Mijn provider blokkeert IP-adressen van schurkenstaten, mag dat?

shirt-127-0-0-1-ip-adresEen lezer vroeg me:

Wij zijn klant bij het Amerikaanse cloudbedrijf SoftLayer. Nu lezen wij dat SoftLayer network-wide blocking implementeert van IP-adressen uit Cuba, Iran, North Korea, Soedan en Syrië. Dit in verband met Amerikaanse handelssancties. Kan dat zomaar?

Inderdaad zijn er al diverse jaren allerlei zware handelssancties tegen de genoemde landen. President Bush noemde ze destijds de Axis of Evil, ook wel “schurkenstaten” (wat ik dan iets meer Donald Duck vind, maar goed). Interessant stukje achtergrond hier.

Sancties gaan primair over het niet mogen leveren van goederen, maar soms vallen diensten er ook onder. En routering van IP-pakketten is nu eenmaal een dienst, zodat naar de letter van het verbod je er zomaar onder kunt vallen als toegangsprovider of hoster.

Of de sancties tegen deze landen zó ver gaan dat ook deze vorm van dienstverlening eronder valt, betwijfel ik. Ik kan in ieder geval nergens ontdekken dat internetconnectiviteit een dienst is die verboden is om te leveren. Zo lees ik in het handelsverbod met Sudan toch echt een uitzondering voor:

• transactions with respect to telecommunications in Sudan;

Vergelijkbare uitzonderingen staan bij de andere landen. Misschien dat SoftLayer meer informatie heeft, of op safe wil spelen.

Mag dat? Ja, in principe wel. Internetproviders en hosters zijn ‘gewoon’ private bedrijven, en als die naar aanleiding van een wet eigen regels willen stellen die verder gaan, dan mag dat. Zeker omdat het hier gaat om business-to-business transacties. De enige vraag is eigenlijk of ze de bevoegdheid hebben het contract aan te passen, en natuurlijk is dat zo, in typisch Amerikaans-lompe stijl:

SoftLayer may modify the terms and conditions of this MSA by notifying You through the Customer Portal and all modifications will be effective upon such notice. It is Your responsibility to review the Customer Portal for such notices. Your use of the Services following any such notice will be deemed acceptance of such modifications.

Lees: het contract is wat wij vandaag online zetten, en als u dat niet leest dan is dat jammer maar helaas. Dus zelfs als de sancties van de VS IP-access toestaan van en naar schurkenstaten, dan mag SoftLayer nog steeds weigeren daarheen te routeren.

Deze actie van SoftLayer verbaasde me een tikje, maar nog meer verbaasde me het dat er vrijwel niets over te lezen is. Is het geen nieuws?

Arnoud

Mag de politie zeggen “U twittert wel heel veel”?

twitter-agent-politieTwitterende tegenstanders van azc’s moeten rekening houden met een bezoekje van de politie. Mag dat? Dat schreef NRC vorige week. „Wij hebben orders gekregen om u te vragen op uw toon te letten. Uw tweets kunnen opruiend overkomen”, kreeg een Sliedrechtenaar te horen nadat hij had getwitterd over een AZC-bijeenkomst. Iets strafbaars zei hij niet, dus dat roept dan de vraag op, waar bemoeit die agent zich mee? En hoezo gaan ze dan langs je huis om wat te zeggen van je tweet?

In principe heeft een agent het recht zich te bemoeien met wat je in de openbaarheid doet, als dat de openbare orde raakt. Dat staat zo in artikel 3 Politiewet:

De politie heeft tot taak in ondergeschiktheid aan het bevoegd gezag en in overeenstemming met de geldende rechtsregels te zorgen voor de daadwerkelijke handhaving van de rechtsorde en het verlenen van hulp aan hen die deze behoeven.

Als een agent je ziet terwijl je hard fietsend op een rood stoplicht afkomt, dan mag hij je manen af te remmen, ook al ben je nog niet door rood gefietst. Dit artikel geldt dus niet alleen bij daadwerkelijk gepleegde strafbare feiten. Ik zie het principiële verschil niet tussen mensen op straat waarschuwen niet door rood te rijden en mensen op straat waarschuwen geen strafbare dingen te gaan roepen.

