Wat is het verschil tussen portretrecht en de Wet bescherming persoonsgegevens?

Geplaatst op in Privacy, 15 reacties

camera-foto-filmen-straat-openbare-weg.pngEen lezer vroeg me:

Afgelopen maandag blogde je over de regels over cameratoezicht. Het viel me op dat het daar nergens ging over je portretrecht wanneer je met een camera wordt gefilmd. Maar het gaat toch allebei over hetzelfde, dat je zeggenschap hebt over je portret?

De regels over cameratoezicht die de Autoriteit Persoonsgegevens recent stelde, zijn allemaal geschreven vanuit het perspectief van de Wet bescherming persoonsgegevens, de privacywet. Een foto of filmopname waar je herkenbaar op staat, is een persoonsgegeven omdat deze tot jou te herleiden is. Op grond van de wet mag dat gegeven niet zomaar worden verwerkt, daar moet toestemming of een andere grondslag (zoals een eigen dringende noodzaak) voor zijn.

Het portretrecht is ouder dan de Wbp en staat om historische redenen in de Auteurswet, waar het verder niets mee te maken heeft. Portretrecht gaat ook over zeggenschap over je portret, maar de benadering is iets anders. Allereerst is er het onderscheid tussen portretten in opdracht en anderen portretten. Bij de eerste categorie mag de fotograaf niets met de foto zonder toestemming van de geportretteerde(n). Dat is dus strenger dan de Wbp, die uitzonderingsgronden biedt zoals die eigen dringende noodzaak of de goede uitvoering van een contract.

Bij een portret “anders dan in opdracht” ligt het subtieler. De wet zegt dat publicatie mag, tenzij de geportretteerde een redelijk belang tégen publicatie heeft. Dat belang kan een privacybelang zijn, maar ook een ander belang – het financiële of het commerciële portretrecht. Zo kun je op grond van je portretrecht optreden tegen je gezicht in reclame, zeker als bekende persoonlijkheid met een verzilverbare bekendheid zoals dat heet. Dit vereist een belangenafweging, hoe groot is het belang bij publicatie en hoe weegt dat op tegen de privacy. Die afweging lijkt sterk op de afweging voor de eigen dringende noodzaak onder de Wbp.

En daarmee heb je nog een ander onderscheid te pakken: portretrecht gaat over publicatie van foto’s en filmbeelden, de Wbp over het verwerken van dergelijk beeld en dat is veel breder. Op grond van je portretrecht kun je niets doen tegen een verborgen beveiligingscamera die je filmt, tenzij de beelden zeg maar op Youtube komen. Maar de Wbp stelt hele hoge eisen aan verborgencameratoezicht.

Portretrecht loopt overigens ook nog langer door dan de bescherming van persoonsgegevens: tot tien jaar na het overlijden, in plaats van direct na overlijden. Een cru voorbeeld: het is legaal gegevens van recent overledenen van hun grafzerk over te typen en te publiceren, maar niet om de daaronder hangende portretfoto erbij te reproduceren. (En ja, hier krijg ik ook vaak vragen over.)

In de praktijk zal er vaak overlap zijn. Wie structureel foto’s of films van personen maakt en die op een of andere wijze publiceert, loopt zowel tegen portretrecht als Wbp aan. De juridische analyses verschillen maar het komt uiteindelijk meestal op grofweg hetzelfde neer: welk belang is er voor publicatie en welk belang is daartegen. Bij een publicatie in de pers is traditioneel het portretrecht de aangewezen route, bij cameratoezicht zou de Wbp de logische insteek zijn. Maar volgens mij is dat meer historisch zo gegroeid dan perse juridisch de enige manier.

Arnoud

VTech wil dat gebruikers erkennen dat gegevens bij zijn dienst onveilig zijn

Geplaatst op in Ondernemingsvrijheid, 24 reacties

verbodIn de categorie ergernissen waar je ’s ochtends van gaat bloggen: VTech, de maker van elektronisch speelgoed, heeft in zijn algemene voorwaarden opgenomen dat gebruikers erkennen dat informatie die ze via de Learning Lodge-portaal sturen onderschept kan worden. Dat las ik bij Tweakers gisteren. Om scheve jeuk van te krijgen. Ja, het is een standaardzin die ongetwijfeld bij meer bedrijven voorkomt en nee het heeft nul waarde. Maar waarom laten we bedrijven er steeds mee wegkomen?

VTech maakt onder meer elektronisch speelgoed en kwam negatief in het nieuws toen gegevens van meer dan 11 miljoen mensen, waaronder 6,4 miljoen kinderen, lekten door brakke beveiliging van het bedrijf. En wat doe je dan als bedrijf? “These Terms and Conditions have been updated as of December 24, 2015” op je site zeggen met dus

YOU ACKNOWLEDGE AND AGREE THAT ANY INFORMATION YOU SEND OR RECEIVE DURING YOUR USE OF THE SITE MAY NOT BE SECURE AND MAY BE INTERCEPTED OR LATER ACQUIRED BY UNAUTHORIZED PARTIES. YOU ACKNOWLEDGE AND AGREE THAT YOUR USE OF THE SITE AND ANY SOFTWARE OR FIRMWARE DOWNLOADED THEREFROM IS AT YOUR OWN RISK.

