Mijn werkgever houdt mij aansprakelijk voor een onbevoegd getekend contract!

Geplaatst op in Ondernemingsvrijheid, 13 reacties

no-nee-disclaimer.pngEen lezer vroeg me:

Onlangs hadden we een aanpassing aan onze website nodig. Ik heb toen met spoed een kennis gevonden die het wilde doen, en zelf de opdracht gegeven omdat ik dacht dat het wel goed zat. Echter, het resultaat valt nu zwaar tegen en mijn baas zegt nu dat hij mij aansprakelijk gaat houden omdat hij de offerte nooit heeft geaccordeerd. Kan dat zomaar?

Allereerst wat het akkoord betreft. Op zich is het inderdaad de hoofdregel dat alleen een bevoegd persoon een bedrijf kan binden. Een willekeurige werknemer kan dus niet zomaar allerlei contracten tekenen of akkoord per mail doorgeven.

Echter, afhankelijk van de situatie kan dat anders uitpakken. Als de wederpartij er gerechtvaardigd op mocht vertrouwen dat deze werknemer bevoegd is, dan is het niet mogelijk achteraf te zeggen “hij was niet bevoegd” en daarmee van het contract af te komen. In dit geval zou je zeggen dat daar wel sprake van is, want het gaat om een klein bedrijf en een duidelijke vraag voor iets dat het bedrijf aangaat. Bovendien mocht de opdrachtnemer al aan het werk, dus dan zou je zeggen dat het bedrijf het wel goed vindt.

Belangrijker is hier echter het punt van de aansprakelijkheidsstelling van de werknemer nu het werk tegenvalt. Dat gaat hem echt niet worden. Een werknemer is niet persoonlijk aansprakelijk voor schade die de werkgever lijdt door uitvoering van het werk, behalve in de zeer uitzonderlijke situatie van opzet en grove nalatigheid. En dat doet zich eigenlijk alleen voor als je bewust van plan was je werkgever schade te berokkenen of zó dom handelde dat het niet meer normaal is.

Het gaat hier om een inschattingsfout: je dacht dat die kennis het kon, echter hij zat te prutsen. Dan is het gewoon een fout voor rekening van de werkgever.

Het komt echter wel vaker voor dat werkgevers zoiets zeggen, en dat kan behoorlijk intimiderend zijn voor een werknemer. Want stappen nemen tegen je werkgever om zoiets te pareren is iets dat je wel moet durven. Maar wat moet je hier anders, met zo’n baas?

Arnoud

Wat nou als je URL de inhoud *is*?

Geplaatst op in Ondernemingsvrijheid, 41 reacties

hash-signEen lezer wees me op dit Slashdotbericht over “unhosted data”: je kunt in een URL achter het #-teken alle data opnemen die je wilt, dus ook bijvoorbeeld een foto of tekstbestand in gecodeerde vorm. Vervolgens kun je die URL verspreiden zoals dat met alle URL’s kan, waardoor je de content verspreidt zonder dat je die ergens hoeft te hosten. Leuk idee, maar kom je er bij de rechter mee weg?

Ik noem rechters wel eens Do-What-I-Mean compilers van het recht, en dat is vanwege dit soort grappen. Het idee op zich is natuurlijk nieuw, maar uiteindelijk gaat het er bij het recht nooit echt om hoe iets nu precies technisch werkt. Wat je doet, speelt wel mee, maar het effect van wat je wilt bereiken weegt minstens zo zwaar.

Als je in feite niets anders van plan bent dan de wet omzeilen, dan heb je toch echt een probleem. Rechters hebben misschien weinig verstand van URL’s, maar ze hebben al meer dan 500 jaar ervaring met bijdehante figuren die met “ja nee maar eigenlijk doe ik alleen maar” aankomen en dan de meest fantastische verhalen ophangen terwijl duidelijk is wat er eigenlijk gebeurt. Daar wordt dus al snel doorheen geprikt.

In dit geval zegt de bedenker, ja nee maar eigenlijk stuur je dan mensen alleen een URL. Dat is niet waar: je stuurt mensen een stuk content, al dan niet in strijd met andermans rechten (of een andere wet). Juridisch gaat “het is maar een URL” hem dus niet worden – you can’t hack the law.

Het doet me denken aan oudere grappen waarbij bijvoorbeeld een film werd gecodeerd tot een heel groot priemgetal. Wie daar bezwaar tegen had, wilde in feite priemgetallen verbieden. Nee: je bent een film aan het verspreiden. Dat jij voor een manier kiest waarbij de codering een priemgetal oplevert, is dan niet meer relevant.

