Tiradeweek: Oh, en iemand wijzen op een vulnerability is dus géén strafbaar feit

Geplaatst op in Security, 10 reacties

cant-hear-you-epo-eob-software-patent-octrooi.pngKondig je een tiradeweek aan, krijg je allemaal tips van mensen met dingen waar je tenen van gaan krullen: Stop checking our code for vulnerabilities, aldus de (inmiddels ex-) Chief Security Officer van Oracle. Het doet me denken aan de standaardreactie van wel meer bedrijven: je meldt een probleem, en de reactie is niet “oh dat was stom, het wordt gefixt” maar “uw handelen is strafbaar ex art. 138ab Strafrecht” en vervolgens niets doen met de melding.

Een bekend probleem ja, en iets dat met responsible disclosure opgelost zou moeten zijn. Maar het blijft rondzingen. En wat me vooral zo frustreert, is het onbegrip voor die mensen die met zo’n tip aan komen zetten. Alsof het normaal is om te zeggen “rot op met je tip, jij bent strafbaar”.

Kijk. Natuurlijk is het ergens gek dat iemand aan je raam rammelt en dan zegt “joh, weet je dat dat raam van je heel gammel is”. Of ineens in de keuken staat en zegt “jij moet écht een beter slot op je achterdeur nemen hoor, hier zijn trouwens je koekjes, je kelderluik moet ook nodig gepatcht”. In het normale leven gebeuren die dingen niet, afgezien van een enkele buurman die je erop wijst dat je deur open staat.

Dit is echter een van die weinige situaties waarin het internet écht anders is dan de echte wereld en vergelijkingen niet opgaan, ook niet met auto’s.

En de reden dát het anders is, is dat internetdiensten van de software aan elkaar hangen. En iedereen weet: software, dat is kwetsbare ellende die je elke dag moet bijwerken. Dat doet niemand, en daardoor hebben we steeds die puinhoop met hacks, datalekken, DDOS aanvallen en ga zo maar door. Er is ook – waarom mag Joost weten – geen wet die zegt dat je je systemen veilig moet inrichten zodat je geen digitale overlast aanricht.

Het is dus legaal om een lekke puinzooi online te zetten, er nul kwaliteitscontrole op te doen, gevaar voor jezelf en anderen te scheppen. En dan heb je mensen die als ze daar een tip over krijgen, reageren met dat de kláger strafbaar is. Sorry maar daar zakt mijn broek van af. Wat mij betreft is het vanaf nu verboden te dreigen met aangifte of rechtszaken tenzij je kunt aantonen je veiligheidszaakjes op orde te hebben.

Arnoud

Tiradeweek: Doe niet zo moeilijk over elektronisch!

Geplaatst op in Informatiemaatschappij, 7 reacties

pen-contract-ondertekenen-algemene-voorwaardenOh ja, en in de zakelijke post zat een folder voor een tweedaagse cursus elektronisch contracteren. Leer alle uitdagingen herkennen en zorg voor rechtsgeldige elektronische contracten. Wat ís dat toch met het woord “elektronisch” dat de halve goegemeente meteen een blanco trekt en denkt dat het iets heel bijzonders zou moeten zijn?

Misschien ligt het aan mijn IT-nerd-achtergrond hoor, maar het maakt toch werkelijk geen bal uit of je nu via een e-mail wat afspreekt of per telefoon. Of dat je iemand een whatsappbericht stuurt in plaats van het hem zelf te zeggen. Maar nee, zodra er elektronen gaan springen bij een juridisch relevante gebeurtenis, is dat iets waar je twee dagen een cursus voor moet volgen.

Het meest extreme voorbeeld – ik heb me er eerder kwaad over gemaakt – is de elektronische handtekening. Wil je die op een correcte manier zetten, en wel zodanig dat de rechter er in mee moet gaan, dan moet je een hele technische infrastructuur optuigen, certificaten aanvragen en identiteitscontroles doen. Wil je een rechtsgeldige ‘natte’ handtekening zetten, dan heb je een pen en papier nodig. That’s it. En alleen als de plaatser keihard ontkent die handtekening gezet te hebben, kan deze worden aangevochten. Niks grafologie of verificatie van de ISO-betrouwbaarheid van de balpen of voorschriften voor de dikte van het papier of het aantal notarissen dat aanwezig moet zijn. Oh, en natuurlijk heb je in de praktijk geen handtekening nódig om welk contract dan ook te sluiten. Het is niet meer dan mooi extra bewijs van wat je als partij gewild had.

Maar ik zie het op meer plaatsen. Neemt er iemand ontslag via WhatsApp, dan is dat nieuws want er springen elektronen dus dat zal wel niet rechtsgeldig zijn. Wordt er gescholden op Twitter, dan moet er “cyber” voor en dan is het ineens Een Ding waar een bijlage in een weekblad aan gewijd kan worden. Welnee. Je kijkt naar de wet, en meestal staat er niets over het medium. Dan boeit het dus niet. Als er staat “schriftelijk”, dan wordt het misschien interessant of internet een geschrift is, maar neem van mij aan: dat is het in 99% van de gevallen en die 1% is alleen relevant als tentamenvraag.

Wat is dat toch? Is het nu wérkelijk zo bijzonder dat dingen via internet of elektronische middelen gebeurt?

Ik vraag me wel eens af of hier hetzelfde mechanisme bij zit dat ervoor zorgt dat iedereen het normaal vindt dat je geen verstand van computers hebt. Als je zegt dat je niet kunt lezen, is dat heel beschamend. Als je zegt dat je niks snapt van computers of internet, dan is dat heel herkenbaar en normaal en ah joh laat die rare nerds maar draaien. Er geen verstand van hebben is dus het uitgangspunt, en als je vervolgens er dan toch iets mee moet, ja dan moet je op dure cursus.

Of is het aansprakelijkheids-indekken? We weten dat het op papier allemaal legaal is, maar als een klant een elektronische handtekening zet dan hebben we nog geen 100% zekerheid. Derhalve moeten we eerst extra bestuderen of dat wel in orde is allemaal, want anders krijg je als jurist ineens een claim dat je onjuist geadviseerd hebt. Ik weet het niet. Maar ik erger me er dood aan.

Arnoud

Tiradeweek: Ja, en die privacyverklaringen zelf dan dus

Geplaatst op in Privacy, 20 reacties

Ah ja, die privacyverklaring. Gisteren noemde ik het een verplicht nummer, en daar kreeg ik wat geïrriteerde reacties op. Het is toch een nuttig instrument, en mensen hebben toch een eigen verantwoordelijkheid als ze niet de moeite willen nemen zich te informeren over wat een site doet? Eh, ja, whatéver: iedereen weet dat die privacyverklaring niet werkt, niet gelezen wordt en geen enkele bijdrage levert aan de voortgang van de maatschappij. In de shredder ermee dus.

