Ius Mentis

Is het dagboek van Anne Frank nu publiek domein ondertussen?

Geplaatst op 15 januari 201612 januari 2016 in Intellectuele rechten, 28 reacties

Het auteursrecht op het dagboek van Anne Frank is nog jaren van kracht, blogde ik eind november. Het Zwitserse Anne Frank Fonds stelt dat Annes vader Otto medeauteur van het dagboek is, en aangezien Otto Frank pas in 1980 overleed, zou het verval van het auteursrecht pas vanaf die datum berekend worden in plaats van vanaf 1945, Annes overlijdensjaar. Ondertussen is het 2016, dus hoe zit het nu?

Dat touwtrekken over het auteursrecht zal nog wel even duren. Heel toevallig verscheen 29 december een vonnis (via) van de rechtbank Amsterdam, waarin het Anne Frank Fonds uit Basel optrad tegen de Nederlandse Koninklijke Academie voor de Wetenschappen. De KNAW wilde wetenschappelijk werk verrichten aan het dagboek, maar het Fonds vond dat auteursrechtinbreuk, met name omdat er integrale kopieën zouden rond gaan zwerven binnen die organisatie.

De eerste vraag is dan: zit er nog wel auteursrecht op die werken? Volgens de hoofdregel niet. Auteursrechten vervallen 70 jaar na de dood van de maker, en voor Frank zou dat dan dus per 1 januari 2016 het geval zijn geweest.

Deze regel geldt echter alleen bij werken die bij leven van de auteur zijn gepubliceerd. Dat is met het dagboek niet het geval: de eerste uitgave verscheen pas in 1947, twee jaar na Annes dood. Het wordt dan wat ingewikkeld: de termijn is dan 50 jaar na de eerste publicatie, mits dat maar minstens even lang is als 70 jaar na het sterfjaar van de maker. Nee, daar is nul logica aan te ontdekken, maar dat komt door de verlenging van het postmortem auteursrecht van 50 jaar na 70 jaar.

Volgens de rechtbank:

Een deel van de werken is opgenomen in “Het Achterhuis”, gepubliceerd in 1947. Voor dat deel gold een termijn van 50 jaar na de publicatie, zodat deze op 1 januari 1998 in het publieke domein zouden zijn gevallen, indien de wet in 1995 niet was gewijzigd. Ingevolge de wetswijziging geldt echter dat de termijn is verlengd tot 70 jaar na het overlijden van Anne Frank.
Voor de delen die voor het eerst zijn openbaar gemaakt in de editie van 1986 gold op grond van de regeling van voor 1995 dat die delen eerst in het publieke domein vallen 50 jaren na 1 januari 1987. Deze beschermingstermijn is op grond van artikel 51 Aw door de wetswijziging in 1995 niet verkort.

Volgt u het nog?

Het KNAW legde zich hierbij neer, zodat de rechtbank er formeel geen uitspraak over doet, maar het zet wel een precedent. Derhalve lijkt het er nu op dat het auteursrecht op de 1986-editie van het dagboek doorloopt tot 50 jaar na 1986, 1 januari 2037 dus. Ik ben dan nog net niet met pensioen geloof ik. En ja, dat is frustrerend.

Arnoud

Je baas mag meegluren in je privéberichten op je werk?

Geplaatst op 14 januari 201613 januari 2016 in Ondernemingsvrijheid, Privacy, 16 reacties

skype-chat-meeting ’t Is legaal: je baas mag meegluren in je privéberichten op je werk. Dat stond op RTL Z gisteren. Het Hof voor de Rechten van de Mens bepaalde (zaaknr 61496/08) dinsdag dat de privacy van een werknemer niet geschonden werd door een ontslagzaak waarbij een privéchat was gelezen door de werkgever. Maar het ligt iets anders dan RTL Z hier suggereert.

De werknemer in deze zaak was ontslagen vanwege het versturen van privéberichten vanaf de werkcomputers. Het ICT-reglement was kort en duidelijk:

It is strictly forbidden to disturb order and discipline within the company’s premises and especially … to use computers, photocopiers, telephones, telex and fax machines for personal purposes.