Natuurlijk, het is een leuke truc en het zal een stuk lastiger zijn om dit soort informatieverspreiding aan te pakken dan ‘gewoon’ een site waar dingen gepubliceerd staan. Maar dat iets lastiger aan te pakken is, betekent nog niet dat het juridisch ineens vernieuwend is.

Arnoud

Fair use moet je meewegen bij een notice/takedownverzoek

Geplaatst op in Intellectuele rechten, 8 reacties

Een Youtube-gebruiker die een video van haar dansende baby online zette en werd aangeklaagd door het platenlabel van zanger Prince heeft een slag gewonnen in haar auteursrechtenzaak, las ik bij Nu.nl. In 2007 uploadde zij een video van 29 seconden van haar peuter die danste op het liedje Let’s go crazy van Prince. Youtube haalde de video echter weg toen men een DMCA takedownclaim kreeg van Universal Music Group, omdat deze ongeautoriseerde publicatie inbreuk op auteursrechten zou zijn. De rechtbank in hoger beroep oordeelt nu dat dit onterecht was: Universal had rekening moeten houden met ‘fair use’ voordat zij de claim deed.

Het gebeurt zeer, zeer regelmatig dat rechthebbenden verzoeken doen om materiaal weg te laten halen dat hun werk bevat, terwijl er toch op zijn minst een begin van een argument is dat dit gebruik een citaat, parodie of Amerikaansrechtelijk ‘fair use’ oplevert. Denk aan een remix van een muziekwerk, een flits uit een film in een commentaar of zoals hier een achtergronddeuntje bij een toevallige opname.

Jarenlang is het argument geweest dat zo’n fair use-verweer niet relevant is. De wet zegt immers alleen, als je als rechthebbende een schending ziet, kun je dat werk laten weghalen. Is men het daar niet mee eens, dan kan men een tegenclaim indienen waarin eventuele fair use-bezwaren worden onderbouwd. Dat had wisselend succes, zeker als een rechthebbende gewoon bleef zeggen “volgens ons is het inbreuk”. Veel mensen lieten het er dan bij zitten, want een rechtszaak over zo’n situatie is het geld niet waard.

Deze uitspraak maakt de zaak wat lastiger voor rechthebbenden. Het Hof zegt namelijk dat men bij het opstellen van de claim al direct moet nadenken over fair use, en dat het verboden is om claims in te dienen wanneer dat niet is gebeurd. Dat is niet hetzelfde als “je mag geen claim indienen als fair use in theorie mogelijk is” of “je mag geen claim indienen totdat je fair use volledig weerlegd hebt”. De eis uit de wet is dat men “in good faith” oftewel te goeder trouw mocht denken dat de video de rechten van Universal schond. En dat betekent:

Universal faces liability if it knowingly misrepresented in the takedown notification that it had formed a good faith belief the video was not authorized by the law, i.e., did not constitute fair use.

In dit geval was duidelijk dat Universal in het geheel niet had nagedacht over fair use; in hun visie was dat immers iets dat pas bij de tegenclaim of bij de rechter überhaupt een issue kon zijn. Dat is dus fout, aldus het Hof, je moet als rechthebbende wel íets van een evaluatie doen voordat je een claim indient. Dus laat maar zien, Universal, waaruit blijkt welke evaluatie je hebt gedaan.

Intrigerend is nog dat het Hof vervolgens opmerkt dat het best mogelijk moet zijn zo’n evaluatie te automatiseren. Als je automatisch werken kunt herkennen (en erover klagen) dan kun je vast ook iets inbouwen waardoor je automatisch kunt zeggen “dat zou fair use kunnen zijn, skip”. Code as law, dus.

Ik ben alleen heel benieuwd hoe dat eruit moet gaan zien. Het punt van fair use is namelijk dat het geen simpel trucje is. Er zijn vier factoren:

  1. Het doel en karakter van het gebruik, inclusief de vraag of het gebruik commercieel is of educatief en non-profit;
  2. De aard van het beschermde werk;
  3. De omvang en de scope van het overgenomen deel in verhouding tot het beschermde werk als geheel; en
  4. Het effect van het gebruik op de potentiële markt voor of waarde van het beschermde werk.

Je kunt dus niet zeggen “minder dan 30 seconden dus fair/meer dan 30 dus unfair”. Alle vier de factoren moeten worden langsgelopen. Lengte en commerciële intenties wegen mee maar bijvoorbeeld óók hoe transformerend jouw gebruik van het werk is. Letterlijk het hele werk herpubliceren voor geldelijk gewin is zelden fair use, een nauwelijks herkenbaar fragmentje in een privéfilmpje vrijwel altijd.