Het concept privacyverklaring kent zowel een Europese als een Amerikaanse achtergrond. De Europese achtergrond is dat mensen alleen toestemming voor verwerking van hun persoonsgegevens kunnen geven als ze zijn geïnformeerd over het wat en hoe. Je ziet het zo voor je: een deskundig adviseur met vlot jasje die twee enigszins onzeker kijkende mensen uitlegt wat er gaat gebeuren met hun per-soons-ge-gevens waarna deze “nou ja, dat moet dan maar hè Henk, we willen toch héél graag dat spelletje spelen” zeggen en hun handtekening zetten. De Amerikaanse visie is dezelfde, maar dan nog iets explicieter het idee dat je “too bad, je had het kunnen weten sucker” kunt zeggen als mensen komen klagen.

Met enige regelmaat verschijnen studies die aantonen dat mensen die teksten niet lezen. Het is te veel, het is niet relevant voor de actie waar ze mee bezig zijn, het boeit ze niet, het is te moeilijk, alle mogelijke verklaringen noem ze maar op. Maar je zou denken dat privacy als iets belangrijks voelt, dus waarom steken we daar dan toch geen energie in? Misschien is het wel naïef optimisme: ja het zal wel die hele uitleg, dit is toch wettelijk geregeld en er is toch een toezichthouder, dan zal het uiteindelijk wel meevallen toch?

Recent las ik nog een betoog dat de reden is dat we het simpelweg opgegeven hebben, het idee dat we onze privacy kunnen beschermen:

[P]eople feel they cannot do anything to seriously manage their personal information the way they want. Moreover, they feel they would face significant social and economic penalties if they were to opt out of all the services of a modern economy that rely on an exchange of content for data. So they have slid into resignation

Oftewel: je kunt die privacyteksten wel lezen, maar uiteindelijk maakt het toch geen bal uit want ze doen toch wat ze willen en je móet meedoen anders word je uitgelachen als Facebookloze nerd of ouderwetse huisvrouw (m/v) die niet eens haar eten op Instagram zet.

Mensen geven wel om hun privacy maar als je niets kunt veranderen en mee móet doen, ja dan sjok je wel achter de massa aan. En dan is wel het laatste wat je wilt, een privacyverklaring lezen want daar word je alleen maar moedeloos van: oh, gaan ze óók al mijn GPS-locatie meten elke minuut en dat verkopen aan Nike zodat die haar advertenties beter bij mijn buitenbeleving kan laten aansluiten?

En dat is het natuurlijk precies waar het om gaat. Persoonsgegevens zijn waardevolle informatie voor bedrijven, hoe meer hoe beter en er is toch niemand die er wérkelijk een punt van maakt. We verzamelen en doen wat we willen, en we schrijven een schaamlap die met mooie woorden ongeveer uitlegt wat we doen zodat we een “too bad, je had het kunnen weten sucker“-excuus bij de hand hebben als mensen klagen, en een deskundig adviseur kunnen schetsen naar de toezichthouder. En zolang die (en de politiek) denkt dat de privacyverklaring net zo werkt als een zorgvuldige uitleg bij de medisch specialist, gaat er geen bal veranderen.

Dus: weg met de privacyverklaring. Het is vanaf nu verboden in een aparte tekst uit te leggen wat je doet. Alles dat je doet met mensen hun privacy, moet direct en onmiddellijk duidelijk zijn bij de feature zelf. Als dat niet kan, mogen er maximaal 3 regels (van 72 tekens elk, slimmeriken) aan uitleg bij. Als daar je uitleg niet in past, dan is het vanaf nu illegaal.

Arnoud

Tiradeweek: Die marketingblaat als je privacyvragen aan bedrijven stelt

Geplaatst op in Privacy, 11 reacties

privacy-statement.jpgBen je terug van vakantie, krijg je dit artikel van Forbes onder ogen waarin men de nieuwe privacy policy van Spotify eens onder de loep neemt. Ja, ze willen alles van je weten en het is volslagen onduidelijk wat ze daarmee gaan doen. Prima dus om je daar druk over te maken als journalist, maar wat mij dan steekt is het einde van het bericht. Want wat produceert het muziekvloeibedrijf dan als reactie op de analyse dat men stemcommando’s registreert, locatie vastlegt, het adresboek kopieert en een tot op de trilharen nauwkeurig interesseprofiel afstemt, en dat men dat óók gerust doet bij betalende klanten:

Spotify is constantly innovating and evolving its service to deliver the best possible experience for our users. This means delivering the perfect recommendations for every moment, and helping you to enjoy, discover and share more music than ever before.

Hoe krijg je het uit je vingers. En het gaat verder:

The data accessed simply helps us to tailor improved experiences to our users, and build new and personalised products for the future. Recent new features include Spotify Running, which matches the BPM of your music to the pace of your run, or the new Discover Weekly feature, which curates a weekly playlist based on your tastes.

Tussen de regels door snap ik denk ik wel waarom men die data verzamelt en dat er heus geen plannen zijn om werkelijk iedere trilhaar afzonderlijk te profileren en om dat te verkopen aan driehonderd zorgvuldig geselecteerde nepviagraverkopers. Maar: dat stáát er wel, dus dan is het normaliter gepast dat je uitlegt wat je bedoelt en vervolgens je privacyverklaring aanpast zodat ie klopt met je uitleg. Ja, moehaha inderdaad.

Kijk. Ik snap ergens best wel dat die privacyverklaring een verplicht nummer is, dat mensen niet werkelijk interesseert en eigenlijk alleen gebruikt wordt om pro forma compliance te claimen en privacyactivisten te kunnen pareren met “mensen moeten gewoon de privacyverklaring lezen en dan kunnen ze een vrije keuze maken”. En je wilt je opties openhouden als jurist dus we “kunnen” van alles doen met persoonsgegevens maar we respecteren je privacy en we doen niets zonder je toestemming tenzij anders vermeld – succes met interpreteren wat dát betekent.

Logisch dus dat journalisten zo’n privacyverklaring kritisch doornemen. En ja ik snap ook wel dat het vaak vooral gaat om een leuk stukje “oh noes ze stelen je privacy”, maar ongeacht insteek: er is kritiek, daar moet je wat mee. En dan bedoel ik dus meer dan zo’n meelbal van een ongeïnteresseerde voorlichter.

Ik word er zo moe van, van zulke gemakzuchtige reacties die vervolgens geen enkele band hebben met de juridische documentatie. Het ergste is dan nog dat iedere journalist die tekst gewoon publiceert, want hoor en wederhoor en zo. Maar káp daar nou eens mee. Dit is toch geen antwoord, dit is eenvormige blaat die bij elke mogelijke vraag geproduceerd kan worden. Vraag door, of vermeld “Spotify reageerde niet inhoudelijk op ons verzoek om uitleg”. Want zo schiet het niet op natuurlijk. Als je uitleg nodig hebt, is je tekst niet goed.

Arnoud

Gastblog: Bitcoin: geld of geen geld?

Geplaatst op in Innovatie, 18 reacties

bitcoin-cc-by-sa-flickr-zach-copleyOmdat ik met vakantie ben vandaag een gastbijdrage. Vandaag: een bijdrage van Jos Visser over de status van de virtuele valuta Bitcoin in het financiële recht.

