje verstuurd vanaf het abuse-adres dat vervolgens (oh ironie) in de spambox terechtgekomen is?

Arnou

Mag GHTorrent openbare data van Github aggregeren als onderzoeksdataset?

ghtorrent-data-structureMag je eisen dat je e-mailadres verwijderd wordt uit de GHTorrent dataset? Een veel voorkomende klacht bij dit project. GHTorrent is een onderzoeksproject dat Github-softwareprojecten indexeert en gemakkelijk doorzoekbaar maakt. Hierbij worden ook de e-mailadressen van ontwikkelaars geïndexeerd, waardoor je allerlei koppelingen kunt leggen. Maar mag dat eigenlijk wel?

Github is een van de grootste platforms voor gedistribueerde softwareontwikkeling, met name voor open source. De activiteit op het platform maakt het ook interessant voor wetenschappelijk onderzoek naar gedrag en handelen bij softwareontwikkeling. Zo las ik dat bijdragen van vrouwen eerder opgenomen worden in softwareprojecten dan die van mannen.

Dit onderzoeken betekent dat je honderdduizenden projecten moet doorlopen, iets dat handmatig vrijwel onmogelijk is. Vandaar GHTorrent: plat gezegd een offline mirror van alle Github metadata, zodat je niet per onderzoeksvraag de hele site af hoeft te struinen.

Niet iedereen is daar blij mee. Met name niet omdat ook het e-mailadres van ontwikkelaars opgenomen is. Je kunt dat e-mailadres dan als identifier gebruiken (het man/vrouw onderzoek werkte zo: via het e-mailadres kon je het Google+ profiel vinden en daar het geslacht van de ontwikkelaar achterhalen). En je kunt er natuurlijk ook mail heen sturen, waar de klachten over begonnen. Continu vragen krijgen om mee te doen aan allerlei onderzoek is niet prettig.

De data is publiek. E-mailadressen zijn gewoon zichtbaar, dus iedereen die wil kan dezelfde dataset verkrijgen als GHTorrent. Is het dan slechts een kwestie van fatsoen dat je toch mailadressen blokkeert of van antispam-maatregelen voorziet? Nou, niet per se. In Europa – waar het project vandaan komt – gelden strenge privacyregels ten aanzien van persoonsgegevens, en die gelden ook als de gegevens uit openbare bron zijn verkregen.

Een e-mailadres is een persoonsgegeven onder de Europese regels, omdat het naar een persoon (de ontwikkelaar) te herleiden is. Wie dergelijke gegevens bij elkaar brengt en ontsluit, is daar verantwoordelijk voor. Deze verantwoordelijke moet een grondslag in de wet hebben om dit te mogen doen, en moet zich houden aan de informatieplichten en het recht van inzage, correctie en verwijdering dat alle betrokken personen hebben.

Ook als de data publiek is. Dat ondervond Google in 2014 met het vergeetrecht-arrest: hoewel Google-zoekresultaten afgeleid zijn van openbare bronnen, heeft Google een eigen verantwoordelijkheid bij hoe zij die resultaten rangschikt en presenteert. Zij is dus zelf onderworpen aan het vergeetrecht (en de andere wettelijke plichten voor verantwoordelijken), los van de bronnen waar zij zich op baseert.

Hetzelfde geldt voor GHTorrent. Zij brengt openbare data bij elkaar, maar die data bevat persoonsgegevens. En daarom is de beheerder van GHTorrent de verantwoordelijke en verplicht om te informeren en om correctie en verwijdering toe te staan.

Verwijdering hoeft echter niet altijd. De vraag is of de data irrelevant is voor het doel waarvoor deze is verzameld. In het geval van Google: wanneer de zoekresultaten achterhaald of anderszins niet meer relevant zijn voor de persoon op wie je zocht, bij een zoekopdracht naar een persoon. Bij GHTorrent geldt hetzelfde, maar dat vertaalt zich lastiger naar de praktijk. Immers, ook oude gegevens van een ontwikkelaar zijn relevant voor wetenschappelijk onderzoek, dus het Google-criterium gaat hier niet op. Welk criterium dan wel, dat weet ik zo even niet.

Maar misschien is er een simpeler oplossing. Er moet immers sowieso een wettelijke grondslag zijn voor je gebruik van de gegevens. Enkel “ze komen uit openbare bron” is niet genoeg als grondslag, net zo min als “wij doen wetenschappelijk onderzoek”. Toestemming is er niet, een contract met GHTorrent ook niet, dus dan val je terug op de eigen dringende noodzaak: er is een legitiem belang (wetenschappelijk onderzoek), de gegevens zijn daar écht voor nodig (die zie ik wel) en alles is in het werk gezet om de privacy zo veel mogelijk te beschermen.

En bij dat laatste gaat het mis, want in principe is dan een opt-out vereist. Niet perse, andere maatregelen mogen ook. Zo kun je bijvoorbeeld de e-mailadressen hashen, zodat je er wel op kunt matchen maar ze niet kunt gebruiken om te mailen. Of je laat ze weg uit de publieke dataset en verstrekt ze alleen als mensen apart akkoord gaan met geheimhouding van die set. Maar opt-out lijkt mij het makkelijkste.

GHTorrent lijkt me dus legaal, maar ze moeten zich wel houden aan de Europese regels over persoonsgegevens. En in de praktijk betekent dat dus wel degelijk dat er een opt-out moet zijn.

Arnoud