Maar misschien zijn er toch shortcuts te verzinnen. Het gaat immers niet om een algoritme dat fair use bewijst of weerlegt, maar om een algoritme waarmee je te goeder trouw kunt zeggen “fair use is onwaarschijnlijk, takedown die hap”. Het Hof suggereert dat dat bijvoorbeeld kan door te kijken welk deel van het werk is gebruikt: hoe kleiner het deel, hoe groter de kans op fair use. Ook kun je kijken naar de website, staan er advertenties op of wordt er toegang tot het werk verkocht? (Ik ben benieuwd welke jullie nog zouden weten.)

In ieder geval is het niet meer mogelijk om gewoon botweg te zeggen “ons algoritme detecteert een fragment dat van ons is, takedown die hap”. En dat is alvast een heel stuk winst.

Arnoud

Niet kunnen betalen wegens iDeal-storing is het probleem van de winkelier

Geplaatst op in Ondernemingsvrijheid, 13 reacties

storingStel je koopt online een ticket voor een festival dat morgen begint, en iDeal heeft een storing. Wat moet je dan als consument? Nou, niet naar de andere kant van Nederland reizen om contant te betalen. Dat maak ik op uit een recent vonnis van de rechtbank Utrecht. En de ticketverkoper kan ook niet eisen dat je alsnog komt betalen.

Een man wilde graag naar het Lief Festival, dat de volgende dag, 1 september 2012, vanaf 12.00 uur plaats zou vinden. Om 19.11 had hij de bestelling er door, er moest alleen nog worden betaald en hij had iDeal gekozen want dan reken je direct af. Helaas lukte het tot vier keer toe niet om de transactie met succes af te ronden (“Een iDEAL-transactie is nog in behandeling, wacht op de automatische statusupdate”). Vervolgens een mail naar de helpdesk, maar geen directe reactie.

(Waarom niet een uurtje wachten, dan annuleren en opnieuw betalen? Nou, omdat volgens de voorwaarden er dan 75% annuleringskosten verschuldigd zouden zijn.)

Enige tijd later kreeg de man een sommatie: de prijs van die tickets was nog niet betaald, en het doet er niet toe dat het festival al geweest was. Volgens de voorwaarden moet er gewoon betaald worden als er niet volgens de voorwaarden is geannuleerd. Bovendien was bij het bedrijf niet bekend dat er een iDealstoring was, dus de betalingsmoeilijkheid was het probleem van de consument.

Ja, je voelt op je klompen aan dat dit een tikje schuurt, maar onderbouw het maar eens juridisch.

De rechter begint met vaststellen dat het op zich terecht is de tickets pas te leveren als er betaald is. Echter, dan moet je als bedrijf wel je betaalmethodes op orde hebben. Zeker als je zelf in de communicatie verwijst naar betalen met iDeal (“Zodra het volledige bedrag d.m.v. IDEAL”). Dan is het jouw probleem als dat betaalmiddel niet werkt.

Ook het geopperde idee “u had moeten bellen of langs moeten komen om te betalen” (vrijdagavond om 19:23 dus even naar Zaandam rijden) wordt snel afgeserveerd:

De stelling van T4U dat [gedaagde] telefonisch contact met haar had kunnen en moeten opnemen en/of had kunnen en moeten verschijnen aan haar kantooradres, maakt het voorgaande ook niet anders, al was het maar omdat [gedaagde] heeft aangevoerd dat hij wel geprobeerd heeft contact op te nemen, maar dat hij T4U niet kon bereiken en T4U daarop wel in het algemeen heeft gesteld dat zij altijd telefonisch bereikbaar is, maar niet heeft onderbouwd dat dit in dit specifieke geval ook zo was.

“Maakt dat niet anders” is rechtersjargon voor “dat hoef ik niet uit te leggen”. Alles bij elkaar zijn we dus snel klaar hiermee: als jij zegt dat mensen via IDeal moeten betalen, en dat lukt niet, dan heb je pech en kun je niet de ticketprijs alsnog opeisen.

Het vonnis eindigt met een typische kronkel die voor veel frustratie bij zzp’ers zorgt: de voor deze zaak gemaakte uren zijn geen schade, zodat meneer geen geld krijgt ondanks dat hij wint. Hij had weliswaar €100 per uur kunnen verdienen door die tijd voor klanten in te zetten, echter:

Zonder nadere toelichting, die ontbreekt, valt immers niet in te zien dat [gedaagde] de gestelde gemiste uren niet op een ander moment alsnog ten behoeve van zijn onderneming heeft benut, althans heeft kunnen benutten.

Meneer wint dus maar krijgt nul euro. En hij kon ook niet naar het Lief festival.