Met de opkomst van het Internet en de mogelijkheid om online producten en diensten te kopen ontstond de wens om met een veilig digitaal betaalmiddel te betalen. Die wens leek al in het midden van de jaren negentig in vervulling te gaan met DigiCash. Helaas was David Chaum, de ontwerper van DigiCash, even geniaal als moeilijk in de omgang en het Amsterdamse bedrijf ging dan ook ondanks interesse van diverse grote zakelijke partijen eind jaren negentig failliet. De wens om anoniem en veilig te betalen op het Internet leefde echter voort en in oktober 2008 publiceerde het mysterieuze genie Satoshi Nakamoto het ontwerp van een nieuwe digitale munteenheid: Bitcoin.

Wat Chaum niet lukte, lukte een grote groep van Bitcoin enthousiastelingen wel, en sinds de eerste Bitcoin transactie op 12 januari 2009 is er dan ook sprake van een gestage opmars van het aantal Bitcoin betalingen. De liefhebbers noemen Bitcoin “digitaal geld” en spreken in het verlengde daarvan over Bitcoin munten, de Bitcoin wisselkoers en Bitcoin portemonnees; allemaal woorden die met geld te maken hebben. Steeds meer web sites accepteren betalingen in Bitcoin en hier en daar zijn zelfs al Bitcoin geldautomaten te vinden. Maar, zo vraagt de jurist zich vervolgens af, is Bitcoin wel geld? En is het eigenlijk wel van belang om te weten of Bitcoin “geld” is? Als de koper ermee wil betalen, en de verkoper accepteert het, wat is dan het probleem? Boekenbonnen en ANWB cheques zijn toch ook geen geld?

Verreweg de meeste overeenkomst die we sluiten hebben als component een verbintenis om een bepaald bedrag in geld te betalen. Dit is zo gebruikelijk dat een hele afdeling in ons Burgerlijk Wetboek is gewijd aan “Verbintenissen tot betaling van een geldsom.” Die afdeling bevat het antwoord op vragen als: Wat te doen als de betaling te laat is of uitblijft? Moet de betaling in cash of mag er ook giraal worden betaald? Mag er in geld van een ander land worden betaald? Als Bitcoin geld is dan gelden die regels ook voor betalingen en betalingsverplichtingen in Bitcoin, en dat zou de acceptatie van dit digitale betaalmiddel een behoorlijke impuls geven.

“Geld” is zo’n begrip waarvan nergens precies gedefinieerd is wat het nu eigenlijk is. De artikelen in ons wetboek die gaan over verbintenissen tot betaling van een geldsom spreken uitgebreid over “geld”, “geldsom”, “geld dat gangbaar [is] in het land in welks geld de betaling geschiedt”, “Nederlands geld”, “buitenlands geld”, enzovoorts. Maar regels om aan te geven of iets geld is, of wanneer geld gangbaar is, ho maar. De bron van alle kennis, Wikipedia, zegt over geld: “Geld is enig object of enige toetsbare vermelding dat in een bepaald land of binnen een gegeven sociaal-economische context algemeen wordt aanvaard als betaling voor goederen en diensten en de terugbetaling van schulden.” Met deze definitie in de hand is het niet moeilijk in te zien dat de Euro, het Britse Pond en de Zwitserse Frank geld zijn. Maar is Bitcoin geld?

De wet bevat her en der ook verwijzingen naar het begrip “wettig betaalmiddel”. Wettige betaalmiddelen zijn die vormen van geld waaraan de wet schulddelgingskracht heeft gegeven. Dit betekent dat als je een schuld af wilt lossen, bijvoorbeeld omdat je net een brood hebt gekocht, en je komt aanzakken met een wettig betaalmiddel, dan heb je wettelijk gezien gepoogd te betalen. Als de schuldeiser die betaling niet accepteert komt het verzuim voor zijn of haar rekening. Een boekenbon is geen wettig betaalmiddel, maar het Engelse Pond en de Zwitserse Frank zijn dat (In Nederland) ook niet. Aan het betalen met een wettig betaalmiddel kleven overigens nog wel wat beperkingen. Zo hoeft een schuldeiser een betaling met meer dan 50 munten niet te accepteren. Ook kan vooraf de acceptatie van bepaalde vormen van betaling, bijvoorbeeld met een 200 of 500 eurobiljet, rechtmatig worden uitgesloten. Of iets een wettig betaalmiddel is of niet vloeit voort uit de wet, waarin her en der aan bepaalde munten en biljetten de status van wettig betaalmiddel wordt gegeven. Euromunten en -biljetten zijn natuurlijk een wettig betaalmiddel in Nederland. De Bitcoin wordt niet in de wet genoemd en is dus geen wettig betaalmiddel. Maar is het wellicht dan toch geld?

De rechtbank te Almelo zag zich indirect voor de vraag gesteld of Bitcoin “gangbaar geld” is. De zaak ging over een situatie waarin iemand 2.750 Bitcoins had gekocht maar er slechts 990 geleverd kreeg. Dit was sneu voor de koper aangezien de Bitcoins die op moment van het sluiten van de koopovereenkomst zo’n acht euro deden in 2014 voor meer dan 900 euro per Bitcoin van de hand gingen. Tel uit je verlies! De koper wendde zich vervolgens tot de rechtbank met het verzoek die schade te vergoeden en beriep zich daarbij op artikel 6:125 van ons Burgerlijk Wetboek. Dit artikel stelt dat schade die is ontstaan doordat “na het intreden van het verzuim de koers van het geld tot betaling waarvan de verbintenis strekt, zich ten opzichte van die van het geld van een of meer andere landen heeft gewijzigd” dient te worden vergoed. De koper stelde zich dus op het standpunt dat Bitcoins geld zijn, dat de overeenkomst er eentje was waarbij verkoper zich verplicht had tot betaling van een geldsom, dat hij door koper’s verzuim om alle gekochte Bitcoins te leveren wisselkoersschade had geleden, en dat het wetboek expliciet stelt dat die schade vergoed dient te worden.

Door het inroepen van artikel 6:125 zag de rechtbank zich voor de vraag gesteld of Bitcoins geld zijn in de zin van de genoemde afdeling uit het Burgerlijk Wetboek. Immers, indien Bitcoins geen geld zijn dan kan het ingeroepen wetsartikel het verzoek om een schadevergoeding niet schragen. Tot ontstentenis van Bitcoinend Nederland maakte de rechtbank korte metten met de stelling dat BItcoins een geldmiddel is zoals bedoeld in het Burgerlijk Wetboek. De rechtbank komt daarvoor met de volgende argumentatie:

Volgens het BW kan een geldsom giraal (per giro of bank) en chartaal (cash) worden voldaan. Bitcoin betalingen lopen niet via een bank of een bankachtige instelling, en dus kunnen Bitcoin betalingen niet als een vorm van girale betaling worden gezien. Voor chartale betaling dient er volgens de wettekst sprake te zijn van “gangbaar geld”. De bedoeling van de wetgever (zoals afgeleid uit de parlementaire discussie ten tijde van de invoering van het wetboek) was dat de vraag of iets “gangbaar geld” is hoofdzakelijk afhangt van de vraag of het een wettig betaalmiddel is. Bij de invoering van de Euro is wettelijk vastgelegd dat deze met uitsluiting van alle andere geldmiddelen het enige wettige betaalmiddel in Nederland is. Daabovenop komt dat de Minister in antwoord op kamervragen zich op het standpunt heeft gesteld dat Bitcoin geen wettig betaalmiddel is.