Ja, in hoofdletters ook nog. Nee, dat hoeft niet (het is geen exoneratie immers). En leuk en aardig om dat zo te moeten acknowledgen, maar dat heeft dus geen waarde. Privacybescherming verandert geen millimeter door welke disclaimer of andere zin in algemene voorwaarden. Zeker waar het gaat om beveiliging niet: het is gewoon niet toegestaan je beveiligingsplicht tot nul te reduceren. Zelfs niet als de consument expliciet zegt, doe het maar een kilootje minder met je security.

Maar waar ik dan dus écht jeuk van krijg, is de obligate vervolgzin:

Some jurisdictions do not allow the exclusion of certain warranties or the limitation or exclusion of liability for incidental or consequential damages. Accordingly, some of the above limitations may not apply to you.

Het zou écht verboden moeten worden om naar consumenten toe iets van deze strekking te mogen zeggen. Wat er staat: wij zijn niet aansprakelijk, tenzij de wet zegt van wel. Maar iedereen weet dat consumenten weinig begrip van de wet hebben. Daarom vereisen we heldere, duidelijke en complete informatie van verkopers – en wat mij betreft vallen daar de algemene voorwaarden ook onder. Ik vind dus dat je gewoon enkel en alleen positief geformuleerde dingen mag zeggen over je aansprakelijkheid, en dat “may not apply” of “dit doet geen afbreuk aan uw wettelijke rechten” op een zwarte lijst moeten komen. Ga als bedrijf maar gewoon uitzoeken wat de rechten zijn van je consument-klanten en schrijf dat op, het is schandalig dat je dat werk bij je klant legt.

Dus nee. Onzinnig, inhoudsloos en de betreffende jurist mag zich gaan schamen. Maar de eerstvolgende keer dat er iets misgaat bij VTech, weet je al wat de persvoorlichter gaat zeggen en ik heb géén idee hoe het bedrijf te bewegen dit aan te passen. Ergerlijk. En ja, ik ga nu mijn ochtendkoffie halen.

Arnoud

Onze systeembeheerder heeft alles versleuteld, wat nu?

Geplaatst op in Ondernemingsvrijheid, 36 reacties

pgp-bericht-encryptie-versleutelingEen lezer vroeg me:

Onlangs is onze systeembeheerder ontslag aangezegd vanwege allerlei negatieve zaken die ik liever niet toelicht. Zijn opvolger meldde ons vanochtend dat alle belangrijke bestanden zijn versleuteld, inclusief de backups. De ex-beheerder zelf zit thuis en weigert ieder contact. Wat kunnen wij het beste doen?

Helaas komt het wel vaker voor dat een ontslagen medewerker op zijn laatste werkdag de nodige schade aan kan richten. Maar waar dat meestal blijft bij een vernielde kantoorruimte of bekraste auto’s, kan een systeembeheerder digitaal behoorlijk wat meer schade aanrichten.

Deze beheerder lijkt geïnspireerd door de Californische collega uit 2008 die alle routers van de gemeente San Francisco saboteerde door de toegang te blokkeren met een alleen aan hem bekend wachtwoord. Die werd in 2010 tot 4 jaar cel veroordeeld wegens ‘hacken’, als ik het goed lees een Californische wet tegen denial-of-service aanvallen.

Bij ons zo zoiets ook denkbaar zijn, hoewel ik het hier eerder zou gooien op het misdrijf vernielen van gegevens (art. 350a Sr), waar ook het “ontoegankelijk maken” van die gegevens onder valt. Aangifte doen dus, zou ik zeggen. Natuurlijk kun je als werkgever ook zelf een procedure opstarten bij de rechter: het plegen van misdrijven tegen je werkgever is ook onrechtmatig, en je kunt de rechter dan vragen op straffe van een dwangsom de verplichting op te leggen een en ander te ontsleutelen.

Voorkomen is beter dan voor laten komen (zogezegd), maar het is helaas erg ingewikkeld om te zorgen dat zoiets niet kan gebeuren. Een systeembeheerder zit in een unieke positie: hij of zij kán overal bij en kán alles installeren en doen dat hem goeddunkt. Zeker bij een wat kleiner bedrijf zijn de controlemogelijkheden nihil, je moet zo iemand dus vertrouwen in die functie. Bij een groter bedrijf kun je met meerdere toezichthouders werken, maar zelfs dan zijn er trucs te over. Uiteindelijk komt het denk dan neer op hetzelfde als diefstal door je personeel: je moet erop vertrouwen dat het niet gebeurt.

