Als een werknemer tekent met de directeur in cc, dan is dat rechtsgeldig

Geplaatst op in Ondernemingsvrijheid, Security, 11 reacties

Stel een werknemer zet een handtekening namens het bedrijf. Is die daar dan aan gebonden? Het geeft vaker dan je zou denken stevige discussie. Een recente uitspraak uit Rotterdam was voor mij een leuke opsteker.

Betalingsprovider Mollie en zakelijke klant Phonemarket sloten een vaststellingsovereenkomst (VSO) om een betalingsgeschil op te lossen. Dat gaf dan ironisch weer een nieuw geschil, want vlak daarna stelde de klant dat die VSO niet rechtsgeldig was gesloten.

Hieraan kleefden twee kwesties. Allereerst was de VSO elektronisch gesloten (het bekende Docusign). Ten tweede was de handtekening gekrabbeld door een werknemer, in het vonnis [persoon C] genoemd, en niet door een formeel bevoegde directeur.

Eerst het Docusign-aspect. De rechter is het direct duidelijk dat zo’n digitaal document prima kan gelden als een ‘akte’, de wet erkent immers vrij letterlijk de elektronische akte als equivalent aan het plakje dode boom.

De gebruikte handtekeningtechniek is wat juristen de “gewone elektronische handtekening” noemen, geen geavanceerde toestanden of identiteitsvaststelling. Ook die is rechtsgeldig, maar dat hangt dan af van context en doel:

Partijen doen al zaken sinds 2017 en kennen elkaar daardoor goed. Zij zijn meerdere overeenkomsten aangegaan. De VSO is bovendien het resultaat van in e-mailcorrespondentie vastgelegde onderhandelingen. Tegen die achtergrond is een elektronische handtekening via DocuSign voldoende betrouwbaar. De VSO is daarom een onderhandse akte.
Toen bleek alleen dat [persoon C] die handtekening had gezet, en niet de indirect bestuurder [persoon A]. Die was namelijk met vakantie op het moment van tekenen.

Een grote ergenis van mij (ja, ik heb er vele) is dat mensen een handtekening afwijzen met het argument “die staat niet bij de Kamer van Koophandel bekend als tekenbevoegd”. Juridisch onjuist; het gaat om de indruk die de wél tekenbevoegden hebben gewekt. Je kunt prima iemand autoriseren om te tekenen zonder dat je langs de KvK moet.

Natuurlijk, je moet dan als wederpartij (hier dus Mollie) wel bewijzen dát die indruk is gewekt door (hier) [persoon A]. Maar dat ging goed:

[persoon A] heeft het voorstel van Mollie van 20 februari 2024 zelf doorgezonden aan [persoon C] en heeft op die manier [persoon C] in staat gesteld tot zijn reactie aan Mollie later die dag. Uit de e-mail van [persoon C] van 20 februari 2024 waarin die reactie staat, mocht Mollie opmaken dat de inhoud ervan, zoals [persoon C] schreef, met [persoon A] was besproken en dat [persoon C] door [persoon A] met de afhandeling van het geschil belast was. Phonemarket heeft niet gesteld dat [persoon C] dit heeft verzonnen. [persoon A] en [persoon B] stonden bij deze e-mail van [persoon C] aan Mollie in de cc en zij hebben niet ingegrepen. Dat deden zij ook niet bij ontvangst van de e-mails nadien, waarop zij steevast waren ingekopieerd.
Voor mij is met name die cc belangrijk. Het is denkbaar dat een medewerker op eigen houtje handelt, “het zal wel goed zitten” denkt en tekent. Dan kom je bij de ingewikkelde discussie of jij als wederpartij nattigheid (nattige eigen houtjes, wacht wat) moest voelen bij de bevoegdheid of gezien positie en dergelijke van C mocht vertrouwen op diens autorisatie.

Hier zie je dat de directeur expliciet op de hoogte was van de aanloop tot de handtekening en (kennelijk) niet ingreep. Dat leidt dan tot een erkenning dat persoon C zo mocht handelen.