Artikel 3 is overigens niet bedoeld voor activiteiten waarbij de politie inbreuk maakt (“een meer dan geringe”, althans) op grondrechten van burgers. Een huis doorzoeken of iemands mailbox lezen kan dus niet op grond van dit artikel, daar is een specifiek bevel voor nodig onder het Wetboek van Strafvordering.

Maar, zo weten we ondertussen, de politie mag kijken wat er in het openbare internet allemaal gebeurt. In de jihadzaak van december werd over rechercheren op internet gezegd:

Zoals de politie, al dan niet in burger, op straat mag surveilleren en rondkijken, zo mag een rechercheur vanachter zijn computer hetzelfde doen op internet. Een uitdrukkelijke wettelijke grondslag is daarvoor niet nodig’. Daarbij wordt door de Minister opgemerkt dat deze bevoegdheid om rond te kijken op een openbaar netwerk niet de bevoegdheid impliceert om stelselmatig voor de uitoefening van de politietaak gegevens van internet te downloaden en in een politieregister op te slaan.

Op internet rondkijken is dus hetzelfde als op straat surveilleren. En als je op straat iemand hoort schreeuwen “Laat ze oprotten die teringleiers, we gaan met z’n allen naar het gemeentehuis”, dan mag je als agent even een praatje aanknopen. Ook als men slechts volstrekt legale bedoelingen heeft en niet meer wil dan oproepen tot een legale betoging bij het gemeentehuis om onvrede te brengen. (“Teringleiers” roepen in een politieke discussie lijkt me niet direct strafbare groepsbelediging.) Je zit in een grijs gebied met zo’n oproep, en deel van de taak van de politie is die grijze gebieden netjes houden.

Hetzelfde argument werd aangehaald bij het raadplegen van Google Earth in een belastingfraudezaak. Men citeert de minister:

Zoals de politie, al dan niet in burger, op straat mag surveilleren en rondkijken, zo mag een rechercheur vanachter zijn computer hetzelfde doen op Internet. Een uitdrukkelijke wettelijke grondslag is daarvoor niet nodig, mits dat optreden gerekend kan worden tot de uitvoering van de politietaak (zie artikel 2 [nu artikel 3, AE] Politiewet 1993).

Een keertje kijken op Google Earth viel hieronder, omdat het incidenteel was en een openbare bron. Twitter en Facebook zou ik in principe hier ook onder rekenen, in ieder geval zolang het openbaar is en je geen kunstgrepen met nepaccounts en bevrienden uit hoeft te halen. Immers, zelfs je volgen op Twitter is nog niet automatisch een “meer dan geringe” inbreuk.

Tegelijk lijkt het me zeker nogal heftig om een agent aan je deur te krijgen, heftiger dan op straat te horen “kan het even wat minder meneer”. Op straat is het direct gerelateerd aan je actie, en als men een week later thuis langskomt dan mis je die link. Maar ik zie dat als inherent aan het medium Twitter: men kan moeilijk direct er wat van zeggen, dus logisch dat het even duurt. Ik denk niet dat mensen onder de indruk zijn als de politie terug gaat twitteren “@jijdaarmetdiehashtag even dimmen meneertje”.

Arnoud

Een technische storing op je korting-zaterdag is oneerlijke reclame

kruidvat-30-procent-korting-zaterdag-storingWie reclame maakt met “Alléén deze zaterdag 30% extra korting op Lego en Playmobil” en dan op die zaterdag een grote storing heeft, maakt misleidende reclame. Dat las ik bij ITenRecht.nl. Nu is de RCC geen rechter, maar de Reclame Code sluit wel aan bij het Nederlands recht. En het punt is wel vaker langsgekomen: als je mensen lokt met aanbiedingen of kortingen, en vervolgens “technische storing” zegt, waar staan mensen dan?

De Kruidvat had 14 november vorig jaar een Lego- en Playmobil-actie: alleen die dag 30% korting. Kennelijk is goedkope Lego (en Playmobil, maar die boeit mij minder) iets heel bijzonders, want het was nogal druk, zowel in de winkel als in de webshop.

Dat kopen ging niet zonder problemen, zo lees ik op diverse plekken. Producten niet selecteerbaar, een checkout die niet werkt, levering met ontbrekende producten en ga zo maar door. Oké, dat kan allemaal gebeuren, maar een tikje raar is het wel.