Arnoud

Filmindustrie claimt miljard bij Staat om downloads

Geplaatst op in Intellectuele rechten, 61 reacties

youwouldntdownloadverbod.pngNederlandse filmmakers en distributeurs dreigen de Nederlandse staat met een schadeclaim van ruim 1 miljard euro, meldde de Volkskrant afgelopen vrijdag. Dit omdat Nederland met haar ‘ruimhartige downloadbeleid’ dat in 2014 tegen de Europese wet bleek, zo veel schade zou hebben veroorzaakt bij de Nederlandse filmindustrie. One beeillion dollars. Wacht, wat, hoe komen ze daar nou bij?

Er is op dit moment nog geen daadwerkelijke rechtszaak aangespannen. Een brief aan staatssecretaris Klaas Dijkhoff (Justitie) dreigt met juridische stappen als de Staat niet vrijwillig met een compensatieregeling over de brug komt voor het feit dat we al een dik decennium een foute wet hebben gehad:

‘De Nederlandse staat heeft jarenlang volgehouden dat het kopiëren uit illegale bron was toegestaan. Het gevolg hiervan was dat een hele generatie consumenten het idee heeft gekregen dat gebruik van films zonder betaling gewoon mag. Het gevolg is ook dat consumenten onbekommerd aan het downloaden en kopiëren zijn geslagen zonder besef dat daarvoor enige vergoeding verschuldigd zou zijn.’

En ja, in theorie kan zo’n claim. Het achterliggende juridische argument is dat auteursrecht Europees geregeld is, waardoor de Nederlandse Staat verplicht is dit op een bepaalde manier uit te werken. Als ze dat niet doen, dan zijn ze aansprakelijk voor de schade die burgers en bedrijven daardoor lijden.

Het is dus niet zo dat je bij iedere wet of afwezigheid daarvan altijd schadeclaims kunt indienen. Er moet een hogere wet zijn op grond waarvan je kunt zeggen, de Nederlandse Staat hád die wet helemaal niet zo mogen hebben. Bij de EU is dat zo, de EU-regels gaan boven wat ons parlement vindt. Een willekeurig voorbeeld uit het arbeidsrecht: de Staat moest werknemers compenseren die ten onrechte (compensatie voor) vakantiedagen zijn misgelopen als gevolg van het onjuist implementeren van de Arbeidstijdenrichtlijn.

Bij die vakantiedagen kom je er nog wel uit met wat de schade is. Je kunt immers per werknemer uitrekenen wat een vakantiedag kost. Maar bij auteursrechten?

Uit de brief blijkt dat men de berekening baseert op een rapport van adviesbureau Considerati uit 2014, dat berekende dat de filmindustrie zo’n 78,4 miljoen euro omzet per jaar (inclusief btw) misloopt door downloaden van films uit illegale bron. Dat over tien jaar berekend met wettelijke rente komt dan op de genoemde dikke miljard. Waar dan dus sowieso 21 procent vanaf gaat want hoezo moet de gederfde btw worden vergoed?

De omzetderving komt kort gezegd neer op het aloude argument dat het consumeren van illegaal aanbod leidt tot verminderde afname van legaal aanbod. Considerati baseert zich op weer eerder onderzoek van IViR/CentERdata dat liet zien dat voor elke 10 downloads er 3,2 films uit legale bron minder worden gekeken. Hierbij is tevens rekening gehouden met het sampling-effect, oftewel dat je eerder films koopt als je ze (illegaal) gezien hebt.

Uit het IViR/CentERdata rapport:

Gemiddeld over een representatieve groep Nederlanders leiden naar elke honderd downloads uit illegale bron per saldo naar schatting tot 32 minder films die uit legale bron worden gezien: 11 minder op DVD of Blu-ray, 11 minder op televisie, en 10 minder als betaalde download of via video on demand. Opgemerkt zij dat het hier een geschat effect betreft; dat houdt in dat het de best mogelijke (punt)schatting is gegeven de data en de steekproef, maar dat een dergelijke schatting per definitie omgeven is met statistische onzekerheid waardoor het effect in werkelijkheid ook iets hoger of lager kan uitvallen.

Daarbij valt me op dat hier nogal wat nuances en aannames bij zitten die de advocaat voor het gemak even weglaat uit zijn brief. Zo merkt het rapport op “de meest intensieve downloaders zijn jongeren met een beperkt budget”, waarbij ik me dan meteen afvraag of die factor 3,2 daar dan wel opgaat. En is het niet meer op televisie kijken van films niet ook een meer algemene trend in plaats van een door downloaden ingegeven? En ja, dat is relevant want voor vergoeding komt alleen schade in aanmerking die er niet was geweest zonder de onrechtmatige daad. Maar hoe ga je bewijzen dat die 3,2 gemiste aankopen waarschijnlijk echt plaats zouden hebben gevonden?

Uiteindelijk kun je je afvragen of dit ooit bij de rechter komt natuurlijk. Ik zou van mijn stoel vallen als dat miljard werd toegewezen in ieder geval. Maar een leuke aandachttrekker voor je boze brief is het natuurlijk wel.