Natuurlijk, het kán dat persoon C dit uithaalt precies als de directeur met vakantie is, wetende dat die zijn mail niet leest (een mkb-directeur die zijn mail niet leest, ik moest ook lachen toen ik het schreef). Daar valt heel misschien nog wat van te maken. Alleen bleek dat hier feitelijk niet aan de hand te zijn. Het bedrijf moet dus gewoon handelen conform de VSO.

Arnoud

Voedselbezorgbedrijf betaalt fooi niet terug na annulering bestelling, mag dat?

Geplaatst op in Ondernemingsvrijheid, 21 reacties
mohamed_hassan / Pixabay

Via Reddit:

Ik had bij een bekende restaurantketen een bestelling gedaan met daarbij 3 euro fooi voor de bezorger. Na ruim anderhalf uur te hebben gewacht nam ik contact op met het restaurant [waarna bleek dat deze nooit doorgekomen was, en werd geannuleerd]. Ik kreeg toen netjes een mail van Thuisbezorgd dat ik mijn geld terug zou krijgen, maar tot mijn verbazing de 3 euro fooi niet.
Het annuleren van een online voedselbestelling is algemeen geen recht, want vers voedsel valt onder “zaken die snel bederven” en is daarom uitgezonderd van de gewone veertiendagenregel (art. 6:230p sub f onder 2 BW).

Specifiek hier ligt dat anders: het restaurant kan of wil niet meer leveren, en op grond van de voorwaarden is annuleren dan mogelijk. Uiteraard krijg je dan je geld terug. Maar hoe zit het met de fooi?

De voorwaarden definiëren de fooi als een “vrijwillig door een Klant betaald bedrag dat bestemd is voor de koerier die de Bestelling aflevert”. Een fooi wordt hiermee buiten de bestelling zelf geplaatst: “De Fooi is bedoeld voor de koeriers en kan niet worden beschouwd als betaling voor diensten van Takeaway.com.”

Dat is op zich allemaal prima, maar wat nu als een bestelling wordt geannuleerd? De voorwaarden voorzien daar niet expliciet in, maar vermelden wel stellig:

Nadat de Klant een bevestiging van het betalen van de Fooi heeft ontvangen, kan de Fooi niet meer worden terugbetaald of geretourneerd.
De scherpe lezer ziet hier dat dit niet-terugbetalen gekoppeld wordt aan het betaalmoment, niet aan het moment van ontvangst bij de bezorger. Normaal zal dat snel samenvallen, direct na de betaling zoekt men immers de bezorger en die krijgt dan ook de fooi.

Hier ging het dus even mis met die bezorger – die is er nooit geweest, dus die kan de fooi ook niet gekregen hebben. Maar naar de letter van die voorwaarde hoeft de fooi niet terugbetaald te worden. Ook niet als de eigenlijke bestelling wordt geannuleerd, want de fooi staat immers los van de bestelling. Juridisch zouden we het een schenkingsovereenkomst aan de koerier noemen.

In de jurisprudentie geldt al sinds jaar en dag dat overeenkomsten zozeer met elkaar verbonden zijn, dat ontbinding van de ene overeenkomst ook betekent dat de andere ontbonden moet worden. Het standaardvoorbeeld is huurkoop en financiering. Enkel dat ze samen gesloten zijn is niet genoeg, ze moeten feitelijk economisch met elkaar samenhangen. Voor mij is dat bij een bestelling en een fooi evident zo.

Praktisch blijft het natuurlijk lastig om voor 3 euro je recht te halen. Maar het gaat om het principe, en het principe zegt dat die fooi terug moet.

Arnoud

 

 

Van der Valk-medewerkers trappen in phishing, klantdata gebruikt voor fraude

Geplaatst op in Security, 5 reacties
Photo by Mohamed_hassan on Pixabay

Diverse gasten van de Nederlandse hotelketen Van der Valk zijn slachtoffer geworden van phishing nadat medewerkers van het bedrijf op een phishinglink hadden geklikt. Dat meldde Tweakers vorige week. Ik wilde vooral even inhaken op “medewerkers trappen in phishing”, want de echte kop is “Van der Valk zo laks met security dat mensen kunnen klikken op phishing-links”.