“QED”, aldus de rechtbank: Bitcoins zijn geen geld. Niet leuk voor de koper die zijn eis tot een hoge schadevergoeding afgewezen zag worden.

Bitcoin-minnend Nederland was natuurlijk niet blij met deze uitspraak en zinde dan ook op mogelijkheden om in hoger beroep te gaan, daarbij ondersteund door diverse juristen die de uitspraak van de rechtbank niet deelden. Helaas bleek de gedaagde in de originele rechtszaak met de noorderzon te zijn vertrokken, zonder achterlating van geld of goederen waarop de koper bij winst in het hoger beroep beslag zou kunnen leggen. De koper zag dan ook al aankomen dat hij zelfs bij winst in een hoger beroep naar zijn schadevergoeding zou kunnen fluiten. Om die reden zag hij dan ook geen heil in een dure tweede rechtsgang. De Bitcoin gemeenschap is vervolgens een inzamelingsactie gestart om het hoger beroep te financieren: https://bitcoinisgeld.org. Op moment van schrijven loopt dat hoger beroep en is het wachten op de uitspraak van het hof.

Dus: Bitcoin is vooralsnog geen geld. Wat is Bitcoin dan wel? Volgens de rechtbank Almelo dient Bitcoin te worden gezien als een ruilmiddel. Weliswaar een ruilmiddel met een waarde, zoals bijvoorbeeld goud of een nationale bioscoopbon, maar geen wettig betaalmiddel. Nu heeft in ons rechtssysteem een uitspraak als deze geen sterke precedentwerking, maar geheel zonder gevolgen is hij ook weer niet. Het wachten is dus op de uitspraak in het hoger beroep. Mocht dit ook ongunstig uitvallen dan kan er eventueel nog cassatie bij de Hoge Raad worden ingesteld. En als dat vervolgens ook nog ongunstig uitvalt ligt het laatste woord bij regering en parlement om de wettelijke regelingen aan te passen. We wachten vol spanning af.

P.S.

Q: Maar Jos, wat vindt jij er nu van? Is Bitcoin geld of niet?<br/> A: Ik vind het dictum van de rechtbank wel correct, maar de redenering is niet erg sterk. Daar kan wat mij betreft nog wel een en ander aan worden verbeterd. Onze Grondwet zegt in artikel 106 “De wet regelt het geldstelsel.” Alhoewel over grondwetartikelen altijd wel te discussiëren valt lijkt dit artikel me toch maar voor een uitleg vatbaar. Het komt mij voor dat de gedachte dat Bitcoin geld zou zijn voortspruit uit de nogal vage en over diverse wetten en regelingen verspreide definitie van wat geld en wettige betaalmiddelen nu eigenlijk zijn. Opschoning en verduidelijking van die wet- en regelgeving zou wellicht aanbeveling verdienen. Over de vraag of Bitcoin geld zou moeten zijn ben ik nog niet uit. Ons monetaire systeem lijkt in ieder geval niet verenigbaar met het proces van Bitcoin mining. Ik snap dat het sommige Bitcoin volgelingen juist daarom te doen is, maar ik weet het nog zo net niet…

Jos Visser is software engineer bij Google en studeert rechten aan de Open Universiteit.

Gastblog: Gebruik van modelcontractbepaling vergt extra justificatie. Omgekeerde wereld?

Geplaatst op in Privacy, 10 reacties

cloud-flag-usaOmdat ik met vakantie ben vandaag een gastbijdrage. Vandaag: Marc Steenbergen over de Europese modelbepalingen voor export van persoonsgegevens.

De Data Protection Directive (officieel “Directive 95/46/EC on the protection of individuals with regard to the processing of personal data and on the free movement of such data”) is de richtlijn binnen de Europese Unie met betrekking tot het verwerken van persoonlijke data. Sinds 1995 is dit een belangrijke onderdeel van Europese wetgeving over privacy en mensenrechten. In Nederland is de richtlijn omgezet in de Wet bescherming persoonsgegevens. In België geldt de Privacywet.

De huidige EU Data Protection Directive 95/46/EC houdt geen rekening met belangrijek aspecten zoals globalisatie en technologsiche ontwikkelingen zoals social networks, cloud computing, etc. De Europese Commissie heeft daarom bepaald dat een nieuwe richtlijn noodzakelijk is, die tevens een belangrijke rol kan spoelen in het bereiken van een “single digital market” binnen de EU. De verwachting is dat er in de loop van 2016 een definitief akkoord zal zijn over de nieuwe General Data Protection Regulation, die vanaf dat moment voor alle landen in de Europese Unie zal gelden.

Om gegevensuitwisseling tussen de Verenigde Staten (VS) en Europa mogelijk te maken waarbij door Amerikaanse bedrijven voldaan wordt aan de EU Data Protection Directive 95/46/EC is het VS-EU Safe Harbour mechanisme in het leven geroepen. Amerikaanse bedrijven die voldoen aan het Safe Harbour framework zijn daarmee compliant met de EU Data Protection Directive 95/46/EC. Amerikaanse organsiaties die gebruik willen maken van het Safe Harbour mechanisme moeten onder regulering staan van de Federal Trade Commission of het Department of Transportation, waardoor bv. financiele instellingen en non-profit organisaties er geen gebruik van kunnen maken. En het bepalen of een Amerikaans bedrijf voldoet aan de Safe Harbour vereisten is iets wat dat bedrijf zelf mag doen (“self certification”). Met andere woorden: de slager keurt zijn eigen vlees. Dat is voor veel Europese bedrijven geen situatie waardoor men de vereiste zekerheden verkrijgt. Zo heeft de Duitse data protectie autoriteit recent verkaard dat zij er geen voorstander van zijn om data overdracht op basis van Safe Harbor goed te keuren. En de Europese Commissie heeft zich uitgesproken voor een update van de Safe Harbor afspraken.

Naast het Safe Harbor mechanisme zijn er nog twee andere mechanismen om veilige gegevensoverdracht te waardborgen: EU Model Clauses en Binding Corporate Rules.

Binding Corporate Rules zijn gedragsregels, gedefinieerd en gecontroleerd door nationale Europese autoriteiten, die door multi-nationale bedrijven geïmplementeerd dienen te worden om al het interne grensoverschrijdende dataverkeer in vereenstemming te laten zijn met de Europese wetgeving. De EU Model Clauses zijn standaard contracten voor de overdracht van data tussen EU en niet-EU landen. De Europese Raad en het Europees Parlement hebben de Europese Commissie begin van deze eeuw de bevoegdheid gegeven om te beslissen op grond van artikel 26 van Richtlijn 95/46/EG dat bepaalde modelcontractbepalingen voldoende waarborgen bieden met betrekking tot de bescherming van de privacy en de fundamentele rechten en vrijheden van personen, alsmede ten aanzien van de uitoefening van de bijbehorende rechten. De Europese Commissie heeft tot nu toe twee sets van modelcontractbepalingen vastgesteld: een set voor de overdracht van data controllers (“verantwoordelijken”) binnen de EU naar data controllers buiten de EU en een set voor de overdracht van data controller binnen de EU naar buiten de EU gevestigde data processors (“verwerkers”).