Arnoud

Drones en dashcams krijgen strenge nieuwe privacyregels

Geplaatst op in Security, 27 reacties

drone-camera-vliegenEen drone met camera moet een encrypted filesystem hebben, en wie met een dashcam gaat rijden, moet eerst in de buurt gaan flyeren dat hij rondrijdend cameratoezicht gaat toepassen. Dat maak ik op uit de nieuwe Beleidsregels Cameratoezicht die de Autoriteit Persoonsgegevens (het blijft wennen, die naam) vorige week publiceerde. Met deze regels wil de AP verduidelijken wat er wel en vooral wat er niet mag met cameratoezicht.

Cameratoezicht is een verwerking van persoonsgegevens, begint het. Ook als je alleen live kijkt. Een beeld van een persoon is een persoonsgegeven, en alles dat je daarmee doet is een verwerking. Dus ook het bekijken van dat beeld via een computersysteem. Je kunt dus – afgezien van de particulier die zijn eigen huis van binnen van camera’s voorziet – nooit meer onder de Wbp, de privacywet uit.

Daar komt dan nog even een vervelende hobbel tussendoor: eigenlijk zijn het bijzondere persoonsgegevens, en die mag je überhaupt niet verwerken behalve in een paar gevallen die bij cameratoezicht niet opgaan. Maar om “opportune redenen” besluit de AP dat camerabeelden alleen bijzondere persoonsgegevens zijn als je het doel hebt informatie over bijvoorbeeld ras of gezondheid van mensen te vergaren. (Dat “doel”-vereiste geldt overigens alleen bij dit onderdeel. Als je per ongeluk mensen in beeld brengt met je schoorsteen-inspectiedrone, dan is dat gewoon een verwerking en moet je de camera maar later aanzetten.)

Wil je camerabeelden verwerken, dan moet je daar een rechtvaardiging voor hebben onder de Wbp. Dat zal gewoonlijk het eigen dringende belang zijn, oftewel u kunt niet anders én u heeft alles gedaan om de privacy zo veel mogelijk te beschermen. Maar de AP zit er streng in: denk vooral niet te snel dat je een voldoende belangrijk belang hebt. Je kunt heel vaak ook alternatieven invoeren, en dat die een beetje duurder of voor jou ingewikkelder zijn, is minder van belang.

Beveiliging van personen of goederen is in principe een legitiem doel, maar de privacy van anderen weegt zwaar. Zorg dus dat je beleid hebt dat rechtvaardigt waarom je er zonder camera niet komt. Zijn er geen poortjes te plaatsen of tassen te doorzoeken? Moet de camera de hele werkvloer filmen of kan hij ook beperkt tot die kassa waar soms geld uit verdwijnt?

Verder heb je beveiligings- en informatieplichten. Camerabeelden kunnen ook datalekken, dus logisch dat je de opslag en het gebruik daarvan netjes moet regelen. Documenteer wat je doet, en zorg ervoor dat dat wordt nageleefd. Hier staat niets geks, het is eigenlijk al lang best practice om dit gewoon goed uit te werken en op te letten wat er gebeurt met je beelden.

Maar dat pakt wel gek uit bij drones en dashcams. Als een drone uit de lucht valt, aldus de AP, dan kan de vinder bij de beelden en dat is een datalek. Daarom moeten de beelden versleuteld opgeslagen zijn. Ja, dat vind ik een tikje gezocht.

Informeren dat je cameratoezicht hanteert, is ook een belangrijke. Een bedrijf kan dat prima: hang een bordje op en leg een kopie van dat beleid bij de receptie. Inzage is dan ook nog wel te regelen. Maar hoe doe je dat bij een drone? Nou, zo:

Te denken valt aan het plaatsen van borden aan de randen van het vlieggebied, een vooraankondiging en het verstrekken van actuele informatie op de website van de verantwoordelijke en via (sociale) media en bijvoorbeeld gemeentelijke nieuwsbrieven, het ter plekke uitdelen van informatiefolders en het zichtbaar en hoorbaar maken van de drones door middel van bijvoorbeeld felle kleuren, (knipperende) lichten en geluidssignalen.

Voor dashcams doet men niet eens een póging dit uit te werken, en ik zou ook werkelijk niet weten hoe je daaraan zou kunnen voldoen.

Afijn. Een heel nobel streven deze richtlijnen, maar het bevestigt bij mij alleen maar het beeld van die kaartenbakwet die overal op toegepast wordt. Een drone of dashcam ís geen personeelsadministratie of klantrelatiedatabank. En regels die goed passen bij die twee dingen, werken gewoon niet als je het vertaalt naar een drone. Desalniettemin, het idee van sectorspecifieke privacywetgeving gaat hem voorlopig echt niet worden. Dus voorzie die drone van knipperlichten en strooifolders, en laat een mannetje vooruit lopen als je met je dashcam gaat rijden.

Arnoud

De brakke spullen uit het Internet der Dingen

Geplaatst op in Ondernemingsvrijheid, Security, 26 reacties

webcam-camera-babyDe kwetsbaarheid van “Internet of Things”-dingen is zo gigantisch dat je er maar beter om kunt lachen, las ik bij Ars Technica. Maar eigenlijk is het om te huilen. Men ontdekte dat de IoT-zoekmachine Shodan een zoeksectie had voor kwetsbare webcams, met feeds van van alles en nog wat: voortuinen, achtertuinen, binnentuinen, marijuana-plantages, kinderslaapkamers en ga zo maar door. Hoe kan dat anno 2016 nog zo makkelijk bestaan?