Helemaal raar is de situatie waar de RCC-klaagster over viel:

Toen klaagster die dag via de website een Lego product wilde bestellen, werd daarbij geen 30% korting-label weergegeven en bij plaatsing van het artikel in het winkelmandje werd ook geen korting berekend. Klaagster legt een screenshot over als bewijs dat geen korting werd toegepast op haar bestelling.

De Kruidvat hield het erop dat “er die dag een technische storing is opgetreden op de website waardoor bij een aantal artikelen geen korting is verleend.” Een fout is nog geen misleiding, met andere woorden: aan een storing kun je niets doen.

De RCC (althans de voorzitter) ziet dat anders: als je zegt, 30% korting op álle Lego, dan moet er 30% korting op álle aankopen van Lego zitten. Anders is het misleidende reclame. Dat de reden voor de niet-korting een technische storing is, maakt niet uit. Dat is jouw probleem als winkel. Je moet je zaakjes dus gewoon goed op orde hebben, en overmacht of programmeerprutswerk kun je niet als excuus aanvoeren.

En de “op=op” dan, die er toch bij (vele) uitingen en de webshop duidelijk bij stond? Dat is op zich een argument voor de winkel. Je weet dan als klant dat je teleurgesteld kunt worden. Op zich terecht. Alleen: bij deze klaagster gaat dat niet op, want de korting niet tonen is wat anders dan “sorry, het product is op”.

Meer algemeen blijf ik me wel afvragen hoe makkelijk je mag gooien met “op=op”. Mag je niet verwachten van een beetje webwinkel dat ze realtime voorraadbeheer kunnen doen? Dus als ik er eentje in de winkelwagen duw en bestel, dat ze dan wéten “dit kan, er is er nog eentje” versus “ai, we verkopen net de laatste, 410 sorry”? Het is nogal storend om eerst een keurige bestelbevestiging te krijgen en daarna “helaas, u bestelde iets dat ondertussen uitverkocht was”. Al is het maar omdat de actie dan meestal allang afgelopen is.

Of leg ik de lat nu te hoog? Moet je bij op=op maar beseffen dat het een gok is, die bestelling, en dat het pas zeker is als de bestelling er is?

Arnoud

Mag je Mein Kampf opnieuw uitbrengen nu het auteursrecht vervallen is?

verbodEen lezer vroeg me:

Het auteursrecht op “Mein Kampf” van Adolf Hitler is per 1 januari verlopen. Mag je dat boek dan nu in Nederland uitbrengen?

Hoofdregel van het auteursrecht is dat dit recht vervalt op 1 januari 70 jaar na het sterfjaar. Bij overlijden in 1945 kom je dus inderdaad uit op 1 januari 2016. Dat geldt voor “Mein Kampf” net zo goed als voor andere werken. De Nederlandse vertaling “Mijn Kamp” van Steven Barends is nog wél auteursrechtelijk beschermd, omdat die auteur pas in 2008 overleed. (Bij het dagboek van Anne Frank ligt dit complexer, omdat dit dagboek pas na overlijden van de auteur voor het eerst gepubliceerd werd.)

Het auteursrecht op de Duitse tekst is dus verlopen. In beginsel mag je dit boek dan nu uitgeven zonder toestemming van de ex-rechthebbenden. Ook het maken van een vertaling en die uitgeven is nu in beginsel legaal. Met publiek domein werken mag je doen wat je wilt.

In beginsel, want in Nederland is dit boek verboden om te verhandelen. In 1987 bepaalde de Hoge Raad dat het boek aanzette tot haat en geweld tegen bevolkingsgroepen (art. 137e Strafrecht) en daarom van de markt moest. Dat verbod staat dus los van auteursrechten en vervalt dus ook niet enkel omdat de auteursrechten nu vervallen zijn.

Echter, hoe sterk dat verbod nog is, valt te bezien. In 2014 werd een antiquair vrijgesproken onder dit artikel. Zijn verkoop van een oud exemplaar van het boek was niet strafbaar, hoewel de rechtbank opmerkt dat het aanbieden van dit boek “in beginsel” strafbaar kan zijn. Echter, de rechtbank ziet dat de maatschappelijke ontwikkelingen sinds het verbod uit 1987 flink veranderd zijn. Het boek is via internet makkelijker beschikbaar, er waren plannen voor wetenschappelijke edities, de Tweede Kamer stemde zeven jaar eerder vóór vrijgave van het boek en bovendien ging het hier om één oud exemplaar aangeboden aan verzamelaars. De kans dat die verkoop zou leiden tot verder haatzaaien of geweld, is daarmee marginaal.