Bij Nu.nl hebben ze een Telegraaf-abonnement:

De hackers hadden een inlogpagina voor het personeel nagemaakt. Nadat medewerkers daarop hadden geklikt, konden hackers de persoonsgegevens van gasten bekijken. Vervolgens benaderden de hackers gasten. Ze stuurden appjes en mails met de vraag om boekingen te bevestigen en creditcardgegevens in te vullen. Eén gast is op die manier voor 200 euro opgelicht, meldt De Telegraaf.
En wat mij hierbij dus ergert, is dat de berichtgeving vervolgens is “medewerkers trappen in phishing”. Want dat legt de schuld wel erg makkelijk bij die medewerkers. Een bedrijf hoort simpelweg maatregelen te nemen zodat dergelijke trucs niet werken.

Ook deze zin gaf veel ophef:

De hotelketen waarschuwt klanten niet als data gestolen zijn, om ‘klanten niet onnodig te verontrusten’.
Dat is natuurlijk niet wat de AVG van organisaties eist, en specifiek bij creditcardgegevens is melden ook erg nuttig. Je kunt je kaart blokkeren, afschrijvingen in de gaten houden en zo nodig direct laten terugdraaien. Hier begrijp ik dus niets van.

Arnoud

 

Is het legaal dat WhatsApp haar AI verbindt aan je exportmogelijkheid?

Geplaatst op in Privacy, Security, Uitingsvrijheid, 13 reacties
Photo by Alok Sharma on Pexels

Een lezer vroeg me:

Sinds een tijdje heeft WhatsApp de “feature” van Meta AI. Wie dat niet wil, moet (per chat) via “Geavanceerde privacy voor chats” instellen dat deze niet mee kan doen. Echter, dit zorgt er ook voor dat je media niet meer automatisch kan opslaan naar je fotogalerij en het niet meer mogelijk is om chats te exporteren. Dit is toch geen vrije keuze meer? Wat zegt de wet hierover?
Inderdaad is de manier om de Meta AI te weren op zijn zachtst gezegd omslachtig, en als je dit “malicious compliance” zou noemen zou ik het helemaal met je eens zijn. Want het is geen aparte optie, het is deel van wat WhatsApp “Geavanceerde privacy”-instellingen noemt en feitelijk heel wat meer impact heeft dan enkel de AI weren.

Er is geen direct haakje waarmee je hier tegen bezwaar kunt maken. Het concept van vrije toestemming komt natuurlijk uit de AVG, maar dat zou hier dan betreffen dat Meta AI wel of niet mee mag lezen. En dát doe je door die bot te taggen in een chat, wat een duidelijke aparte handeling is. Het probleem is dus vooral dat je gesprekspartner(s) dit kan doen zonder jouw toestemming.

WhatsApp’s eigenaar Meta is in september 2023 aangewezen als een poortwachter onder de Digital Markets Act (DMA) voor deze platformdienst. De DMA kent een aantal plichten speciaal voor de “interoperabiliteit van nummeronafhankelijke interpersoonlijke communicatiediensten”:

  1. Basisfuncties interoperabel maken met andere diensten
  2. Vergelijkbare veiligheidsniveaus (inclusief e2ee) voor gebruikers die via andere diensten communiceren
  3. Alleen de strikt noodzakelijke persoonsgegevens verzamelen van gebruikers, geen persoonsgegvens mengen of gebruiken voor advertenties (tenzij met toestemming)
  4. Geen afhankelijkheden van andere eigen diensten afdwingen (zoals hier een Meta-account verplicht stellen)
  5. Eindgebruikers moeten “effectief” en kosteloos hun data kunnen exporteren
Het is dat laatste waar je hier een punt van zou kunnen maken. Weliswaar kán het, alleen moet je dan de AI-functionaliteit knarsentandend tolereren. Is dat nog “effectief”?