Op brakke beveiliging is niet strafbaar, schreef ik in 2013. Tegenwoordig soms wel: als je persoonsgegevens niet adequaat beveiligt, kun je een boete van maximaal €820.000 opgelegd krijgen. (Bovendien moet je het melden, een aparte nieuwe verplichting). Maar dat gaat over bedrijven die persoonlijke gegevens beheren, niet over bedrijven die apparatuur op de markt brengen. Ik zou niet weten op grond van welk wetsartikel de leverancier van een IP-enabled webcam met fabriekswachtwoord 12345 te beboeten is.

Volgens Ars Technica is de reden hiervoor heel simpel: geld.

Consumers do not perceive value in security and privacy. As a rule, many have not shown a willingness to pay for such things. As a result, webcam manufacturers slash costs to maximize their profit, often on narrow margins. Many webcams now sell for as little as £15 or $20. “The consumers are saying ‘we’re not supposed to know anything about this stuff [cybersecurity],” he said. “The vendors don’t want to lift a finger to help users because it costs them money.”

Ik denk dat het iets subtieler ligt. Mensen geven wel om veiligheid en privacy, maar gaan er vanuit dat een apparaat in een mooi doosje op de plank bij een bekende winkel gewoon veilig is. Auto’s zitten ook netjes op slot, je brood is vers en als een blik tomatensoep ontploft in de koelkast dan verdient dat aandacht in RTL Nieuws om half acht. Dat model van vertrouwen nemen mensen gewoon mee naar digitale apparatuur, ook als die internet-enabled is. Handig joh, dat je op je smartphone de webcam thuis kunt bekijken. Maar het idee dat iedereen dan mee kan kijken omdat hij op een algemeen bekende poort draait en het standaardwachtwoord in de op internet staande handleiding te vinden is, dat speelt niet bij brood of tomatensoep. Dus ook niet bij die webcam.

En nee, het is te makkelijk om dan te zeggen “dan moeten die mensen maar beter nadenken en lezen wat er in de handleiding staat”. Want dat doen mensen niet, en ik vind het ondertussen ook steeds oneerlijker worden om te verwachten dat ze dat wel gaan doen. Ik hoef ook geen handleiding van mijn voordeurslot te lezen – daar staat politiekeurmerk 2 sterren op en de installateur had een keurige blauwe overall aan, dus dat zit wel goed met dat voordeurslot.

Deze bal hoort te liggen bij de leveranciers van deze producten. In Amerika lijkt dat al een beetje door te dringen: Ars Technica citeert een FTC-woordvoerder die zegt “If you don’t have reasonable security then that could be a violation of the FTC Act.” Bij ons vind ik het moeilijk een dergelijke kapstok te verzinnen. Om dit nu onder de conformiteitseis (wettelijke garantie) te schuiven gaat een beetje ver, dat criterium is daar volgens mij niet voor bedoeld.

Ik denk dus dat er echt een wetswijziging voor nodig is om een stok te introduceren om IoT-dingen-produceren te dwingen de veiligheid van hun producten te vergroten. Maar dat gaat een moeizaam proces worden, want het klinkt zo redelijk, dat mensen toch zelf even een handleiding kunnen lezen en een wachtwoord kunnen wijzigen. Maar eh, wees eens eerlijk: wie doet dat bij alle producten in zijn huis?

Arnoud

Hoe groot mag een foto-citaat anno 2016 zijn?

Geplaatst op in Intellectuele rechten, 5 reacties

pasfoto-lijstje-kader-polaroid.jpgEen lezer vroeg me:

Ik wil signaleringen posten naar actueel nieuws, inclusief stukje tekst en foto. Ik weet dat dat in principe mag, maar moet het nog steeds net zo’n postzegel zijn als in 2007? Hoe groot mag een geciteerde foto zijn?

Op foto’s zit auteursrecht, en die mag je dus niet zomaar overnemen zonder toestemming. Alleen als je een wettelijke uitzondering kunt vinden, en je je houdt aan de voorwaarden daarvan, kun je wegkomen met geen toestemming vragen (en dus ook geen schadeclaim hoeven te betalen).

Het citaatrecht is zo’n uitzondering. Voor aankondiging, bespreking, kritiek en dergelijke op een werk mag je een deel daarvan overnemen (en bij een klein werk het hele werk), mits je niet meer overneemt dan nodig is voor jouw doel en je netjes de bron en de naam van de maker vermeldt. Dit geldt ook voor beeld: wil je commentaar geven op een foto, dan mag je die tonen en wil je een film aankondigen, dan mag je de poster of een paar stills laten zien.