De afgelopen periode is het nodige te doen geweest rondom deze EU Model Clause. Sommige bedrijven gebruiken de EU Model Clauses al sinds ze beschikbaar gesteld zijn, in 2001. Andere partijen deden dat tot kort geleden niet, maar hebben recentelijk de terms & conditions van de EU Model Clauses geincorporeerd in eigen (cloud) contracten. Vervolgens hebben ze de Europese autoriteiten voor gegevensbescherming gevraagd om deze contracten goed te keuren. Nadat deze goedkeuring verkregen was, konden deze bedrijven het niet laten om luid van de kanseel te schreeuwen dat ze goedkeuring hadden gehad van de Europese Unie, met statements als “It is the only enterprise cloud that meets EU privacy law standards and be approved by the EU’s data protection authorities.” Dit heeft geleid tot verwarring in de markt omdat sommige eindgebruikers de perceptie kregen, of de perceptie werd aangepraat, dat alleen deze bedrijven compliant zouden zijn met de Europese wetgeving. Terwijl deze bedrijven in feite een probleem hebben opgelost wat ze jarenlang gehad hebben, daar waar andere bedrijven al die jaren lang al compliant waren aan de vereiste Europese wetgeving.

Navraag bij de EU 29 Working Group door partijen die sinds 2001 al exact de door de EU vastgelegde modelcontracten gebruiken, heeft (natuurlijk!) geresulteerd in de schriftelijke bevestiging dat zij compliant zijn met de Europese wetgeving. Wat logisch is, want dat is nou juist het principe van die model clausules!. En dergelijke schriftelijke bevestigingen worden dan weer gebruikt om eindgebruikersorganisaties duidelijk te maken dat de standaard EU Model Clause, “used ever since 2001”, toch echt voldoende is.

Eigenlijk vind ik dit best raar: er is een standaard. Een bedrijf heeft zich jarenlang niets gelegen laten liggen aan de EU Model Clause, besluit haar leven te beteren, incorporeert de EU Model Clause in haar contracten, vraagt confirmatie dat dit okee is, krijgt deze ook, en gebruikt dit voor tendentieuze marketingcommunicatie. Waardoor vervolgens partijen die vanaf dag 1 de standaard Eu Model Clause gebruikten gedwongen worden nog eens additioneel gaan uitleggen aan het publiek dat zij de standaard al sinds 2001 gebruiken, en dat de Europese autoriteiten dit nog eens expliciet hebben bevestigd dat dit die standaard goed is. Maar ja, het onderwerp data privacy is een uiterst gevoelig onderwerp, en terecht. Laten we daarom vooral goed en duidelijk, en feitelijk, blijven communiceren over de daartoe in het leven geroepen wetgeving. Want zoals Jim Barksdale, ex-CEO van Netscape ooit zei: “If we have facts ,let´s look at the facts. If we have opinions, let´s go with mine”.

Marc is Business Development Executive bij IBM. Dit artikel representeert zijn eigen mening en staat los van de opinie van zijn werkgever.

Gastblog: Je kind online in de gaten houden, hoe ver mag je gaan?

Geplaatst op in Privacy, 6 reacties

kinderen-oppassen-bord-verkeersbord-waarschuwing.pngOmdat ik met vakantie ben vandaag een gastbijdrage. Vandaag: Noortje Mulder over wanneer ouderlijk toezicht uitmondt in spionage.

Sociale media zoals Facebook, Twitter en Instagram worden volop door kinderen en jongeren gebruikt en er zijn tal van websites die zich specifiek op kinderen richten. Op dit moment is het echter nog onduidelijk hoe kinderrechten ‘online’ het best kunnen worden gewaarborgd. Tot dusver is de aandacht voornamelijk uitgegaan naar de betekenis van kinderrechten in de relatie tussen het kind en derden buiten gezinsverband, waarbij de verantwoordelijkheid van ouders voor het geven van de juiste begeleiding aan hun kinderen vaak wordt benadrukt. Volgens de wet zijn de ouders (of voogden) immers hoofdverantwoordelijk voor het welzijn en de bescherming van hun kinderen. Maar wat betekent de wet nu in de ‘online omgevingswereld’ van kinderen? Wat betekent de wet nu voor kinderen op sociale media?

De wet (artikel 1:247 lid 1 en 2 BW) en artikel 5 en 18 VN-Kinderrechtenverdrag bepaalt dat ouders een zorgplicht hebben om hun kind op te voeden. Nergens wordt echter specifiek uitgelegd op welke manier ouders dit het beste kunnen doen. Dit heeft uiteraard zo zijn voordelen. Ouders hebben immers het recht om de opvoeding naar eigen inzicht in te richten, zolang het belang van het kind hierbij maar het uitgangspunt vormt. Ouders staan tegenwoordig echter voor opvoedingsvraagstukken die in hun eigen kindertijd niet aan de orde waren. Hierdoor zullen ouders soms niet goed weten waar zij en hun kinderen aan toe zijn, wat tot onzekerheid en (over)bezorgdheid kan leiden. Nieuwsberichten over online-pesterijen en jihad-tienerbruiden dragen hieraan bij.

Deze angst leidt er soms toe dat ouders doorslaan in hun beschermingsplicht, waardoor zij het kind online nauwlettend in de gaten willen houden. In dit gat in de markt zijn diverse bedrijven gesprongen die zogenaamde parental monitoring-software aanbieden, welke zeer intensief ouderlijk toezicht mogelijk maakt. Dergelijke software biedt de mogelijkheid om mee te kijken met letterlijk álles wat het kind online uitvoert. Hierbij valt te denken aan wachtwoorden, toetsaanslagen, surfgeschiedenis, verstuurde en ontvangen bestanden/e-mails, privégesprekken. Kortom: het kind heeft vrijwel geen privacy meer ten opzichte van diens ouders. Gaat dit niet een beetje te ver?

Ouders zijn verantwoordelijk voor de verzorging en opvoeding van hun kinderen. Zij dienen het welzijn en de ontwikkeling van het kind bevorderen en te beschermen tegen schadelijke invloeden. Om het kind bescherming te kunnen bieden zullen ouders moeten weten wat het kind bezighoudt, wat ouderlijk toezicht tot op zekere hoogte noodzakelijk maakt. Tot op zekere hoogte. Volgens artikel 16 van het VN-Kinderrechtenverdrag heeft het kind namelijk recht op privacy. Dit recht geldt óók ten opzichte van diens ouders. Ondanks dat het kind dit recht heeft, blijkt dit in de praktijk niet altijd (strikt) te worden nageleefd. Het is natuurlijk begrijpelijk dat ouders niet denken in een ‘rechten-context’ bij de opvoeding. Daarnaast zullen de meeste ouders goede bedoelingen hebben wanneer zij parental monitoring-software gebruiken om toezicht te houden op hun kind.