Ik vrees dat de rechter zal concluderen van wel. Uiteindelijk ís de AI-feature optioneel; als geen van beiden deze activeert dan gebeurt er niets. En daarmee lijkt de feature onschuldig genoeg om te kunnen zeggen dat deze een effectieve export niet in de weg zit. Je deelt immers alleen met Meta wat je direct adresseert aan de AI-bot, niet je gehele chat.

Arnoud

Gameplatform Itch.io verbergt nsfw-games vanwege druk van betaalverwerkers, mag dat?

Geplaatst op in Ondernemingsvrijheid, 10 reacties
Foto: Tiny Nibbles, Flickr

Gameplatform Itch.io heeft bijna alle nsfw-games verborgen op het platform. Dat meldde Tweakers onlangs. Het is een reactie op een oproep wat te doen aan games met seksueel geweld en objectificatie van vrouwen, waarbij ook betalingsverwerkers zoals Mastercard werden aangesproken. Diverse lezers vroegen me: bestaat er zoiets als betalingsprovidersneutraliteit analoog aan netneutraliteit?

Tweakers legt uit:

Het platform zegt dat dit nodig is vanwege een oproep door de non-profitorganisatie Collective Shout, die zich naar eigen zeggen verzet tegen seksuele objectificatie van vrouwen in media. Deze organisatie riep betaalverwerkers als PayPal, Mastercard en Visa op om zich terug te trekken van gameplatformen waarop games te koop zijn waarin verkrachting, incest en seksueel kindermisbruik voorkomen.
Natuurlijk zou bij strafbare content politie of toezichthouders moeten optreden, maar dat gebeurt niet altijd. En dan is de betalingsprovider aan de jas trekken een vaak effectieve andere stap.

Je zou zeggen, wat heeft een betalingsprovider te maken met de inhoud van de site waar de betalingen worden gedaan? In principe weinig, maar als men dat bedrijf accepteert en daarbij kennis krijgt van wat voor soort content er wordt verkocht, dan wordt dat een ander verhaal.

Wettelijk gezien is het niet heel eenduiding. In Nederland staat in de Wet op het financieel toezicht dat een “afwikkelonderneming” neutraal moet zijn (art. 4:76a BW):

Een afwikkelonderneming biedt eerlijke en vrije toegang tot haar diensten en systemen op basis van objectieve, risicogebaseerde en openbaar gemaakte deelnemingscriteria.
Maar wat is dat voor een ding:
Afwikkelondernemingen zijn verantwoordelijk voor de afhandeling van het girale betalingsverkeer; geld dat van de ene naar de andere bankrekening wordt overgemaakt. Door bijvoorbeeld verzoeken om goedkeuring van betaalopdrachten door te sturen wanneer een klant in een winkel afrekent. Of door juist zulke verzoeken goed te keuren door middel van een saldocontrole bij de klant.
Vanuit deze definitie kun je dus redeneren dat er het beginsel van neutraliteit geldt bij de afhandeling van betalingen. Maar er is ruimte genoeg om transacties te weigeren, als dat maar op basis van objectieve criteria is gebeurd en die criteria “eerlijk” te noemen zijn.

Verhinderen van betalingen voor strafbare zaken is (voor juristen in ieder geval) een evident toegestane beperking. Voor legale maar meer maatschappelijk ongewenste transacties ligt dat wat lastiger. Is dat “eerlijk”, en wat zijn dan de criteria om vast te stellen of iets ongewenst genoeg is om op de verboden lijst te komen?

Arnoud

 

 

Persoonsgegevens zijn dat alleen als je zelf de personen kunt identificeren

Geplaatst op in Privacy, Security, 22 reacties
Photo by Claudio Schwarz on Unsplash

Wanneer is een gegeven een persoonsgegeven? Maakt het daarbij uit dat je een ander nodig hebt om de identificatie rond te krijgen? Deze vragen leiden al jaren in de AVG-wereld tot felle discussies. Maar nu heeft het Hof van Justitie in het SRB-arrest de knoop doorgehakt; de ‘relativisten’ hebben gewonnen.