In 2007 speelde dit in de context van huizenzoekmachines. In één van die zaken werd toen bepaald dat een thumbnail van 194×145 pixels een toelaatbaar citaat was in het kader van aankondigen van zoekresultaten (“dit huis is te koop, klik hier voor de Funda advertentie”). Dat was voor die tijd een prima fotootje, maar anno 2016 word je uitgelachen zonder beeldvullende foto met softone filter. Hoe verouderd is de wet dus?

Eigenlijk is dat een oneerlijke vraag, want de wet noemt helemaal geen getallen. Het citaatrecht (art. 15a Auteurswet) komt neer op ‘niet meer dan nodig’. Letterlijk:

[Vereist is dat] het citeren in overeenstemming is met hetgeen naar de regels van het maatschappelijk verkeer redelijkerwijs geoorloofd is en aantal en omvang der geciteerde gedeelten door het te bereiken doel zijn gerechtvaardigd;

Hier zijn dus geen harde getallen op te plakken. Het komt altijd neer op, kun je motiveren waarom in dit geval deze omvang redelijkerwijs geoorloofd was gezien je doel.

In 2014 publiceerde HP/De Tijd een artikel over recent in de pers verschenen foto’s van Volkert van der G. en Marc Dutroux. Die waren recent vrijgelaten, en diverse media brachten paginavullende foto’s met grote koppen. HP/De Tijd wilde daarop reageren en publiceerde bij haar artikel screenshots van de kranten, inclusief grote foto (2/3e van het artikel, volgens de fotograaf). Meer dan een thumbnail, dus de fotograaf stapte naar de rechter: dit was gewoon herpubliceren van de foto met een paar obligate zinnen om het een artikel te laten lijken.

De rechter bepaalde echter dat het citaatrecht heir wel degelijk opgaat. De wijze van reproductie was nodig voor de lezer om te kunnen zien hoe groot de foto in de originele media was gebruikt. Die moet je dan gewoon groot kunnen zien. Toegegeven, de foto was wel een erg groot deel van het artikel. Echter:

Het citaatrecht is echter een zwaarwegend en diep geworteld recht dat een belangrijke bouwsteen is voor de vrijheid van meningsuiting. Voor de te maken afweging is het relevant dat HP/De Tijd een opinieblad is dat met het artikel verslag doet van een actuele en wezenlijke discussie over de spanning tussen het recht op vrijheid van meningsuiting en eerbiediging van de persoonlijke levenssfeer.

Gezien die omstandigheden was het gerechtvaardigd om de foto’s in groot formaat te publiceren. Iets dergelijks werd eerder bepaald in een zaak over een grote foto (50% van de webpagina) die als ankeiler diende naar een artikel over de afgebeelde persoon.

De foto kan worden beschouwd als ondersteuning van de inhoud van het interview en heeft een duidelijke functie bij de tekst door het bericht goed herkenbaar te maken voor de lezer en met als doel de lezer door te laten klikken naar het volledige artikel op de achterliggende site. De foto heeft derhalve als doel de lezer een indruk te geven van het betreffende artikel.

Daar staat tegenover dat als je een foto primair als versiering gebruikt, je geen citaatrecht kunt claimen. Een voorpaginavullende foto was geen citaat, omdat er nauwelijks aandacht werd besteed aan de inhoud van de foto en deze dus alleen maar als versiering en lokkertje diende.

De grenzen zijn dun, maar het komt er dus op neer dat de foto duidelijk inhoudelijk relevant moet zijn. Mijn vuistregel: als het artikel zonder de foto niet meer ‘werkt’, en ook moeilijker te begrijpen wordt met kleiner beeld, dan is het een rechtsgeldig citaat (mits met bronvermelding natuurlijk). Daar staat dan weer tegenover dat “Je zult niet geloven wat je op deze foto’s ziet”-achtige artikelen eigenlijk alleen bestaan bij de gratie van het overgenomen beeld, en dat is dan ook weer niet de bedoeling. Dus het moet wel een ‘echt’ artikel zijn, maar daar een definitie van geven, daar kom ik niet uit.

Is er een verschil tussen wat HP/De Tijd deed en wat je op Buzzfeed en consorten ziet?

Arnoud

Is videosolliciteren bij wet verboden?

Geplaatst op in Ondernemingsvrijheid, Privacy, 25 reacties

camera-laptop-video-chat-gesprekVideosolliciteren is in de wet bescherming persoonsgegevens verboden, meldde HRlog van Michel Rijnders onlangs. Bij deze opkomende trend in recruitmentland stuur je geen brief, maar presenteer je jezelf in een video. Een leuk idee, maar juridisch problematisch: foto’s en video’s van personen tellen als bijzondere persoonsgegevens en die mag je als recruterend bedrijf niet verwerken van je sollicitanten. De praktijk is echter anders.

Videosolliciteren houdt in dat je jezelf presenteert in een video in plaats van in een sollicitatiebrief. Sinds de opkomst van de webcam duikt het onderwerp op gezette tijden op in de media, meldt Intermediair enigszins cynisch. Voordelen zijn dat je jezelf kunt presenteren op een manier die in tekst niet kan, en dat eigenschappen als spontaniteit, representativiteit en uitstraling beter uit de verf komen. Bovendien, is een brief kunnen schrijven echt wel een relevante kwaliteit bij veel banen vandaag de dag?