Te vergaand toezicht zou het kind echter kunnen schaden. De meeste kinderen zullen immers gekwetst zijn wanneer zij de ‘online spionage’ van hun ouders ontdekken, wat hun (vertrouwens)relatie geen goed zal doen. Ook kan de ontwikkeling van het kind belemmerd worden wanneer het onvoldoende vrijheid krijgt om zichzelf te ontplooien. Daarnaast is het van groot belang dat ouders op een zorgvuldige manier omgaan met de in dit verband verzamelde gegevens van het kind. Zij horen deze bijvoorbeeld niet zomaar te delen met derden, zoals schoolleiding of andere ouders.

Maar wanneer gaat ouderlijk toezicht nu te ver? Deze vraag is lastig te beantwoorden, gelet op de dubbele rol die ouders hebben ten aanzien van de privacy van het kind. Enerzijds dienen zij het kind te beschermen, waardoor zij de privacy van het kind mogen beperken. In de meeste gevallen zal het beschermingsbelang van het kind een beperking van diens recht op privacy door de ouders rechtvaardigen. Anderzijds dienen zij zich niet onnodig te mengen in het privéleven van hun kind, laat staan bewust inbreuken daarop te maken. Hierbij valt te denken aan het niet zomaar plaatsen van foto’s en filmpjes van kinderen op sociale media-platformen, zoals de Facebook-pagina’s van de ouders zelf, maar ook aan het houden van te intensief ouderlijk toezicht. In artikel 5 van het VN-Kinderrechtenverdrag wordt gesteld dat ouders hun kinderen ‘passende leiding en begeleiding’ moeten geven bij de uitoefening van hun rechten, wat onder andere betekent dat ouders rekening moeten houden met de leeftijd en ontwikkelingsniveau van het kind en dat zij ook de mening van het kind moeten betrekken bij het nemen van opvoedingsbeslissingen (Zie hiervoor ook artikel 12 VN-Kinderrechtenverdrag). Aangezien opvoeding gericht dient te zijn op het toewerken naar de zelfstandigheid van het kind, zal het kind naarmate het opgroeit steeds meer de kans hiertoe moeten krijgen. Ouders dienen hun betrokkenheid dus continue aan te passen en toezicht te houden op een wijze die de ontwikkeling van het kind ondersteunt.

Kort gezegd: ouders moeten doen wat het beste voor het kind is. Maar wat als ouders simpelweg niet weten wat ‘passende leiding en begeleiding’ is? Dit is immers ook sterk afhankelijk van het kind in kwestie en de omstandigheden van het geval. Ondanks dat de meeste ouders het beste met hun kind zullen voorhebben, zullen er gevallen zijn waarin ouders de privacy van hun kind onvoldoende respecteren. In de eerste plaats omdat ouders het meekijken met het internetgedrag van het kind niet direct zullen zien als een privacy-inbreuk. Gelet op de mogelijkheden van parental monitoring-software, komt het er echter op neer dat vrijwel niets van het kind meer privé is. In wezen is dit vergelijkbaar met een ouder die in de struiken gaat liggen bij het schoolplein om zo álles te kunnen zien. Een beetje overdreven, wat mij betreft. Onder bepaalde omstandigheden kan intensief toezicht natuurlijk gerechtvaardigd zijn, maar dat moet dan –alle omstandigheden meegenomen- in het belang van het kind zijn. Bijvoorbeeld omdat dit de enige mogelijkheid is om het kind te beschermen. Een ander belangrijk punt hierbij is dat ouders soms op onzorgvuldige wijze met de door hen verzamelde gegevens van het kind omgaan. Dit zou de belangen van het kind ernstig kunnen schaden, gelet op het feit dat –vooral bij het gebruik van parental monitoring-software- de verzamelde informatie erg omvangrijk kan zijn en daarnaast vaak privacygevoelige inhoud heeft.

De meeste ouders zullen zich niet bewust zijn van de betrokken belangen en mogelijke risico’s. Ik pleit er daarom voor om ouders hierover voor te lichten en hen hulpmiddelen aan te bieden ter ondersteuning van hun opvoedingstaak. Het antwoord op de vraag wanneer ouderlijk toezicht te ver gaat is zoals gezegd afhankelijk van de omstandigheden van het geval. De ondersteuning zal daarom vooral gericht moeten zijn op het verduidelijken van de betrokken belangen, zodat ouders hier zelf een goede afweging tussen kunnen maken. Het doel hiervan is om ouders te ondersteunen in de uitoefening van hun opvoedingstaak, wat uiteindelijk moet leiden tot een betere waarborging van het recht op privacy van het kind.

Eleonora Mulder is onlangs afgestudeerd aan de Universiteit Utrecht, Master Privaatrecht. Haar masterscriptie schreef zij over het onderwerp ‘Ouderlijk toezicht en het recht op privacy van het kind in de digitale samenleving’, waarbij de vraag naar de grenzen aan het ouderlijk gezag –in het bijzonder met betrekking tot het houden van toezicht op het internetgedrag van het kind – en de wenselijkheid van regulering hiervan centraal stond.

Gastblog: Wat doe jij als iemand jouw content heeft gekopieerd?

Geplaatst op in Intellectuele rechten, 12 reacties

copyright-protect-pirates.pngOmdat ik met vakantie ben vandaag een gastbijdrage. Vandaag: Marnix de Munck over het aanpakken van ongewenste kopieën van je website.

Het komt niet zo vaak voor als het stelen van een fiets in hartje Amsterdam, maar het gebeurt toch nog vaker dan je denkt: andere websites die zonder blikken of blozen jouw content overnemen. Vaak onschuldig. Veel mensen denken ten onrechte dat je alles wat je op internet vindt vrij kunt gebruiken, en dus ook mag kopiëren en plakken. Regelmatig is het motief helaas minder onschuldig.

Mij is het de afgelopen tijd een aantal keer overkomen. Ik vond de lay out èn alle content van mijn site www.internetvergelijk.nl één op één terug op andere sites. Ik was er uiteraard niet blij mee. Eigenaren van deze sites maakten niet alleen inbreuk op mijn intellectuele eigendomsrechten, maar hun kopieergedrag zou ook een negatief effect kunnen hebben op mijn SEO. Google en andere zoekmachines willen gebruikers immers altijd de meest relevante zoekresultaten presenteren. En gebruikers zitten niet te wachten op twee verschillende pagina’s met precies dezelfde content vlak onder elkaar in de zoekresultaten. Dit is een vorm van externe duplicate content.

Er is sprake van duplicate content als op twee webpagina’s (vrijwel) dezelfde inhoud te vinden is. Is dit binnen één domein, dan spreken we van interne duplicate content. Staat nagenoeg dezelfde inhoud op twee domeinen, dan is er sprake van externe duplicate content. Zoekmachines geven daarom alleen die content weer waarvan zij denken dat het als eerste is gepubliceerd. Het lukt zoekmachines helaas nog niet altijd om te achterhalen wie de originele content heeft gepubliceerd. Het zou dus voor kunnen komen dat de site van je copycat wel in de zoekresultaten wordt weergegeven en jouw site achter een link, omdat de zoekmachine denkt dat jij degene bent die de tekst gekopieerd heeft.