De achtergrond van het arrest is simpel genoeg. In 2017 werd de Spaanse Banco Popular Español overgenomen, wat goedkeuring van de Europese Commissie vergde. Na de afwikkeling werd audit- en advieskantoor Deloitte gevraagd om een onderzoek te doen, waarbij ze geanonimiseerde opmerkingen en zienswijzes van betrokkenen kreeg.

Of nou ja, geanonimiseerd: de namen en zo waren vervangen door alfanumerieke codes. Pseudonimiseren, noemt de AVG dat. Voor Deloitte onmogelijk te herleiden, tenzij de  verstrekkende partij (de Gemeenschappelijke Afwikkelingsraad, GAR) mee zou werken. En dat maakt uit, want een aantal mensen was geërgerd door deze verstrekking omdat de GAR niet had gezegd dat dit zou gebeuren.

Persoonsgegevens delen zonder informatie is niet toegestaan onder de AVG (hier dan verordening 2018/1725, de “AVG voor Europese instellingen”). Vandaar dat de vraag ontstond: zíjn het eigenlijk wel persoonsgegevens, die lijsten met codes die aan Deloitte waren verstrekt.

Enerzijds: ja, want je kunt ze terug herleiden als je de medewerking van de GAR krijgt. En sinds het Breyer-arrest weten we dat het daarvoor genoeg is dat je “wettige middelen” hebt die met een redelijke inspanning leiden tot de personen. Je kunt de NAW-gegevens achter een IP-adres bij de rechter opeisen, dus IP-adressen zijn persoonsgegevens.

Anderzijds: zijn ze dan altijd persoonsgegevens, of alleen voor de mensen die in staat zijn die herleiding te doen? Het is raar dat voor mij 192.168.3.41 een persoonsgegeven is, omdat stichting BREIN bij de rechter de NAW-gegevens kan opvragen zeg maar.

Het Hof brengt dan ook een belangrijke nuancering aan. Als jij zelf niet in staat bent de pseudonimisering ongedaan te maken, dan zijn de gegevens voor jou geen persoonsgegevens:

Dit veronderstelt echter ten eerste dat Deloitte bij iedere onder haar toezicht verrichte verwerking van [de zienswijzes en opmerkingen van de klanten] geen mogelijkheid heeft om deze maatregelen ongedaan te maken. Ten tweede moeten die maatregelen daadwerkelijk van dien aard zijn dat zij Deloitte ook beletten om diezelfde opmerkingen te koppelen aan de betrokken persoon door gebruik te maken van andere identificatiemiddelen, zoals een vergelijking met andere elementen, zodat de betrokkene voor deze vennootschap niet of niet meer identificeerbaar is.
Bij jou ligt dan dus wel de bal om aan te tonen dat je die herleiding niet kunt doen. Ja, dat is een omgekeerde bewijslast, maar omdat de hoofdregel toch al was dat het persoonsgegevens zijn is dat hier wel redelijk.

Het is dus een opsteker voor informatiebeveiliging en efficiënt werken: als je persoonsgegevens goed ontdoet van herleidbare informatie, dan kun je een ander er mee laten werken zonder dat die de hele AVG-rambam over zich heen krijgt. En omdat de bewijslast ligt bij de partij die meent dat de gegevens niet (meer) herleidbaar zijn, is het risico daarmee goed te managen.

Arnoud

Google hoeft Chrome niet te verkopen na megarechtszaak over online monopolie

Geplaatst op in Uitingsvrijheid, 5 reacties

Hoewel Google een verboden monopoliepositie in de zoekmarkt heeft, hoeft het bedrijf haar browser Chrome niet te verkopen. Wel moet men informatie delen met concurrenten en zijn exclusieve deals niet meer toegestaan. De uitspraak is het voorlopig hoogtepunt in een langlopend geschil tussen de Amerikaanse overheid en het bedrijf.

De Amerikaanse antimonopoliewetgeving (de Sherman Act) is streng, maar procedures duren lang. En dat is met name in de ict een enorm probleem. Zo duurde de zaak tegen Microsoft over integreren van Internet Explorer in Windows zó lang dat concurrent Netscape al lang uit de markt was toen de uitspraak kwam.