Het juridische punt bij video’s is echter dat portretten bijzondere persoonsgegevens zijn. Je kunt er immers gevoelige informatie uit halen, zoals iemands ras of etnische afkomst, of een aandoening of ziekte. Denk aan littekens of aangeboren afwijkingen, of bij video’s de aanwezigheid van Parkinson. En dergelijke gegevens mogen onder de privacywet eenvoudig niet worden ‘verwerkt’ – een term waar ook het ontvangen en afspelen van een video onder valt, zelfs als die video vervolgens niet in een dossier terecht komt.

Exit videosolliciteren dus. Maar nee, toch niet: Rijnders meldt dat de Autoriteit Persoonsgegevens camerabeelden van een persoon “om opportuniteitsredenen” niet als bijzondere persoonsgegevens beschouwt als aan een aantal voorwaarden is voldaan. Kort gezegd: het was niet je bedoeling die bijzondere gegevens te verkrijgen, maar de ontvangst is onvermijdelijk, en je doet er vervolgens niets mee. In het bijzonder: je laat het niet meewegen in je beslissing. Onvermijdelijke bijvangst waar we heel professioneel niet naar kijken vervolgens.

Oh nee, toch wel: Merel Eilander, woordvoerder Autoriteit Persoonsgegevens, meldt dat deze voorwaarden niet opgaan bij videosolliciteren:

Bij videosollicitaties is het wél voorzienbaar dat de verwerking zal leiden tot het maken van onderscheid op basis van rasgegevens. Videosollicitaties zijn wel toegestaan als iemand er daadwerkelijk vrij voor kan kiezen, bijvoorbeeld als er ook de mogelijkheid is om per brief te solliciteren.

Het achterliggende argument is denk ik hetzelfde als Hans versus Mohammed op je cv: je kunt mensen te makkelijk meteen afkeuren op oneigenlijke (en verboden) gronden. Natuurlijk kun je die ook in een gesprek ontdekken (bijvoorbeeld, een aspirant-receptioniste die blijkt te stotteren) maar dan kun je er nog naar vragen in het gesprek.

De juridische conclusie is dus onontkoombaar: videosolliciteren mag alleen als vrijwillige keuze, een bedrijf mag sollicitanten niet verplichten per videobericht zichzelf aan te dragen.

De Wbp zou de Wbp niet zijn als zij niet massaal genegeerd werd, en dat zie je ook hier weer. Vrijwel alle bedrijven die videosollicitatie inzetten, doen dat in verplichte vorm. Logisch, want dat werkt het efficiëntst, en je kunt ook lastiger twee kandidaten vergelijken als de een een keurige brief op geschept papier aandraagt en de andere een hippe video. Maar het mag niet.

Zolang er niemand een probleem van maakt zal het geen probleem zijn, concludeert Rijnders. En afgaande op de observatie van Intermediair kan het inderdaad best meevallen – die videosollicitatieapps zijn nu even hot maar over drie maanden is er vast weer wat anders. Aan de andere kant, als het deze keer wél aanslaat, dan zitten we dus wel met een levensgroot wettelijk privacyprobleem. Er staan in theorie hoge boetes op dit soort onrechtmatige verwerking, maar dan moeten mensen dit wel als een probleem ervaren.

Arnoud

Kun je een bitcoin-bundel opeisen als erfgenaam?

Geplaatst op in Informatiemaatschappij, 14 reacties

bitcoin-cc-by-sa-flickr-zach-copleyEen lezer vroeg me:

Wat als iemand overlijdt met bitcoins en de wettelijk erfgenaam heeft geen toegang tot de bitcoins, maar iemand anders die geen erfgenaam is wel. Kun je die dan opeisen?

Dit lijkt een wat ingewikkelde vraag om te beantwoorden. Volgens mij zijn we er immers juridisch nog niet helemaal uit wat bitcoins nu precies zijn. Geld, fysieke zaken of wat anders?

Gelukkig heeft het recht een soort van oplossing. Naast de fysieke zaken bestaat er ook het concept van de (vermogens-)rechten: overdraagbare aanspraken op “stoffelijk voordeel” (art. 3:6 BW), even kort gezegd. Dat hoeft niet iets fysieks te zijn. En dan zijn we er, want vermogensrechten zijn dingen die geërfd of bij testament afgestaan kunnen worden. Je hebt dus juridisch gezien als erfgenaam recht op de bitcoins van de overledene.

Praktisch gezien is dit dan weer wel ingewikkeld, want bitcoins zijn niet eenduidig aan een persoon te koppelen. Net zoals contant geld. Als er een zak geld bij een kennis ligt, dan kun je wel erfgenaam zijn van dat geld maar a) hoe bewijs je dat en b) hoe krijg je dan die zak geld als de kennis ontkent die te hebben?