Dit betekent niet dat het verbod nu van tafel is. Het komt sterk neer op de omstandigheden: met welk doel verkoop je het boek, is het een herdruk of een oud exemplaar en hoe maak je reclame?

Ik heb nog geen concrete plannen gezien van mensen die het boek willen gaan verkopen. Jullie wel?

Arnoud

Is embedden van mijn nietcommerciële Youtubevideo een inbreuk op auteursrecht?

youtube-logo.pngEen lezer vroeg me:

Ik publiceer films op Youtube, maar ik wil niet dat die commercieel worden gebruikt. Dat heb ik ook netjes in de beschrijving staan én middels een tekst aan het begin van de video. Toch embedt een lokale krant mijn films steeds, omdat zij ze nieuws vinden. Ze overtreden dus mijn licentie, wat kan ik doen?

Hier valt denk ik erg weinig tegen te doen. Volgens de hoogste Europese rechter is het geen inbreuk op auteursrechten om te linken naar een foto of film, maar ook niet om deze te embedden.

Omdat het geen inbreuk is om dit te doen, heb je als embedder ook niets te maken met eventuele voorwaarden die de maker van het werk stelt. Voorwaarden zijn immers pas aan de orde als je iets doet dat normaal auteursrechtinbreuk is. Dan heb je een licentie nodig, en dan moet je de licentievoorwaarden nakomen.

Het is dus toegestaan een Youtube-video te embedden, ongeacht wat de plaatser van de film daarvan vindt. Pas als de film werd gedownload en opnieuw gepubliceerd, zou je met je voorwaarden nog iets kunnen doen.

Bij herpublicatie door de pers is trouwens “het is nieuws” een erg zwak argument. Als de beelden zelf het nieuws zijn (unieke beelden van een ontsnapte gorilla, bijvoorbeeld), dan misschien. Maar gewoon willekeurig beeld van een nieuwswaardige gebeurtenis mag niet zomaar geherpubliceerd worden. Een kort fragment met bronvermelding wel, bij wijze van citaat, maar niet de gehele film.

Arnoud

Mag Sync.me mijn adresboek gebruiken voor hun omgekeerde telefoonboek?

sync-meEen lezer vroeg me:

Op de website https://sync.me kun je willekeurige telefoonnummers invullen en zien welke naam daarbij hoort. Een omgekeerd telefoonboek dus. Maar wat valt me op: de gegevens zijn niet altijd officieel (zoals je in het telefoonboek staat), zo zijn er nummers die “Werk Papa” of “Oma” als bijbehorende naam geven. Dat komt dus gewoon uit iemands uitgelezen adresboek. Mag het zo dan wel, in hun voorwaarden staat daar vast een zin over.

Omgekeerde telefoonboeken zijn in Nederland eigenlijk altijd illegaal. Voor opname in een officiële telefoongids geldt een wettelijke opt-outregeling, maar voor andere gidsen en ook voor omgekeerd zoeken geldt juist opt-in. Zonder toestemming mag je niet worden gevonden op je nummer.

Update (08:47) op Twitter wijst Gerrit-Jan Zwenne erop dat de OPTA omgekeerd zoeken geen inbreuk op deze opt-in regel vindt omdat het “op zich” niet zou worden ervaren als inbreuk op de persoonlijke levenssfeer, en in het buitenland er meer van zulke diensten zijn. Oké, ik ben alweer rustig.

Wat Sync.me doet, is de oude juridische truc van stal halen dat mensen in de Terms of Use beloven volledig legaal te handelen en te garanderen dat ze alle benodigde toestemmingen hebben geregeld. Ja precies, en ik had ook nog een brug in Rotterdam te koop voor een spotprijsje.

Hier. Lachen (auch auf Deutsch):

If you chose to activate the “Sync.ME search” feature, you would be asked to explicitly warrant that you have all necessary permissions to share your contacts’ information, and that you have no knowledge of any objection, on the behalf of any of your respected contacts, to include their names and phone numbers in the phonebook directory, which is available for other registered users. Please be sure not to share any other person details without his or her prior consent, and that the information you share is accurate and up-to-date.