Arnoud

Hoe ver reiken de tengels van de Wet bescherming persoonsgegevens?

Geplaatst op in Privacy, 20 reacties

wbp-west-bengal-policeMijn blog van vorige week over de RET-tweet maakte nogal wat los – op het stukje “je mag sollicitanten niet zomaar googelen want dat valt onder de Wet bescherming persoonsgegevens”. In de comments bleek het nog erger: je mag geen Twitterberichten lezen zonder het apart te vragen, “hoi Wim” op een blog is een overtreding en zonder dringende noodzaak mag je personen niet googelen.

De Wbp is gemaakt als een algemene wet, die in principe alle vormen van gebruik van persoonsgegevens wil reguleren zodat personen de controle over hun gegevens kunnen uitoefenen. Een beetje zoals de Auteurswet rechthebbenden macht wil geven door iedere kopie en iedere publicatie onder de wet te reguleren. Vanuit dat perspectief is het dus niet gek dat de Wbp altijd geldt, dat is een feature.

Vaak wordt gedacht dat de Wbp alleen geldt bij grootschalige opslag of gebruik in bestanden of databases. Dat klopt half: als je op papier persoonsgegevens verwerkt, dan geldt de wet pas als je dat in een bestand doet. Verwerk je echter elektronisch, dan is het hebben van een database volstrekt irrelevant. Een grote dikke Big Data database is dus gedekt door de wet, maar ook de zinsnede “hoi Wim” in deze blog omdat dit over een persoon gaat. Zet ik die zin op een briefje, dan valt dat briefje buiten de Wbp.

De enige echte uitzondering die ik kan bedenken voor de internetsituatie, is die voor strikt persoonlijk gebruik. Je adresboek of privécloudbestand met gegevens van anderen valt dus buiten de Wbp. Een strikt afgesloten webdienst met persoonsgegevens die wederom alleen toegankelijk is voor familie en huisgenoten denk ik ook nog wel. Maar vereist hierbij is wel dat het écht een privésituatie betreft. Activiteiten op internet lijken niet snel een privésituatie te betreffen. Zie de Hof van Justitie-uitspraak over het verzamelen van camerabeelden en veel eerder het Lindqvist-arrest waarin “De vrijwilligersbijeenkomst gaat niet door want mevrouw Lindqvist heeft haar enkel verstuikt” op de homepage van een kerk een verwerking van persoonsgegevens werd geacht.

Er is ook een uitzondering voor journalistieke verwerkingen, maar die komt er eigenlijk op neer dat mensen geen inzage en correctie kunnen eisen in hun persoonsgegevens. Dit is dus waarom je eigenlijk geen verwijdering uit krantenarchieven zou moeten kunnen eisen. Bij Google wel – Google is geen journalist. Zie ook de discussie over Kleintje Muurkrant dat op grond van de Wbp werd aangepakt (maar het op inhoud won).

Maar allerlei verwerkingen zijn toch vrijgesteld? Ja, alleen betekent dat niet meer dan dat je niet tegen het Cbp hoeft te zeggen dat je die verwerkingen uitvoert. Je moet nog steeds een grondslag hebben.

Ai. De Wbp geldt dus altijd op internet. Mag je dan niet eens meer mensen begroeten op je blog zonder toestemming?

Nou, niet helemaal. De Wbp zegt dat er zes gronden zijn, waarvan de belangrijkste zijn:

  1. Toestemming
  2. Uitvoering van een overeenkomst
  3. Een eigen dringende noodzaak

Toestemming is de hoofdregel, maar als je één van de andere gronden kunt onderbouwen dan is dat ook goed. Een webwinkel hoeft écht geen toestemming te vragen om je naam en adres naar een leverancier te mailen zodat jij het bestelde pakketje geleverd krijgt. Dat is gewoon nodig om de koopovereenkomst na te komen. Ik zie daar wel de nodige analogieën voor op internet: wie zijn naam in het reactieformulier hieronder invult, krijgt zijn naam op internet gepubliceerd. Dat is gewoon nodig om je reactie te publiceren. En ja, ‘gewoon’ is voor discussie vatbaar – zie ook Privacy en een goede uitvoering van de overeenkomst.

Als restcategorie is er dan nog de eigen dringende noodzaak. Als toestemming eigenlijk niet haalbaar is en jij een legitiem belang hebt dat zwaarder weegt dan de privacy van de persoon wiens gegevens je gebruikt, dan mag het – mits je maar alles doet om die privacy zo veel mogelijk te waarborgen. Om die reden mag ik IP-adressen loggen om hackpogingen te detecteren. Ik hoef geen toestemming te vragen, maar ik mag die gegevens niet zomaar publiceren of gebruiken voor andere doelen. Google Analytics valt ook onder dit legitiem belang, mits je een paar maatregelen neemt vanuit die privacywaarborg.