Het ging hier echter niet om enkel het versturen van privéberichten. De werknemer had een zakelijk Yahoo Messenger account aangemaakt om daarmee met klanten te kunnen chatten. De werkgever monitorde dit account en constateerde op zeker moment dat er privécommunicatie (met onder meer zijn broer en zijn verloofde) was geweest, en gebruikte dat als grond voor ontslag. De werknemer stelde dat het monitoren in strijd met de privacy was zodat hierop geen ontslag kon worden gebaseerd.

Het Hof bevestigt nogmaals dat privacy ook gewoon geldt op het werk. Iedere inbreuk daarop moet dus worden gerechtvaardigd met een duidelijk zwaarwegend belang dat opweegt tegen de privacy.

Vervolgens kijkt men hoe dat in deze zaak uitpakte. Een belangrijk punt was hier dat het account aangemaakt was voor zakelijke doeleinden, waardoor het al vrij snel redelijk is dat de werkgever daarin kijkt. Dat Yahoo Messenger een typisch consumentenchatprogramma is, doet daar niet aan af. Verder werden de berichten niet inhoudelijk bekeken in de rechtszaak, maar werd heel snel vastgesteld dat het privécommunicatie betrof, waarna de rest van de zaak ging over of duidelijk was gemeld dat dat niet mocht, hoe ernstig alles was et cetera.

Op grond van die analyse concludeert het Hof dan ook vrij eenvoudig dat hier geen privacyschending plaatsvond. Als je een werkaccount gebruikt voor privézaken, dan kan de werkgever die tegenkomen en hij mag daar dan wat van zeggen. Dat is niet hetzelfde als “je baas mag meegluren in je privéberichten”. Ook is dat niet hetzelfde als “de werkgever mag de privéinformatie in detail gebruiken voor van alles en nog wat”.

Wat mij betreft is deze uitspraak niet verrassend en geen probleem voor de privacy. De boodschap is duidelijk: privézaken doe je op privéaccounts en wel zodanig dat je baas er geen last van heeft. En in die situatie mag je baas niet zomaar meegluren, ook niet als het onder werktijd gebeurt.

Arnoud

Is een disclaimer genoeg tegen het merkenrecht?

Geplaatst op 13 januari 201612 januari 2016 in Intellectuele rechten, Ondernemingsvrijheid, 13 reacties

tom-smeenk-geen-auping Ik kan niet eens meer een wandeling maken door de stad zonder disclaimers tegen te komen: “Wij zijn geen Auping dealer!” op het etalageraam van beddenhandel Tom Smeenk in Utrecht. Ook de website van Smeenk vermeldt deze tekst in diverse groottes.

Over het gebruik van merken doen veel misverstanden de ronde. De belangrijkste: het zou verboden zijn een merk te voeren, ongeacht omstandigheden, zonder toestemming van de merkhouder. Dat klopt niet, al was het maar omdat in het recht er niets toegestaan of verboden is “ongeacht omstandigheden”. Er zijn áltijd omstandigheden te verzinnen die iets dat in principe legaal is, toch verboden maken. Of andersom.

Je mag zonder toestemming een merk gebruiken wanneer je de merkproducten verkoopt. Je moet dan kunnen aangeven dat je die producten verkoopt, en dat doe je door het merk te tonen. (De merkproducten moeten met toestemming op de Europese markt gebracht zijn door de merkhouder; grijze import uit China mag hier niet worden doorverkocht.)

Wat dan weer niet mag, is het merk gebruiken om de indruk te wekken dat je een band hebt met de merkhouder. Dat is waar het vaak misgaat met webshops van handige jongens die merkproductjes verkopen, wat ik de “Welkom bij merknaam”-sites noem. Het gaat daar mis omdat men geen eigen naam noemt maar alleen “Welkom bij Aupingkopen punt nl, uw goedkope plek voor Aupingbedden – auping goedkoop aanbieding outlet dealer kopen bestellen” of iets dergelijks. Door stilzwijgen kun je verwarring wekken.