Deze zaak werd gestart in 2020. De kern: Google probeert andere zoekmachines buiten te sluiten door exclusieve deals rond Android te maken met telefoonmakers en met Apple in het bijzonder (Google als default in Safari). De aanklacht stelt dat Google hiermee 70% van de zoekmachineadvertentiemarkt in handen kreeg en adverteerders zo kunstmatig hoge prijzen kan rekenen.

Nadat de rechtbank in 2024 oordeelde dat Google inderdaad een monopolie had geprobeerd te verwerven, ging de procedure verder met de vraag hoe dit op te lossen. Ontbundelen van Chrome werd vaak genoemd als remedie, want zo zouden anderen de populaire browser kunnen leveren maar dan preconfigured met andere zoekmachines. Ook Android zou uitgesponnen moeten worden naar een apart bedrijf, met ontkoppeling van alle daarin opgenomen Google-diensten.

Die eisen werden afgewezen om twee redenen. Allereerst was niet duidelijk dat juist deze defaults een belangrijke rol hadden gespeeld in het verkrijgen van het monopolie. Maar ten tweede is onduidelijk hoe ontbundelen bijdraagt aan een oplossing, terwijl de kans groot is dat de producten dan ten onder gaan:

“It would be incredibly messy and highly risky.” [judge Mehta wrote.] That’s because it doesn’t run as a “standalone business” and relies greatly on Google’s own infrastructure, he wrote. Even if another owner tried to take it over, he wrote, “the court is highly skeptical that a Chrome divestiture would not come at the expense of substantial product degradation and a loss of consumer welfare.”
Het betalen van vergoedingen aan anderen voor het configureren van Google als default zoekmachine mag ook: veel organisaties (hoi Firefox) zijn sterk afhankelijk van die vergoedingen, en zouden mogelijk uit de markt verdwijnen als Google dit niet meer mocht doen.

Wél wordt Google verplicht om specifieke zoekdata en informatie over relevante webpagina’s te verstrekken, zodat concurrenten hun producten beter kunnen afstemmen. Inderdaad, verplicht de concurrent wijzer maken, maar dan had je die maar niet moeten wegpesten uit de markt.

Uiteraard wordt hoger beroep ingesteld. En de zoekmarkt is ten opzichte van 2020 alweer fors veranderd, met gigantische groei van chatbots-die-zoeken als vervanging van de “tien blauwe linkjes” waar je het van -inderdaad- Google mee moest doen.

Arnoud

 

Hebben we hier de eerste Nederlandse advocaat met ChatGPT-ECLI’s?

Geplaatst op in Innovatie, 28 reacties
Bron: Emanuel Peire, Medium

“Tijdens de mondelinge behandeling is vastgesteld dat alle verwijzingen in de conclusie van antwoord naar uitspraken van de Hoge Raad onjuist zijn.” Voor het eerst dat ik dat lees in een Nederlands vonnis, en zoals de rechtbank dan zegt roept het vele vragen op.

Het vonnis betreft een handelsnaaminbreuk, en de verwijzingenkwestie komt pas als laatste terzijde aan de orde, want de zaak kon ook zonder gewoon worden opgelost. Maar toch, ik zou knap balen als dit over mijn conclusie van antwoord werd gezegd:

In de conclusie van antwoord heeft [de gedaagde partij] verwezen naar (vermeende) uitspraken van de Hoge Raad ten aanzien van het handelsnaamrecht, met vermelding van een (vermeend) ECLI-nummer. Geen enkele van de aangehaalde (vermeende) arresten heeft betrekking op het handelsnaamrecht. Sommige ECLI-nummers horen bij strafrechtelijke uitspraken, andere bestaan in het geheel niet.
Ik denk dan meteen “ah, ChatGPT gebruikt”. Want die tool – en zijn vriendjes Claude en Copilot – heeft er een handje van de mooiste uitspraken op te lepelen die precies het betoog ondersteunen.