Valt “hoi Wim” daar nu ook onder? Is het nódig dat ik dat zeg? Ik meen van wel: vrijheid van meningsuiting is een grondrecht en dús een legitiem belang. Ik mag zeggen wat ik wil, en ik hoef daar geen belang voor aan te dragen. Maar ja, dan krijg je een botsing met de privacywet die zegt dat je niet zomaar iemands gegevens mag verwerken. En dát is waar de pijn in de Wbp zit. Je moet dan kort gezegd aantonen dat jouw publicatie belangrijker is dan de privacy van de persoon over wie je schrijft. Toch een belangenafweging dus.

In de praktijk komt die belangenafweging denk ik gewoon neer op de vraag “Is het rechtmatig om dit te publiceren”. Dat bepaalde het Hof Den Bosch een paar jaar terug, en dat is wel een werkbaar compromis. Er is geen aparte route via de Wbp – als je het mag zeggen, vindt de Wbp het ook goed, en als je het niet mocht zeggen, dan wordt de Wbp ook boos.

Dus ja, de Wbp geldt altijd. Maar toestemming hoef je niet altijd te hebben.

Arnoud

Een iPad is een computer, fiscaal gezien dan

Geplaatst op in Ondernemingsvrijheid, 14 reacties

De Hoge Raad heeft beslist dat de iPad fiscaal gezien een computer is en geen ‘communicatiemiddel’, las ik bij Tweakers. Dat maakt uit, want computers aan werknemers geven is fiscaal belast minstens 90 procent zakelijk gebruikt worden. Althans, tot 2011 dan want daarna zijn die regels aangepast.

Deze zaak speelt al een tijdje. RTL had haar werknemers iPads verstrekt, en claimde dat dit onder de belastingvrijstelling voor communicatieapparatuur viel. Toen de wet werd gemaakt, was het onderscheid tussen computers en communicatieapparatuur vrij duidelijk. Met een telefoon kon je bellen, met een computer niet. Met een computer kon je rekenen en software draaien, met een telefoon niet. Prima dan dat je op dat moment twee fiscale regimes loslaat op de twee categorieën.

Het onderscheid werkt heel wat minder goed als op zeker moment die communicatieapparatuur qua prestaties vergelijkbaar wordt met de traditionele computer. En daar zat het probleem: een iPad is functioneel zeer goed te vergelijken met een desktop (hoewel onhandiger qua toetsenbord). Omgekeerd kun je met een desktopcomputer of laptop prima bellen (bijvoorbeeld Skype). Dus hoe definieer je dan de grens zodanig dat de iPad aan de ene kant valt en een laptop aan de andere kant?

Het Gerechtshof hield het in 2012 nog bij “Het beeldscherm en de invoermogelijkheden zijn bij deze apparaten te beperkt voor langdurig gebruik als computer”. De HR ziet het echter anders. De definitie uit de wet werkt namelijk als een stappenplan: je moet eerst kijken of iets een computer is en pas als dat het niet is, of het dan eventueel een communicatiemiddel of wat anders is.

Een iPad is een computer, want

De in cassatie niet bestreden omschrijving van de iPads in ’s Hofs uitspraak laat geen andere conclusie toe dan dat deze in gelijke of zelfs sterkere mate dan digitale agenda’s en GPS-apparatuur zijn bedoeld voor taken die ook door een computer kunnen worden verricht.

(De digitale agenda’s en GPS apparaten waren genoemd in de toelichting bij de wet als voorbeelden van “computers of daarmee vergelijkbare apparatuur”.)

Ik las nog dat Arno Lodder blogt (hoi) dat ook de smartphone dus een computer is. Immers, die omschrijving hierboven past ook prima op de smartphone. Met als gevolg dat smartphones (onder de oude regels) óók alleen fiscaal belast mogen worden verstrekt, tenzij de werknemer meer dan 90% van de tijd zakelijk telefoneert daarmee. En dát kan nog een naheffingstechnisch staartje krijgen.

Hoe zouden jullie het onderscheid tussen telefoon/communicatieapparaat enerzijds en computer anderzijds definiëren?

Arnoud

Wanneer is het strafbaar met een nepnaam internet op te gaan?