Smeenk doet het goed: een eigen bedrijfsnaam, het eigen logo groot linksboven op de site en ook dus nog een disclaimer. Hier is geen sprake van stilzwijgen dus.

Is die disclaimer nodig? In principe heeft een disclaimer geen zin. In 2013 verloor Talensshop een rechtszaak over merkinbreuk, omdat de totaalindruk van de site ten onrechte een affiliatie met verfproducent Talens suggereerde. De rechtbank vond dat een disclaimer daar niet tegenop kon. Hetzelfde bleek in een andere zaak over de term “Porschespecialist”.

Echter, bij twijfelgevallen kán het de doorslag geven. Als hij prominent naast de eigen bedrijfsnaam staat, dan versterkt dat het beeld dat de eigen naam en logo scheppen: dit is zomaar een bedrijf, geen outlet van de merkhouder. Maar ik zou altijd zeggen, bouw je site zónder disclaimer en toets dán of mensen gaan denken dat het een outlet is.

Arnoud

Ik mag geen kopie van mijn eigen camerabeelden?!

Geplaatst op 12 januari 20168 januari 2016 in Security, 14 reacties

Een lezer vroeg me:

In mijn kantoor heb ik beveiligingscamera’s opgehangen. De beelden daarvan gaan naar een bewakingsbedrijf, en ik krijg alerts als er een probleem geconstateerd wordt. Alleen weigeren ze me nu beelden te geven tenzij ik eerst aangifte doe en een kopie daarvan verschaf. Anders is het een “schending van de privacy”? Ik wil alleen gewoon zien wat ze zoal filmen, het is toch mijn kantoor, mijn privacy en mijn camera? Hoe zit dit?

Wanneer met een camera beelden worden vastgelegd waarop mensen te zien zijn, gelden die beelden als persoonsgegevens. Er zijn immers gegevens over mensen uit die beelden te halen. Derhalve moet de partij die die beelden vastlegt en gebruikt, zich aan de Wet bescherming persoonsgegevens conformeren. Die is de ‘verantwoordelijke’ onder de wet.

De Wbp brengt onder meer met zich mee dat camerabeelden niet zomaar mogen worden verstrekt aan derden. Wie op beeld staat, heeft recht van inzage, maar anderen niet.

Het komt daarmee neer op de vraag wie er eigenlijk de ‘verantwoordelijke’ is, de partij die onder de Wbp opdraait voor wat er misgaat met de beelden. Dat lijkt hier het bewakingsbedrijf te zijn. Zij halen de beelden binnen, zij kijken of er gekke dingen op staan en zij handelen dat af. In die situatie klopt het dat de eigenaar van de muur met camera geen rechten heeft.

Het kan ook anders. De eigenaar van die muur kan immers zelf camera’s ophangen en zelf de beelden uitkijken. Hij is dan de verantwoordelijke. Hij mag ervoor kiezen de werkzaamheden uit te besteden aan een zogeheten bewerker, iemand die in zijn opdracht werkt. Via een bewerkersovereenkomst worden rechten en plichten afgesproken. Maar de eigenaar van de muur blijft de verantwoordelijke. Hij zou daarmee dan zelf een bevoegdheid hebben (als er een grond is) om die beelden te bekijken voor zijn eigen doeleinden.

Nadeel van verantwoordelijk zijn is dat je, eh, verantwoordelijk bent voor het gebruik van die beelden. Geef je ze ten onrechte aan een derde, dan is dat een datalek en daarmee een boetewaardige overtreding van de Wbp. Ook als je informatieplichten (“Let op cameratoezicht”) niet nakomt of de beelden te lang bewaart, kun je in de problemen komen met de toezichthouder.

Je kunt je dus afvragen of je dat wel moet willen, te allen tijde bij de beelden kunnen. Je bent dan ook aansprakelijk voor alles dat er misgaat met de beelden.