Geloof je het zelluf. En ik kop hem dan toch maar even in: dit is zinloze prietpraat onder onze privacy- en telecomwetgeving. Toestemming als deze moet expliciet worden gegeven, en het is te enen male onmogelijk dat via Terms of Use of privacyverklaring te doen. Gewoon niet.

Sync.me is onder Europees recht gewoon de ‘verantwoordelijke’ voor dit soort persoonsgegevens, en moet dus zorgen dat dat zorgvuldig gebeurt. Simpelweg achter een juridische schaamlap wegduiken is niet zorgvuldig.

En nee, claimen dat ze slechts een hostingprovider zijn, gaat hem hier niet worden. Ze geven niet 1-op-1 opgeslagen informatie door, zoals een webhoster, forum of chatbox dat doet. Ze compileren de informatie en bouwen daar een eigen zoekdienst bovenop. Dat gaat te ver om immuniteit te claimen en met notice/takedown weg te komen.

Ik wil het niet elke dag zeggen, maar dit is dus een pracht van een datalek waar de Wbp-met-tanden voor bedoeld is. “Firmly committed to ensure that the personal information is safeguarded and protected”, moehaha.

Arnoud

Dekens gaan koppelsites advocaten controleren

vind-advocaatAdvocaten die hun diensten via koppelsites aanbieden, kunnen vanaf 4 april hun zaakjes maar beter op orde hebben, las ik bij de Telegraaf. Eerst dacht ik dat het om Google Adwords ging, maar het gaat om sites waar je advocaten kunt zoeken met een doorverwijzing naar kantoren. Die kantoren betalen de sites voor deze leads, en dat mag niet van de gedragsregels in de advocatuur.

Het provisieverbod voor advocaten bestaat al langer. Het is advocaten verboden “een beloning of provisie toe te kennen of te ontvangen voor het aanbrengen van opdrachten”. Geen internetspecifieke regel dus, gewoon een maatregel om te zorgen dat advocaten geen belang krijgen bij aangedragen zaken of andere gekke dingen gaan doen omdat ze iemand provisie moeten betalen voor een cliënt.

Dat wil natuurlijk niet zeggen dat een advocaat geen reclame mag maken. Ook betalen per klik voor aangedragen bezoek is geen probleem. Waar het misgaat, is als er een bedrag wordt betaald dat afhankelijk is van de hoogte van de factuur aan de cliënt. Dan ontstaat er een rare situatie (in de visie van de Orde van Advocaten) waarin de advocaat niet meer onafhankelijk is.

Ik snap het zelf ook niet precies, en ik sta niet alleen: ik vond deze tirade die het verbod een “rottende stomp” noemt en de basis daarvoor een “axioma”. Ook lees ik dat andere Europese landen dit verbod niet kennen, in ieder geval lang niet zo streng als bij ons. Dus waarom men dit verbod juist nu wil gaan handhaven, ontgaat mij volledig.

Arnoud

Is het een datalek om ongesalte pincodes op te slaan?

hier-pinnenEen lezer vroeg me:

Een collega van me verloor onlangs zijn tankpas. Hij kreeg keurig een nieuwe, maar in een begeleidende brief werd hem de pincode gemeld: precies dezelfde als van zijn oude pas. Dat vind ik raar, dat is toch hartstikke onveilig? Dan slaan ze dus die pincodes leesbaar op in hun systeem. Is dat strafbaar onder de Wet datalekken?

Update (9:36) voor de duidelijkheid: de nieuwe pincode (die dus gelijk is aan de oude) staat leesbaar in de brief. De brief zat niet bij de pas maar in een aparte envelop die een dag later werd ontvangen.

Helaas komen dit soort basale veiligheidsproblemen nog steeds heel vaak voor. De wetswijziging die per 1 januari van kracht is, zou in theorie hier een prikkel tegen moeten bieden, maar ik heb er een hard hoofd in.

Natuurlijk is het enkel hebben van plaintext pincodes geen datalek. Volgens de wet is daarvan pas sprake als er werkelijk persoonlijke informatie gelekt is. Een dreigend datalek valt niet onder de definitie.