Mét een ECLI, want dat hoort er bij. Maar of die ook feitelijk bestaan en ondersteunen wat er wordt gezegd, dat is een heel ander verhaal. Het is meer Keyzer en de Boer: het klínkt goed, maar voor de feiten moet je elders wezen.

De rechtbank trekt geen conclusie, want je kunt immers niet zeker weten of iemand zo’n tool gebruikt tenzij die dat erkent. De verklaring hier doet voor mij als ict-er wat ongemakkelijk aan:

Desgevraagd heeft (de advocaat van) [de gedaagde partij] verklaard dat dit alles is veroorzaakt door een probleem bij het converteren van een word-bestand naar pdf. Deze verklaring roept vragen op.
Nou weet ik dat pdf-bestanden rare ondingen zijn, maar dat ze ECLI-nummers verbouwen heb ik nog niet gezien. Links die wegvallen, tekst die niet meer selecteerbaar is, tekst die na het plakken Unicode-prut wordt – zeker. Maar dit? Ik geloof het gewoon niet.

Arnoud

 

Man filmde stiekem vrouwen bij toiletten op festival Rotterdam met bril, beveiliger waarschuwt

Geplaatst op in Privacy, Uitingsvrijheid, 11 reacties
Beeld: RTL Nieuws

Bij een festival in Rotterdam is dit weekend een man betrapt op het stiekem filmen van vrouwen bij de toiletten met een camerabril. Dat meldde RTL Nieuws onlangs. Dit is ict-nieuws want hij deed dat met zo’n Ray-Ban Meta bril-met-camera. Maar ik snap de ophef wel.

Het artikel legt uit:

“Meerdere dames kwamen naar ons toe met de melding dat er een man rondliep bij de vrouwen-wc’s die verdacht rondkeek en zich ook richtte op schaars geklede dames”, vertelt Van den Heuvel aan RTL Nieuws. Daarop hebben ze de man apart genomen en gefouilleerd. “We vonden aanvankelijk alleen drugs in zijn zakken. Maar toen we eens goed keken naar zijn hoofd, dachten we opeens: wat heeft hij nou eigenlijk voor bril op?”
Dat was dus een Ray-Ban® Meta (“a new collection of AI glasses”), die officieel niet in Europa wordt verkocht. De dingen hebben dus camera’s die kunnen fotograferen en video’s maken (maximaal 3 minuten en het vreet batterij, dat wel). Ook zitten er microfoons in, onder meer zodat je met Meta’s AI kunt praten.

Waarom het ding niet in Europa op de markt is, weet ik niet. Een specifieke regel die een bril-met-microfoon-en-camera verbiedt, ken ik namelijk niet. En hoewel ik meteen zie hoe je hier AVG-schendend door het leven mee kunt, betekent dat niet dat verkoop van het apparaat ook een AVG schending zou zijn. Die wet regelt namelijk niets over apparatuur om persoonsgegevens mee te verwerken.

Wat is dan wél strafbaar?

  1. Een gesprek afluisteren waar je geen deelnemer aan bent (art. 139a en 139b Strafrecht), bijvoorbeeld door er naast te zitten en de microfoons het op te laten nemen.
  2. Afbeeldingen van personen (foto én video dus) maken in een besloten ruimte zoals een woning, zonder dat je dat duidelijk kenbaar maakt (art. 139f Strafrecht). (Niet verboden indien in de openbare ruimte want die bril is niet aangebracht op een specifieke plek, 441b Strafrecht).
  3. Zonder toestemming van de geportretteerde een “visuele weergave van seksuele aard” vervaardigen (art. 254ba lid 1(a) Strafrecht).
Afgaande op het nieuwsbericht is hier dus sprake van punt 4, want:
“Op zijn telefoon bleken meerdere video’s te staan waarop te zien was dat hij inderdaad rondkeek op de damestoiletten. Ook was er een beeld waarop hij op zijn knieën zat, en onder een rokje filmde. Obscure [obscene? AE] beelden, die we meteen verwijderd hebben.”
Voor Ray-Ban of Meta is dit niet direct relevant. Zij maken niet dergelijke opnames of beelden. Dat het kán, is niet van belang. Althans niet direct, want reclame maken voor de geschiktheid van dit soort producten voor heimelijk afluisteren of filmen is wél apart strafbaar (art. 441a Strafrecht).