Arnoud

Mag de werkgever je privételefoon gebruiken voor tweefactorauthenticatie?

Geplaatst op 11 januari 20166 januari 2016 in Ondernemingsvrijheid, Security, 56 reacties

Een lezer vroeg me:

Vanwege de Wet datalekken is bij ons bedrijf de security aangescherpt. We moeten nu altijd met tweefactorauthenticatie inloggen: na aanmelden met wachtwoord krijg je een SMS met een code die je dan ook moet invoeren. Maar mensen die geen bedrijfstelefoon hebben, moeten nu hun privé-06-nummer opgeven. Mag ik dat weigeren? Ik wil niet dat die telefoon voor zakelijke dingen wordt gebruikt.

Hoofdregel is dat de werkgever de “gereedschappen” waarmee het werk wordt uitgevoerd (art. 7:658 BW) beschikbaar moet stellen. Hij bepaalt immers hoe het werk wordt uitgevoerd, dus hij moet ook de spullen leveren. De werkgever maakt ook de keuze: wel of geen laptop, wel of niet flexwerken, et cetera. Of in dit geval: we gaan met tweefactorauthenticatie werken, dus je typt gewoon die sms codes in vanaf nu.

Het is mogelijk af te spreken dat werknemers zelf voor bepaalde hulpmiddelen zorgen. Denk aan bedrijfskleding die mensen liever zelf kopen omdat ze dan zelf voor iets passends kunnen shoppen. Een bring-your-own-device constructie kan dus hierop worden gebaseerd.

Een dergelijke afspraak kan echter alleen als dit in het arbeidscontract is opgenomen (of een CAO) dan wel als het een zeer gebruikelijke afspraak in de branche is. Dat je van een chefkok verwacht dat hij zijn eigen messen meeneemt, lijkt me bijvoorbeeld heel normaal. Maar van een ‘gewone’ medewerker dat hij een privételefoon meeneemt voor werk, vind ik daarmee niet vergelijkbaar.

Daar staat tegenover dat je anno 2016 mag verwachten dat een werknemer een mobiele telefoon bij zich heeft waar hij sms-berichten op kan ontvangen. Vanuit dat perspectief is het een uiterst kleine moeite voor de werknemer om de daarop ontvangen code over te typen. In alle redelijkheid kun je dan moeilijk zeggen “koop maar voor iedere werknemer een telefoon met abonnement van X euro per maand” lijkt me. Dus specifiek voor die situatie denk ik dat je het wel kunt verlangen.

Uiteraard moet de werkgever iets anders verzinnen als de werknemer geen telefoon heeft of om zwaarwegende redenen weigert zijn 06-nummer te geven. En het 06-nummer mag natuurlijk niet meteen ook voor de bedrijfs-whatsapp of gewoon werkoverleg worden ingezet.

Arnoud

Mag je een versleutelde film verspreiden?

Geplaatst op 8 januari 20165 januari 2016 in Intellectuele rechten, Iusmentis, 33 reacties

pgp-bericht-encryptie-versleuteling Een lezer vroeg me:

Stel ik versleutel een film en publiceer het resultaat. Is dat al inbreuk op het auteursrecht? Niemand kan erbij immers. Maar wat nu als de sleutel makkelijk te raden is (één teken bijvoorbeeld) of het algoritme zwak is. Wanneer loop ik auteursrechtelijk tegen de lamp?

Dat is een juridisch nog heel ingewikkelde vraag. De juridische vraag is of jij de film publiceert of verspreidt. Dat betekent hier dus of crypt($FILE) publiceren hetzelfde is als $FILE publiceren. Dat zal afhangen van hoe makkelijk de sleutel te vinden is en in hoeverre de sleutelverspreiding jou aangerekend kan worden.

Zuiver toeval of latere acties van derden maken jouw handelen geen inbreuk. Stel jij publiceert een blob random data, en ik bereken een andere blob die via xor met de jouwe precies een Disneyfilm oplevert. Dat is jou niet te verwijten. (Mij wel.)