Kortom: voor mij redenen genoeg om deze copycats aan te pakken. Als mensen er al van op de hoogte zijn dat iemand hun content heeft gekopieerd durven veel mensen dit echter niet aan. Zij weten niet hoe ze het moeten aanpakken of zien op tegen het juridisch getouwtrek en de bijbehorende torenhoge advocatenrekeningen. Met onderstaande tips wordt externe duplicate content relatief eenvoudig op te sporen en aan te pakken. Bij mij is het bovendien de moeite waard gebleken.

Wil je controleren of iemand jouw content heeft gekopieerd, maar weet je niet hoe?

  • Op copyscape.com vul je de url van je website in en Copyscape geeft je direct de websites die jouw content hebben overgenomen.

    • <li>Op plagium.com vul je een stuk van je tekst in, waarna de site je alle websites geeft met precies deze tekst. Dit kan overigens ook gewoon bij Google. Zet je tekst dan wel tussen “dubbele aanhalingstekens” in het zoekveld.</li></ul>

    Ik heb zowel telefonisch als per mail contact opgenomen met de webmasters van de andere sites en heb aangegeven dat zij, door zonder mijn toestemming gebruik te maken van de layout en content van www.internetvergelijk.nl, inbreuk maakten op mijn intellectuele eigendomsrechten. Een aantal keer kreeg ik als reactie dat ze niet wisten dat het niet mocht en werd de content direct verwijderd. Bij andere sites kreeg ik een ontwijkende reactie en hadden ze duidelijk geen zin om de dubbele content te verwijderen. Helaas moest ik ze daarom sommeren de content te verwijderen en dreigen met gerechtelijke stappen, waarna de boel vervolgens wel werd verwijderd.

    Bij mij hoefde het zover niet te komen, maar als het bovenstaande ook niet helpt, kan je ook nog een verwijderingsverzoek bij Google indienen. Bijvoorbeeld als de ander botweg blijft weigeren, of zich op het standpunt stelt dat jij hun content hebt gekopieerd. Dat kan via dit formulier.

    Als dit allemaal niet helpt of je te lang duurt, kan je natuurlijk echt juridische stappen ondernemen. Zorg dan wel dat je een goede rechtsbijstandverzekering hebt. Dat voorkomt dat je toch nog met torenhoge advocatenrekeningen te maken krijgt.

    Marnix de Munck is actief op internet sinds 1999. Als eigenaar van Sooda internetbureau bedenkt en ontwikkeld hij met succes diverse websites waaronder internetvergelijk.nl.

Gastblog: Europa is niet gebaat bij digitaal protectionisme

Geplaatst op in Privacy, 21 reacties

fence-hek-bord-afscheiding-blokkade-concurrentie-beding-verbod.jpgOmdat ik met vakantie ben vandaag een gastbijdrage. Vandaag: Marc Steenbergen over de Europese worstelingen rond privacy en security.

De onthullingen van Edward Snowden van de afgelopen jaren hebben een veelal grimmig beeld geschetst van de spionageactiviteiten van de Amerikaanse National Security Agency (NSA). Snowden had zo’n 20 tot 25 medewerkers van het NSA-kantoor overgehaald om hun wachtwoord met hem te delen. Zo verkreeg hij toegang tot tienduizenden documenten over programma’s en andere spionagepraktijken van de NSA. Positief effect van alle onthullingen is de toegenomen aandacht voor beveiliging van informatie en protectie van data privacy. Een ander, minder positief, effect is het ontstaan van een anti-Amerikaanse houding ten opzichte van cybersecurity.

Hoewel ik de verontwaardiging over bepaalde NSA activiteiten zeer goed kan begrijpen, moeten we ons beseffen dat ook Europese landen hun geheime diensten hebben en hun bijdrage aan dit soort spionage activiteiten leveren. Neem bv. zo´n twee jaar geleden, toen bleek dat de Engelse geheime dienst, de GCHQ, jarenlang de netwerken van Belgacom (nu Proximus) afgeluisterd heeft. Of de recente openbaring dat de Duitse geheime dienst jarenlang intensief met de NSA heeft samengewerkt in het aftappen van Internetverkeer. En ook in Nederland zijn er de nodige discussies over wat onze geheime dienst wel en niet mag. Geheime diensten, het woord zegt het al, doen activiteiten die niet voor niets hun werk in het geheim, en ik ben er van overtuigd dat ieder land wat een geheime dienst heeft een potentieel “bommetje” heeft indien die activiteiten in de openbaarheid komen.Ik heb geen inzicht in de omvang van al de activiteiten van alle geheime diensten, maar … ik denk niet dat de ene geheime dienst onderdoet voor de andere.

Dat gezegd hebbende zijn er ook tal van discussies rondom met name data privacy die zich wel volledig in het daglicht afspelen. De Belgische overheid start een rechtszaak tegen Facebook voor de schending van privacyrechten. Google verzamelt zoveel informatie over miljarden bewoners van deze planeet en wordt scherp in de gaten gehouden door organisaties zoals Privacy International. En wetgeving op het gebied van informatiebeveiliging wordt aangescherpt, zowel door individuele landen alsook in de loop van 2016 voor de gehele Europese Unie. Ook hier geldt wat mij betreft weer dat het goed is dat we ons dieper buigen over wat er met data, zeker met onze persoonlijke data gebeurd. Dat geldt voor technologische ontwikkelingen die gedreven worden door Amerikaanse bedrijven, waar nou eenmaal de snelheid van technologische innovatie helaas een stuk hoger ligt dan bij ons, maar dat geldt even zo zeer voor technologische innovatie die vanuit Europa wordt gerealiseerd. En daar zijn we zelf bij, daar zijn we zelf voor medeverantwoordelijk.

Het debat rond informatiebeveiliging en data privacy in Europa heeft geleid tot wantrouwen over hoe technologiebedrijven met data c.q. gegevens omgaan. Wat mij betreft een zeer gezond wantrouwen als onderdeel van onze drive naar continue innovatie. Maar terwijl dit gezonde wantrouwen in gelijke mate van toepassing zou moeten zijn op technologiebedrijven waar dan ook ter wereld, focust zich het wantrouwen de laatste tijd met name op Amerikaanse technologiebedrijven. Deels is dat logisch want zoals hierboven reeds gesteld is de innovatiekracht in Amerika nou eenmaal groter dan die in het overgrote deel van Europa, en dus zijn er ook meer technologiegedreven innovaties die de toets moeten doorstaan. Maar deels is het ook niet logisch, sterker nog wordt ons blikveld teveel beperkt, want als innovatie niet uit Amerika komt, moeten we met dezelfde kritische blik de security en data privacy aspecten bekijken. Er lijkt af en toe achter een golf van protectionistische sentiment (“digitaal protectionisme”) ontstaan te zijn met betrekking tot opslag en verwerking van data op Europese bodem. Diverse politici en Europese bedrijven hebben pleidooien gehouden voor Europese data zones, voor opschorting van het Safe Harbor mechanisme voor gegevensoverdracht tussen de EU en de USA, en voor de ontwikkeling van een “Europese Cloud”. Dit alles heeft vooralsnog niet geleid tot concrete wetgeving of beleid, maar heeft wel een negatief effect op de adoptie van cloud diensten door Europese bedrijven. En dat vind ik een gemiste kans voor Europa!