Geplaatst op in Ondernemingsvrijheid, Privacy, Regulering, 16 reacties

facebook-profielRoel Stellinga (18) ontdekte vorige maand bij toeval dat zijn foto’s van Facebook werden misbruikt door ene ‘Oscar’. Dat las ik in het AD. Via dit nepprofiel – en dus met zijn foto’s – werden jonge meisjes benaderd. De les van Roels vader: “Als je je account niet goed afschermt, kan het blijkbaar toch vrij gemakkelijk gebeuren dat er misbruik wordt gemaakt van je foto’s.” Met aanverwant de vraag, hoe strafbaar is dat, een nepprofiel?

Op zich is het volgens mij niet strafbaar om een valse naam te gebruiken op internet. Sterker nog, dat is een goed idee vanwege de privacyproblemen die je tegen kunt komen als je onder je eigen naam online gaat.

Bij een naam hoort een plaatje, en als je naam vals is dan ligt het voor de hand om ook niet je eigen foto te gebruiken. Dat gebeurt evenzo massaal, en ook daar lijkt me (afgezien van auteursrecht van de fotograaf) weinig mis mee. Tenminste, zolang het plaatje evident niet de indruk wekt jouzelf af te beelden.

Gebruik je andermans profielfoto, dan wek je de indruk dat jij die persoon bent. Dan zou de vraag voor mij worden, kan jouw publiek die persoon herkennen en dus denken dat jij het bent? Het maakt nogal uit of je zoals hier een foto van een stadsgenoot gebruikt of van een willekeurige Amerikaan als je in Nederland actief gaat chatten en profielen. In dat laatste geval zie ik juridisch gezien niet echt een probleem.

Als je iemand anders identiteit aanneemt, dan heet dat juridisch identiteitsfraude en dat is strafbaar. De wet (art. 231b Strafrecht) bepaalt:

Hij die opzettelijk en wederrechtelijk identificerende persoonsgegevens, niet zijnde biometrische persoonsgegevens, van een ander gebruikt met het oogmerk om zijn identiteit te verhelen of de identiteit van de ander te verhelen of misbruiken, waardoor uit dat gebruik enig nadeel kan ontstaan, wordt gestraft met een gevangenisstraf van ten hoogste vijf jaren of geldboete van de vijfde categorie.

(‘Verhelen’ betekent ‘verhullen, achterhouden’.) Hiermee is het dus eenvoudiger geworden dan vroeger: toen was identiteitsfraude op zich niet strafbaar maar moest er ook een ander strafbaar feit worden gepleegd, zoals oplichting of smaad.

Die ander moet “enig nadeel” lijden door de fraude. Enkel chatten met andermans foto lijkt me niet snel ‘nadeel’, tenzij je zoals hier de grens van het strafbare grooming van minderjarigen opgaat. Dat kan immers afstralen op de geportretteerde persoon. Ook het mensen geld aftroggelen omdat ze je herkennen als die ander en bv. een schuld willen aflossen of jou iets lenen, is een vorm van “nadeel” dat onder deze wet strafbaar is.

De praktijk is natuurlijk buitengewoon weerbarstig bij dit soort zaken. Ik verwacht dat je weinig meer voor elkaar zult krijgen dan Facebook het profiel laten opdoeken – NAW-gegevens opeisen bij het sociale netwerk is een theoretische optie, maar vooralsnog niet heel succesvol. Aangifte kan, maar ik heb nog geen succesvolle verhalen daarover gehoord.

Wat zouden jullie doen als je in Roels positie verkeerde?

Arnoud

De cookiewet is dus gemaakt om stiekeme Windows 10-preloads tegen te gaan

Geplaatst op in Intellectuele rechten, Privacy, 27 reacties

windows-10-update-downloadMicrosoft schendt de Europese cookiewet met het automatisch en stilletjes downloaden van Windows 10-installatiebestanden op Windows 7 en 8.1. Dat schreef PCM gisteren op gezag van ondergetekende. Wie Windows 7 of 8 heeft, kan nu zomaar extragratis en stiekem een installatiebestand van 5 gigabyte op zijn harddisk hebben om naar Windows 10 te upgraden (kijk gerust even, ik wacht wel). En nee, dat mag niet van de cookiewet.

De cookiewet heeft een slechte naam omdat je op elke website apart weer toestemming moet geven voor vage cookies en andere dingen, en als je dat niet bevalt dan ga je maar een krant lezen of zo. Maar het idee was leuk: iedereen moet zélf kunnen bepalen wat er wordt gedownload naar of uitgelezen van zijn computer of telefoon. Daarom moet iemand die dat wil doen, uitleggen wat hij van plan is en daarna toestemming vragen.

Het gaat bij die wet niet alleen om cookies of andere dingen die enge privacydingen doen. Data is data. Ook ongevraagde toolbars en dergelijke vallen er gewoon onder, en ook updates aan software die al op je computer staat. Stiekeme updates aan die software mogen dus niet.