De key later publiceren of dat afstemmen met een ander lijkt me wél een publicatie. Dan weet je immers dat mensen de decryptie ongedaan gaan maken, en daarmee de film in handen krijgen. Dat zou voor mij hetzelfde zijn als de film in een zipfile verspreiden, daarvan weet ook iedereen hoe dat ongedaan te maken.

Verder kun je je afvragen waarom jij een encrypted film zou publiceren als je niet wil dat mensen die decrypten. Gebruik je Bittorrent als backup? In dat geval zou het denk ik legaal moeten zijn, niemand kan dan immers bij jouw backup en dat wil jij ook helemaal niet. Natuurlijk moet “dit was mijn backup” wel de giecheltoets overleven.

Dus, kortom, het hangt er vanaf hoe geloofwaardig je uitleg is en hoe makkelijk het te kraken is.

Arnoud

Moet een president zijn socialemediaaccounts inleveren na zijn ambtstermijn?

Geplaatst op 7 januari 20163 januari 2016 in Informatiemaatschappij, 12 reacties

De Argentijnse president wil haar presidentiële socialemediaaccounts niet inleveren nu ze geen president meer is, las ik bij Vice. De accounts, allemaal iets met @CasaRosadaAR (“roze huis”, de ambtswoning van de president), zijn nu omgezet in een soort van tribute-pagina. De nieuwe president moet nu zijn eigen Twittervolgers en Facebookvrienden gaan werven. Kan dat zomaar?

De status van accounts bij diensten als Facebook en Twitter is juridisch een ingewikkelde. Of nou ja, eigenlijk heel simpel: die dingen hébben geen status want ze zijn niets. Het is gestolde dienstverlening, vergelijkbaar met een bioscoopkaartje of het bonnetje van de stomerij. Als de jas niet van jou is, dan kun je aan het bezit van het bonnetje ook geen rechten ontlenen. Net zo min als je aan het weten van een accountwachtwoord kunt afleiden of je ‘eigenaar’ bent van het account.

Uiteindelijk komt het volgens mij heel basaal neer op een stukje contractenrecht: met wie deed Twitter of Facebook zaken? Was dat de rechtspersoon de Argentijnse Republiek, of de persoon mevrouw Cristina Fernandez de Kirchner privé? Dat eerste geval hebben we volgens mij bij ons: het ministerpresidentsaccount op Twitter bijvoorbeeld is een zuiver functioneel account, beheerd door het Rijk en ingevuld door de Rijkswerknemer de heer Rutte.

Het account @CasaRosadaAR is aangemaakt door mevrouw zelf, maar nadat ze aan de macht kwam. Dat zou je kunnen zien als een slimme stap van een politica, en dus een persoonlijke handeling waardoor het account echt van haar is. Je kunt het ook zien als initiatief tonen door een werknemer, maar daarmee wel als een actie namens de werkgever – de Argentijnse staat dus.

De accountnaam is niet de officiële naam van het ambt of van het land. Dat pleit er enigszins voor om het als privéaccount te zien, maar niet heel sterk: in politieke reportages bij ons hoor je ook wel “uit het Torentje werd gemeld” of uit Amerika “het Witte Huis verklaarde vanochtend”. Dergelijke termen zijn dus te associëren met het werk, en als die associatie er is dan zou ik het geen sterk argument vinden dat het een privé-account is.

Op het account wordt verslag gedaan van werkgerelateerde zaken. Dat suggereert dat mevrouw het toch op zijn minst zag als iets dat met het werk verband houdt, zeker als je dat in combinatie met de accountnaam ziet. Maar zou “PietvandeINGbank” die babbelt over werk dan ook een zakelijk account zijn? Dat gaat me wat ver. Er werden bij @CasaRosadaAR geen zaken gedaan via Twitter, geen webcare of toezeggingen namens de Staat. Maar toegegeven, dat zou ook wel érg onverwacht zijn.