Arnoud

EU-Hof gaat niet mee met privacyzorgen over datadoorgifteverdrag met VS

Geplaatst op in Privacy, 1 reacties
Photo by Andrey Masiero on Unsplash

Het Gerecht van het Europese Hof van Justitie houdt het EU-US Data Privacy Framework in stand, las ik bij Tweakers. De poging van Europarlementariër Philippe Latombe om het DPF ongeldig te laten verklaren lijkt daarmee gestrand, zij het dat een beroep naar het Hof van Justitie nog mogelijk is. Velen verwachtten een andere uitspraak.

Het zogeheten DPF is de opvolger van het Privacy Shield uit 2016, dat weer een poging was om het ontplofte Safe Harbor op te kalefateren. Alle drie hebben ze hetzelfde doel: te zorgen dat persoonsgegevens uit Europa naar de VS mogen onder de AVG.

De kern is dat de AVG alleen zulke ‘doorgifte’ toestaat als het andere land min of meer gelijkwaardige bescherming van persoonsgegevens kent. Zwitserland heeft bijvoorbeeld een databeschermingswet die sterk overeenkomt, en is daarom adequaat verklaard. De VS heeft géén (federale) gegevensbeschermingswet, maar omdat iedereen en z’n moeder afhankelijk is van Amerikaanse ict- en datadiensten, moest en zou er wat voor komen.

Zowel Privacy Shield als Safe Harbor sneuvelden in essentie omdat Amerikaanse veiligheidsdiensten zonder waarborgen mochten snuffelen in data van Europeanen als die in de VS stond. Het DPF heeft een aantal extra procedurele waarborgen, zoals een aparte toezichthouder, de Civil Liberties Protection Office (CLPO).

Een discussiepunt was dus meteen hoe onafhankelijk die is, iets waar het Gerecht nu van zegt dat dit ten tijde van de DPF adoptiedatum op papier goed geregeld was:

Zoals blijkt uit overweging 180 van het bestreden besluit, is het de inlichtingendiensten en de directeur van de nationale inlichtingendienst daarentegen verboden de werkzaamheden van de CLPO te belemmeren of op onrechtmatige wijze te beïnvloeden. De CLPO moet bij het onderzoek van de klacht met betrekking tot persoonsgegevens de wet onpartijdig toepassen en daarbij rekening houden met zowel de nationale veiligheidsbelangen als de bescherming van de persoonlijke levenssfeer.
De CLPO voldoet dus aan de gestelde eis dat er onafhankelijk toezicht is op hoe de inlichtingen- en veiligheidsdiensten werken met persoonsgegevens van Europeanen.

Een tweede punt was massasurveillance door diezelfde diensten. Ook dat was keurig geregeld in het DPF, onder meer omdat bulk surveillance in principe wettelijk verboden is. En daarmee zijn alle grieven van Latombe afgekaart.

U denkt nu misschien, wat een super formele opstelling. We weten toch allemaal hoe de praktijk tegenwoordig is? Maar het Gerecht kan en mag niet oordelen of het DPF op dit moment de situatie adequaat afdekt. Haar taak was toetsen of de Europese Commissie destijds het DPF had mogen aannemen gezien de wettelijke, formele situatie van toen in de VS.

Natuurlijk, die formele situatie had met de werkelijkheid weinig van doen. En zeker anno 2025 is er wel héél veel veranderd sinds Biden zijn handtekening zetten onder die executive order. Maar dat is een taak van de Commissie, niet de rechter: de Commissie moet toetsen of de VS zich nog steeds houdt aan de afgesproken regels. Dit is dus wezenlijk anders dan bij Privacy Shield, waar de afgesproken regels zelf te weinig bescherming boden voor de grondrechten van Europese burgers.

Arnoud