Maar is het stiekem? Je moet immers zelf Windows Update aanzetten. Ja, dat klopt, máár als ik Windows Update aanzet dan bedoel ik daarmee updates voor mijn Windowsversie te krijgen. Dat er af en toe een nieuwe browser bij zit, is eigenlijk al de grens. Een heel nieuw OS dat alleen de naam deelt met wat ik heb, dat is er echt ver overheen. Dat is gewoon geen ‘update’ meer van wat ik heb.

Ongetwijfeld staat er in de gebruiksvoorwaarden van Microsoft dat ik toestemming geef voor alles dat Microsoft naar mijn computer wil downloaden. En zonder te lezen durf ik wel te zeggen dat de privacyverklaring mij volledig gerust zal stellen dat men het beste met me voor heeft, mijn privacy niet zal schenden en alleen maar enge cybercriminelen wil tegenhouden en botnets wil indammen door verouderde software tijdig te verversen. Bovendien is Windows 10 gratis, dus ik heb juridisch geen schade en dus geen poot om op te staan. (De Microsoft-PR-meelbal over verbeterde gebruikerservaring kwam al langs maar zal ik u besparen.)

Dat zal allemaal best maar daar trekt de cookiewet zich niets van aan. Informeren en toestemming vragen moet expliciet gebeuren. “Wilt u updates ja/nee” is géén expliciete vraag “mogen wij tzt ook Windows 10 naar u pushen”. Net zo min als “Deze site gebruikt cookies ok/ikgaweg” een expliciete vraag is om cookies te mogen plaatsen. Je moet in de vraag zelf al een hint geven, en pas daarna mag je verwijzen naar de cookie- of privacyverklaring voor nadere toelichting.

Bij PCM ziet Simon Hania het anders:

Hij denkt dat Microsoft nog wel binnen de wet blijft omdat het hier gaat om ‘een door de gebruiker gevraagde dienst’. De cookiewet vereist namelijk óf ondubbelzinnige toestemming óf noodzakelijkheid voor de gevraagde dienst. “Ik denk dat het aanvinken van ‘ik wil upgrades en updates’ kwalificeert als het eerste. Dat het een versie-upgrade is, maakt niet uit.”

Oftewel, u heeft gevraagd om updates, dan krijgt u updates. Net zoals wanneer ik ga winkelen bij een webshop, ik cookies krijg om mijn winkelwagentje mogelijk te maken of ik niet meer hoef in te loggen als ik aanvink “Onthoud mijn login via een cookie”. Het argument is op zich valide, alleen kom je alsnog bij hetzelfde punt uit: is Windows 10 een update van Windows 8?

Voor mij is dat evident een ‘nee’. Een update lost problemen op of verbetert de functionaliteit die ik heb. Een nieuwe release is géén update, niet per definitie en niet volgens de “kom nou”-toets (het broertje van de giecheltoets). Windows 10 is geen plusje op Windows 8.

Arnoud

Mag een accountant zijn klant uit de cloud gooien?

Geplaatst op in Informatiemaatschappij, 12 reacties

archief-opslag-bestanden-filesMag een accountant zijn klant afsluiten van de cloudadministratieomgeving die hij aanbiedt als de klant het contract opzegt? Uit een recente uitspraak (15/232) van de accountantskamer blijkt van niet: per direct afsluiten is in strijd met de gedragsregels voor accountants.

Het begon in deze zaak met een probleempje rond indiening van de jaarrekening. Wat er nu precies misgegaan is, kan ik niet uit de uitspraak halen maar de jaarcijfers lagen te laat bij de KVK en de klant vond dat een reden om op te stappen. Vervolgens bleek direct (één dag later) zijn toegang tot het online pakket (Twinfields) afgesloten te zijn, waardoor alle daarin opgeslagen administratieve gegevens van het bedrijf dus ontoegankelijk werden.

Op zich een begrijpelijke stap van die accountant. Die dienstverlening is er voor klanten, en meneer wil geen klant meer zijn maar per direct weg. En in het algemeen is het zo dat als de overeenkomst tot dienstverlening ophoudt, je de dienstverlening mag staken. Ja, ook bij clouddiensten en accounts. Dat is dienstverlening in een softwarejasje maar daarvoor kent de wet geen aparte regels. Je mag stoppen met diensten leveren, en dus ook met software of data toegankelijk maken zodra het contract is afgelopen.

Bij accountants ligt dat anders, en wel omdat zij gedragsregels hebben die onder meer “het fundamentele beginsel van vakbekwaamheid en zorgvuldigheid” nader uitwerken. Dit beginsel geldt ook na afloop van de dienstverlening. Als accountant moet je nazorg plegen als een klant weg wil, en daaronder valt -blijkens deze uitspraak- dus ook het nog even toegankelijk houden van de data of het verstrekken van een kopie zodat men elders verder kan.