Twitter had het account erkend als officieel. Een verified account krijg je als je een bekend persoon bent die volgens Twitter beroemd genoeg is om deze dienst te krijgen. Na deze controverse heeft Twitter het vinkje weggehaald. Dus Twitter vond kennelijk dat het account beroemd was toen mevrouw president was, maar nu niet meer. Dat wijst erop dat Twitter het linkte aan het werk.

Uiteindelijk komt het neer op een totaalindruk. En die is voor mij: dit was een werkgerelateerd account en had moeten worden ingeleverd. Wat denken jullie?

Arnoud

Mag ik MS Office retourneren omdat Outlook er niet bij zit?

Geplaatst op 6 januari 20163 januari 2016 in Intellectuele rechten, Ondernemingsvrijheid, 29 reacties

microsoft-outlook-mail Een lezer vroeg me:

Ik heb een download gekocht van Microsoft Office in de “Home and student” editie. Na installatie ontdekte ik dat Outlook geen deel is van deze editie. Heel vervelend, want hier was ik juist op uit. De (zakelijke) verkoper zegt nu dat ik me beter had moeten inlezen en geen geld terug mag vragen. Hoe zit dat juridisch!

Wanneer je als consument niet tevreden bent over een aankoop, heb je twee routes om deze ongedaan te maken. De eerste is je beroepen op wat vroeger de Wet koop op afstand heet: binnen 14 dagen na ontvangst van het product mag je iedere online aankoop ongedaan maken. Bij de tweede annuleer je de koop wegens wanprestatie, dwaling of een dergelijke grond.

Een download van een stuk software is ook een aankoop in de zin van de consumentenwetgeving. Daar geldt dus ook gewoon die 14-dagenregel, hoewel die begint bij de dag waarop je deze kocht en niet de dag van download (art. 6:230o lid 1 sub c BW).

Bij levering van digitale inhoud die niet op een materiële drager is geleverd (juridisch voor: “downloads”) geldt een uitzondering op de regel dat alles retour mag. Downloads mag je niet retourneren als

de nakoming is begonnen met uitdrukkelijke voorafgaande toestemming van de consument en de consument heeft verklaard dat hij daarmee afstand doet van zijn recht van ontbinding.

Dit betekent dus dat er in het aankoopproces een aanvinkvakje of iets dergelijks moet zijn geweest dat zegt “Ik doe uitdrukkelijk afstand van mijn annuleringsrecht”. Als je dat hebt aangevinkt, dan mag je niet meer annuleren op grond van de wet.

De tweede mogelijkheid is dat je kort gezegd je erop beroept dat je niet hebt gekregen wat je mocht verwachten. Juridisch heet dat nonconformiteit (niet voldoen aan de redelijkerwijs gewekte verwachtingen) en je moet dan de verkoper de gelegenheid geven de fout te herstellen of het product te vervangen. Lukt dat niet, dan mag je de koop annuleren en moet je je geld terugkrijgen. Ook bij downloads.

Naast nonconformiteit is er ook de grond van dwaling (art. 6:228 BW). Hierbij zeg je, ik ben verkeerd voorgelicht of de winkel heeft me dit niet verteld terwijl dat wel had gemoeten. De grens tussen nonconformiteit en dwaling is erg dun, en in de praktijk komt de analyse eigenlijk altijd op dezelfde neer bij een consumentenkoop: wat is er gezegd over dit punt, wat moet je gewoon weten als consument, wat had er gezegd moeten zijn en hoe belangrijk is dat punt voor de aanschaf? Een triviale omissie zal geen reden zijn om de koop te annuleren, een valse mededeling over iets essentieels wel. En de rest is een grijs gebied.

Hier komt de vraag neer op: had je als consumentkoper moeten weten dat Outlook wel of niet bij die Home and student-editie zit. Dat bleek voor mij een moeilijkere dan gedacht, want het hangt af van de versie van Office die je koopt, als ik het goed zie. De helpteksten van Microsoft-zelf verschillen ook per versie en soms zelfs per taal. Ik zou daarom zeggen, dat moet gewoon op de productpagina staan.