Gelukkig kent de nieuwe wet meer dan alleen datalekken. Al jaren staat er in de wet dat de opslag en andere verwerking van persoonsgegevens onder “adequate beveiliging” moet gebeuren, en per 1 januari staat er ook een boete op het niet adequaat beveiligen. Los dus van of dit daadwerkelijk tot een datalek heeft geleid of niet. In theorie kan de Autoriteit Persoonsgegevens dus een boete opleggen wanneer ze deze ongesalte pincodes aantreft.

Jammer is dan natuurlijk weer dat de kans uitermate klein is dat dit wordt bemerkt. Beveiliging is perfect tot het misgaat, en daarna heeft de stagiair een incident veroorzaakt in een voor het overige prima werkend systeem. Dat gaan boetes niet snel oplossen, tenzij je heel vaak en heel hard handhaaft. Of je de boete laat uitbetalen aan de getroffen personen in plaats van aan de overheid, een idee dat ik al vaker opperde (hoewel het ook nadelen heeft, zoals je eigen gegevens hacken en incasseren).

Eigenlijk wil je dat bedrijven een stevige prikkel voelen om hun beveiliging preventief op orde te hebben. Maar hoe krijgen we dát voor elkaar?

Arnoud

Mag een winkel verplichten dat je pint?

hier-alleen-pinnen-geld-betalingEen lezer vroeg me:

Laatst was ik in een winkel waar bij de deur een grote sticker hing “Hier kunt u uitsluitend pinnen” met een uitleg dat dat veiliger en gemakkelijker was. Maar contant geld is toch gewoon een wettig betaalmiddel, dus hoezo kunnen ze me verbieden met contant geld te betalen?

De term “wettig betaalmiddel” komt in de Nederlandse wet niet voor. De wet (art. 6:112 BW) spreekt van “gangbaar geld” als het middel waarmee schulden kunnen worden voldaan. Dat betekent Euro’s, en wel contant. Heeft de schuldeiser een bankrekening, dan is girale betaling ook goed (art. 6:114 BW).

Waar het op neerkomt, is dat je een schuldenaar niet mag weigeren een schuld te voldoen als deze aanbiedt de schuld met gangbaar geld te voldoen. Dat is niet hetzelfde als “iemand die iets te koop aanbiedt, moet de prijs in contant geld accepteren”. Een schuld voldoen betreft iets dat er al is. En bij een aanbod is er nog geen juridische band.

Iets preciezer: dit is “regelend recht”, zoals dat heet bij juristen. Oftewel: je mag hier andersluidende afspraken over maken. Wil je niet dat mensen contant betalen, dan zeg je dat erbij als ze vragen wat het kost. Zet je dat op een bordje, dan is dat ook rechtsgeldig hoewel het dan een algemene voorwaarde is geworden, maar ook op de zwarte en grijze lijsten voor algemene voorwaarden staat niets dat dergelijke afspraken zou hinderen. Hetzelfde geldt voor een webshop die dat in haar voorwaarden of op haar site meldt.

Ik kwam toevallig dit verstekvonnis waarbij de eisende partij achteraf pas meldde dat er per bankoverschrijving moest worden betaald en de gedaagde met contant geld wilde betalen. Daar wilde de rechter niet aan: contant geld is wettig betaalmiddel, en zonder andersluidende afspraken mag je daar je schulden mee voldoen. Dit is trouwens een verstekvonnis, waarbij er dus geen verweer werd gevoerd. Verliezen terwijl er geen verweer is, is best wel knap.

Een aanverwant veelgehoord punt is dat je een schuld van duizend euro niet met een kruiwagen gevuld met vijfcentmuntjes mag voldoen. Dat is geen specifieke geld-regel maar gewoon de redelijkheid en billijkheid, art. 6:2 BW.

Bij een webwinkel (om het toch ontopic internetrecht te houden) is dit zelden een issue. Vrijwel alle voorafbetaalmethoden gaan zonder contant geld. Het is je (dwingend) recht als consument om de helft achteraf te betalen, maar gewoonlijk stelt de winkel dan regels over hoe dat moet gebeuren. En ook die gaan dan boven “ik wil met contant geld betalen want dat is wettig betaalmiddel”.

Arnoud