We hebben het al vaker gehad over opvragen van “je” gegevens. Dat gaat hem niet worden, want data zijn geen eigendom volgens de wet. Het is gestolde dienstverlening, meer niet. Daarover merkt de Accountantskamer toch iets opmerkelijks op:

Daarvan uitgaande overweegt de Accountantskamer dat klaagsters recht hadden op ‘teruggave’ van de ingevoerde, nog niet bewerkte digitale gegevens, omdat het hun gegevens waren. Van betrokkene kon dan ook verlangd worden dat hij na de beëindiging van de opdracht met X3 in overleg was getreden over de vorm waarin en de termijn waarop hij deze de gegevens ‘overgedragen’ wilde krijgen, zeker nadat X3 in zijn brief van 22 juli 2014 te kennen had gegeven dat hij niet gebaat was met de prints van “de grootboekkaartjes 2013 en 2014 van de beide administraties”.

Het belang van data-opslag en clouddiensten voor bedrijven wordt alleen maar groter. Het wordt wat mij betreft dan ook de hoogste tijd dat hier wettelijk wat voor geregeld wordt. Je ziet dat al wel een beetje doorschemeren in de jurisprudentie, bijvoorbeeld dit vonnis uit 2012 waarin de rechter een dichtzetten van een softwaresysteem wegens wanbetaling disproportioneel vindt. Terecht. Natuurlijk mag je je dienstverlening opschorten als de wederpartij niet betaalt, maar die maatregel moet wel in verhouding staan tot de wanbetaling. En in gevallen als deze tref je iemand héél erg zwaar, veel zwaarder dan bij bijvoorbeeld een tijdschrift dat je tijdelijk niet opstuurt of een waszak die je een week niet ophaalt.

Arnoud

Mag het systeembeheer zomaar zelf regels maken?

Geplaatst op in Ondernemingsvrijheid, Security, 19 reacties

bofh-systeembeheerEen lezer vroeg me:

Bij ons bedrijf heerst een erg open cultuur, behalve bij onze systeembeheerders. Die zijn erg tegen gebruikers die zelf dingen installeren of eigen apparatuur aansluiten. Zo verbieden ze gebruik van Dropbox en het mailen van gegevens naar je privéadres, en dat wordt steeksproefgewijs gecontroleerd door een beheerder. Kan dat zomaar, mogen zij de regels maken?

Binnen een bedrijf maakt de directie de regels. Zij hebben daar grote vrijheid in. Als zij iedereen op Windows willen laten werken, heb je als Mac-fan toch echt pech. Vinden zij Dropbox stom, dan mag je geen Dropbox gebruiken hoe handig het ook is en hoe ongefundeerd hun reden om Dropbox te weigeren ook is.

De directie mag die regelmakende bevoegdheid delegeren, bijvoorbeeld naar de IT-afdeling. Dat hoeft niet heel expliciet te gebeuren, maar vaak zie je dat de directie überhaupt geen mening heeft over ICT en erop vertrouwt dat het systeembeheer in staat is de goede regels te maken.

Als het beheer dan weinig feeling heeft met de cultuur in het bedrijf, dan krijg je dus situaties als van deze vraagsteller. Streng beleid is begrijpelijk vanuit een beheer-achtergrond, en als je in de positie bent dat te mogen invoeren dan krijg je dat ook.

De handhaving van zulk beleid middels steekproeven is iets gevoeliger. Er mag niet zonder reden worden gesteekproefd in accounts of apparatuur van werknemers, ook niet als het werkgerelateerde bestanden of dingen betreft. Je loopt al heel snel tegen de privacy van de werknemer aan, zeker in een bedrijf waar een open cultuur heerst en het dus toegestaan is om privédingen te doen op je werkcomputer of met je werkaccount.

Op zijn minst moet er expliciet beleid zijn dat regelt wanneer accounts of apparatuur mogen worden doorzocht en welke waarborgen omtrent privacy er zijn. Dat beleid mag de directie aan de IT-afdeling laten, maar het moet er wel zijn. En als een bedrijf een open cultuur heeft, dan verwacht ik niet dat de directie snel zulk beleid wíl gaan maken. Het botst immers nogal met elkaar.

Een echte oplossing heb ik niet, behalve “ga eens met z’n allen op de hei zitten en verzin iets dat voor iedereen werkt”. Je verschuilen achter beleid en security is natuurlijk dé manier om een bedrijfscultuur om zeep te helpen.

Arnoud