(Maar wat nu als er wél staat wat er wel bij zit, maar niet wat er niet bij zit? Zien mensen Outlook als een accessoire, waar je vanuit mag gaan dat het meegeleverd wordt?)

Arnoud

Hoe laten we zien dat we oude software hebben gedeïnstalleerd?

Geplaatst op 5 januari 20163 januari 2016 in Intellectuele rechten, 24 reacties

software-disc-cd-dvd-drager Een lezer vroeg me:

We hebben (eindelijk) een legacy-softwarepakket kunnen vervangen door iets nieuws. Nu wil de leverancier daarvan de garantie dat we deze volledig hebben verwijderd, en daarvoor willen ze hun auditor langs laten komen. Zijn wij verplicht hieraan gehoor te geven? En mag deze dan ook backups en dergelijke bekijken?

Als je een softwarelicentie beëindigt, ben je verplicht de software te verwijderen van alle systemen waar deze op in gebruik was. Het is dan ook niet gek dat de leverancier bevestiging wil dat dit is gebeurd. Het is anders immers triviaal om de software te blijven gebruiken.

Moderne software heeft vaak een constructie met licentiesleutels of periodieke activatie. Dan is het buiten gebruik stellen van die software vrij eenvoudig; maak de sleutel ongeldig of deactiveer de code. Dan is het in principe gewoon onmogelijk de software nog te blijven gebruiken.

Deze software heeft een dergelijke feature nog niet, dus zal men iets anders moeten verzinnen. Een schriftelijke verklaring vanuit de klant “Wij hebben alles gewist, beloofd” is dan wel het minste dat je kunt doen. Veel wat oudere softwarelicentiecontracten bevatten ook een clausule die bepaalt dat een dergelijke verklaring gegeven moet worden, vaak met de Amerikaanse toevoeging “under penalty of perjury” wat bij ons niets doet maar het punt wel duidelijk maakt.

Als de leverancier dat niet kan of wil accepteren, dan is een audit de logische vervolgstap. Gebruikelijk is wel dat een onafhankelijk iemand die audit uitvoert, ook omdat er dan geen bijvangst (wat draaien jullie nu) bij de leverancier terecht komt.

Een audit is iets dat expliciet afgesproken moet zijn. Zonder afspraak is er eigenlijk geen grond om een audit uit te mogen voeren. De enige manier waarop dat eventueel wel zou kunnen, is via artikel 843a Rechtsvordering. Dit artikel kan een partij verplichten bepaalde documenten af te geven. Inzage in de administratie dus, en dat kan ook de administratie van de geïnstalleerde licenties betreffen. maar dat gaat niet zo ver dat je kunt afdwingen dat je langs mag komen om documentatie te máken.

Als er een audit is afgesproken, dan lijkt het me logisch dat deze ook de backup betreft. Als je immers zegt, alle kopieën zijn weg, eerlijk waar, op straffe van meineed, dan klopt er iets niet als er alsnog een backuptape blijkt te zijn met een kopie. En natuurlijk, in backups rommelen is moeilijk en zeer ongewenst, maar hoe voorkom je dan dat die backup ooit wordt teruggezet zodat de software toch weer in een productie-omgeving staat?

Arnoud

Internet der dingen gaat dood door DRM?

Geplaatst op 4 januari 20163 januari 2016 in Innovatie, 35 reacties

robot-wet Het internet der dingen kan ten onder gaan aan DRM, schreef Bruce Schneier onlangs. Steeds meer apparaten worden slim en hangen aan internet, maar iedere fabrikant lijkt de neiging te voelen een stukje controle in te bouwen en dat via DRM-wetgeving of gewoon botweg veranderingen aan de firmware af te dwingen. En dat gaat in tegen de kerngedachte van internet: alles praat met elkaar, bedient elkaar en wisselt informatie uit. DRM als dood voor dingen?