Het enige dat ik kan bedenken, is het regelen op wallet-niveau. Je legt dan bij testament vast wat het nummer van je wallet is, en je regelt dat de executeur-testamentair het wachtwoord daarvan krijgt. De inhoud van de wallet is dan per definitie het voor de erfenis beschikbare setje bitcoins.

Ontvreemdt iemand die wallet, dan kun je met het testament in de hand bewijzen dat dat is gebeurd en dan zijn juridische opeisingsprocedures mogelijk. Alleen kan daarna de wallet ineens leeg blijken, en dan?

Ik vraag me nu af hoe mensen met zakken contant geld dit oplossen. Iemand praktijkervaring? 🙂

Arnoud

Is whatsappen nu ook al een datalek?

Geplaatst op in Innovatie, Privacy, 24 reacties

whatsappDe datalekken vliegen je om de oren de laatste tijd. En om een of andere reden zit WhatsApp daar hoog in de buzz. Je communiceert dan immers over een kanaal beheerd door een derde, en niet zomaar een derde maar een perfide Amerikaanse imperialist met allerlei snode aftap- en profilingplannen. Dat moet toch haast wel een datalek zijn?

Voor een datalek dat moet worden gemeld gelden vier eisen (eisen 3 en 4 bepalen of gemeld moet worden):

  1. Er is sprake van een inbreuk op de beveiliging. Dat kan gaan om een inbreuk op techniek (een inbraak, een geraden wachtwoord) of een organisatorisch falen (zonder kaartje naar binnen kunnen, geen toezicht op een dossierkast) maar er moet iets van een beveiliging zijn en die moet geschonden worden.
  2. Het moet gaan om persoonsgegevens. Andere gegevens, hoe waardevol ook, kunnen geen datalek in de zin van de wet opleveren.
  3. Er moet een aanmerkelijke kans zijn dat de persoonsgegevens misbruikt worden. Is misbruik slechts een theoretisch risico, dan is het lek geen datalek.
  4. Betrokken personen moeten er nadeel van (kunnen) ondervinden. Die lat ligt niet hoog, maar hij is hoger dan nul. Nadeel kan zijn reputatieschade, oplichting en dergelijke maar ook dingen als moeten ruziën over dat je had betaald (de betalingsbewijzen waren gewist, ook een datalek).

Een conversatie voeren via WhatsApp zie ik op zich niet als een datalek. Als beide partijen ervoor kiezen hun eigen gegevens via dit kanaal te verstrekken, dan zie ik dat niet als een inbreuk op de beveiliging. Ze aanvaarden dan beiden de kans dat er iets mis kan gaan, en zien dat kennelijk als acceptabel.

Kiezen ze ervoor om andermans gegevens te verspreiden, zoals artsen wel deden, dan wordt het iets schemeriger. Die ander heeft niet gekozen voor het kanaal. Bovendien haal je je in die situatie nog een extra verplichting op de hals: je besteedt dan een stukje verwerking van andermans persoonsgegevens uit bij WhatsApp Inc, en de wet eist dat je dan een bewerkersovereenkomst sluit waarin je rechten en plichten vastlegt. Volgens mij kán dat niet eens met WhatsApp.

Toevallig kwam ik dit Linkedin-bericht tegen waarin Gjerryt Leuverink beschrijft hoe zorginstelling ’s Heeren Loo Zorggroep graag dichtbij en gastvrij wil zijn; ook digitaal. Daarom gebruikt men WhatsApp als communicatiemiddel. Dat leverde de nodige kritiek op, maar zoals Leuverink reageert:

Waar het om gaat is dat iemand die een appje stuurt aan een ander daarmee indirect toestemming geeft aan WhatsApp om ‘iets’ met dat berichtje en de twee betrokken 06-nummers te doen. Als je dat niet wilt, moet je niet WhatsAppen. Als je dat wel wilt, moet je bewust de app installeren, bewust je nummer koppelen en de voorwaarden accepteren, bewust een nummer toevoegen aan je contacten daar dan bewust een berichtje naartoe sturen.

Maar ik kan als jurist niet ontkennen dat er toch stevige juridische bezwaren te verzinnen zijn. Die bewerkersovereenkomst is nu eenmaal echt een ding, en zeker als je gegevens van anderen (zoals die artsen) gaat versturen dan zit je met een levensgroot toestemmingsprobleem. Alleen: is dat erg?

We komen dan weer terug bij de al vaker gevoerde discussie: mag de privacywet innovatie in de weg staan, of andersom mag innovatie zomaar over privacy heen denderen? Want als we de privacywet hard inzetten, dan moet je stoppen met WhatsApp. Dan kun je de Amerikaanse cloud gelijk uit en houden er ook een heleboel andere dingen op. Maar ga je mee in elke nieuwe hippe innovatie, dan kunnen we privacy wel afschrijven want wat dóen al die startups met persoonsgegevens en hoezo is het normaal dat een Amerikaans-wollig document dat “Privacy Policy” heet genoeg is om onze mooie wetgeving opzij te zetten? Ik ben er nog steeds niet uit wat nu de beste insteek is.

Arnoud