Het meest recente geval betrof de Zigbee-lampen van Philips. Via het Zigbeeprotocol kunnen lampen op afstand worden bediend in een netwerk. Een recente firmwareupdate van Philips zorgde er echter voor dat dit niet meer werkte met lampen van andere fabrikanten, ook al waren die lampen compliant met het protocol. Met de marketingmeelbal over iets met gebruikskwaliteit werd dit teruggedraaid, maar de boosheid bij gebruikers zal nog wel even blijven hangen.

Dit was dus een ingebouwde wijziging (firmware update), hij doet het gewoon niet meer. Andere fabrikanten gebruiken DRM: beveiligingsroutines die bepaald gebruik afdwingen of juist blokkeren. Schneier noemt het voorbeeld van de Keurig koffiecups. Het koffiezetapparaat van het bedrijf herkent cups als al dan niet authentiek van henzelf, en weigert dienst als die herkenning mislukt. Hetzelfde is bij diverse printers bekend met inktcartridges van andere fabrikanten. Alsof je Senseo geen koffie van Perla-pads meer wil zetten omdat “een perfecte gebruikservaring niet kan worden gegarandeerd”.

Dergelijke routines zijn te omzeilen. Die cups hebben een chipje aan boord met daarin een of ander controlegetal. Achterhaal dat getal (of hoe je dat maakt) en stop in je eigen cups een vergelijkbaar chipje met hetzelfde getal, en hoepla alsnog perfecte gebruikservaring. Alleen: dat mag niet, want DRM.

Digital Rights Management (DRM) is eind jaren negentig als concept opgekomen om muziek en films te beschermen tegen ongeautoriseerd kopiëren. In de basis komt het erop neer dat software bepaalde acties met die muziek of films blokkeert, en omdat het wettelijk verboden is die software uit te schakelen of te omzeilen, is het probleem van ongeautoriseerd kopiëren dan opgelost. Ahem, ja ik weet het.

Ergens begin jaren nul hebben wat slimme advocaten bedacht dat DRM-wetgeving niet alleen over muziek en films gaat. Er staat in de wet “ongeautoriseerde toegang tot een beschermd werk” en daaronder kun je ook de firmware van een apparaat rekenen. Je bent dus illegaal bezig als je een printercartridge maakt die in andermans printer werkt, want jouw chipje met nummer is een ongeautoriseerd toegangsmiddel. Er wordt nu immers toegang verkregen tot de routines uit de firmware die het printen mogelijk maken, terwijl die routines alleen benaderd mochten worden door cartridges van de fabrikant zelf. Ja, die is heel gezocht. Specifiek voor printers té gezocht, want in 2004 verklaard een Amerikaans beroepshof deze interpretatie van printerfabrikant Lexmark als in strijd met de wet.

Lexmark was lang niet de enige die het probeerde. Anderen riepen (en roepen) hetzelfde, met wisselend succes bij de rechter. En dan krijg je te maken met een beetje vervelende bug uit het Amerikaanse recht: ook al denk je dat je gelijk hebt, het duurt zó lang en het is zó duur om je recht te halen dat het meestal niet de moeite waard is. Nog afgezien van de kans dat je verliest. Dus als tractorfabrikant John Deerde dan roept dat je je tractor slechts in licentie hebt en je de DRM schendt door het ding te tunen, wat kun je dan?

Dit gaat dus niet werken. Als je werkelijk een Internet der Dingen wil, dan moeten Dingen met elkaar Inter-operabel zijn. Dat vereist protocollen die gezamenlijk afgesproken zijn en door iedereen te implementeren. Geen eenzijdige controle vanuit één fabrikant, en geen technisch/juridische Frankenstein-constructies die dat tegen kunnen houden (of die indruk kunnen wekken). Maar omdat het voor veel fabrikanten eenvoudig en logisch lijkt om iets dicht te timmeren, zie ik dat er niet snel van komen. Hoe veranderen we dat?

Arnoud