Vorige week was er een bijeenkomst van ECP, het E-commerce Platform Nederland, over de vorming van een “digital single market” voor Europa. Dit is het ambitieuze plan van de Commissie-Juncker om de komende jaren in Europa naast de fysieke vrije markt die we al hebben ook een digitale interne markt te creëren. Op dit moment winkelt slechts 15% van de consumenten in een ander EU land, en verkoopt slechts 7% van de MKB bedrijven online over de eigen landsgrenzen. We laten kansen liggen om van 28 nationale markten 1 Europese markt te maken. Een “digital single market” met een economische omvang van €415 miljard per jaar, en met de potentie om honderdduizenden nieuwe banen te creëren.

Belangrijke componenten uit het plan werden toegelicht door de Europese Commissie en het Ministerie van Economische Zaken, dat het pakket ook nadrukkelijk in de context plaatste van het aankomende Nederlandse voorzitterschap van de Europese Unie in de eerste helft van 2016. Robert-Jan Smits, directeur-generaal Research & Innovation bij de Europese Commissie, hield een helder pleidooi voor het uitrollen van een digitale interne markt in Europa. Hij gaf aan dat de “digital single market” in de top-drie van prioriteiten voor de Commissie-Juncker staat. Hij noemde onder andere het gebrek aan vertrouwen van consumenten in e-commerce over de grens, geoblocking, een verouderd copyright, verzendkosten van pakketten, digitale veiligheid en bescherming van persoonlijke gegevens als problemen die aangepakt moeten gaan worden. Zijn collega Paul Timmers (directeur Cybersecurity) benadrukte dat er in principe geen grenzen dienen te zijn voor gebruik van data door heel Europa heen. Daarbij blijven de bestaande plannen van de Commissie omtrent cybersecurity, om trust en security goed te regelen, leidend. De heren van de Europese Commissie sloten af met een oproep tot politieke steun voor het pakket, ook vanuit Nederland, om door de gevestigde belangen (“vested interest”) heen te kunnen breken. Ze waarschuwden dat de prijs hoog zal zijn als Europa op dit gebied niet genoeg doet en dat we het risico lopen het wereldwijde initiatief kwijt te raken, juist in die industrieën waar Europa nu een voorsprong heeft.

Tijdens de discussieronde in het tweede gedeelte van de bijeenkomst heb ik gesproken met diverse aanwezigen inclusief Paul Timmers omtrent de balans tussen “we moeten in Europa alles goed regelen” en “Europa is geen eiland”. De meesten beaamden dat juist het vinden van die balans de uitdaging is, wetende dat het op 1 lijn krijgen van alle Europese landen al een hele flinke kluif is maar dat we in Europa vooral ook de verbinding moeten houden met wat er in de USA en Azie gebeurt, en daarvan moeten leren en hergebruiken wat we kunnen gebruiken. Daar waar wij ons al Europa zouden afzonderen leert de geschiedenis dat dit geen positieve impuls geeft aan economische noch sociale ontwikkeling. Daarom zeg ik: willen wij als Europa, en als Nederland, onze leidende positie behouden en mogelijk zelf uitbreiden, dan dient het pad naar de “digital single market” doorlopen te worden met een open blik naar de rest van de wereld. Een niet door emoties gedreven maar door feiten en ratio begeleid debat rond informatiebeveiliging en data privacy in Europa en tussen Europa, USA en Azie zal hier een positieve bijdrage aan kunnen leveren.

Marc is Business Development Executive bij IBM. Dit artikel representeert zijn eigen mening en staat los van de opinie van zijn werkgever.

Gastblog: Een glasvezel langs je flatraam. Moet je dat pikken?

Geplaatst op in Innovatie, 23 reacties

kabel-muur-gedoogplichtOmdat ik met vakantie ben vandaag een gastbijdrage. Vandaag: Michel Arts over de gedoogplicht om kabels langs je raam te moeten tolereren.

Op veel plaatsen wordt op dit moment glasvezel aangelegd. Dat gaat niet altijd zonder problemen. In flats heb je het probleem dat je mogelijk geen glasvezel kan krijgen als je onderbuurman, de huisbaas of de vereniging van eigenaars niet wil meewerken. Reggefiber zegt in zo’n geval zelfs: “kunt u niet zelf zorgen dat alle benedenburen mee willen werken, dan willen wij alsnog een poging wagen”. Kan Reggefiber inderdaad niets doen en kun je dus geen glasvezelaansluiting krijgen?

De Telecommunicatiewet is hier volgens mij vrij duidelijk over. In hoofdstuk 5 van die wet is de zogenaamde gedoogplicht geregeld. Dat is de verplichting van grondeigenaren om, onder bepaalde voorwaarden, de aanwezigheid van kabels t.b.v. openbare telecommunicatienetwerken te gedogen. De eigenaar moet ook gedogen dat deze kabels aangelegd en opgeruimd worden. Wel heeft de eigenaar recht op een schadevergoeding als hij daardoor schade leidt. Ook de rechthebbende van een gebouw is verplicht om onder bepaalde omstandigheden telecomkabels (en dus ook glasvezelkabels) in en aan het gebouw te gedogen. Dat is geregeld in het vierde lid van artikel 5.2:

Voor zover het voor het aansluiten van gebruikers op een openbaar elektronisch communicatienetwerk nodig is, is bovendien de rechthebbende op een gebouw verplicht de aanleg, instandhouding of opruiming van netwerkaansluitpunten en kabels in en aan dit gebouw te gedogen.

De bedoeling van de wetgever staat duidelijk in de memorie van toelichting (p. 48):

Dit betekent bijvoorbeeld voor het geval in een flatgebouw kabels moeten worden aangelegd ten behoeve van een aansluiting van een van de bewoners, de overige bewoners de aanleg, instandhouding en opruiming van deze kabels dienen te gedogen.

Om op de titel van deze gastbijdrage terug te komen: een glasvezelkabel langs je flatraam heb je dus inderdaad te pikken. Maar blijkbaar durven bedrijven als Reggefiber het niet aan om de gedoogplicht in te roepen. Op de website van de Autoriteit Consument & Markt (ACM) vond ik een besluit van de OPTA (Onafhankelijke Post en Telecommunicatieautoriteit, een van de voorlopers van de ACM) uit 2002 waarin aan de eigenaar van een flatgebouw een last onder dwangsom werd opgelegd omdat hij geen medewerking verleende aan de aanleg van twee KPN-aansluitpunten. Een last onder dwangsom betekent dat je een dwangsom moet betalen als je je niet houdt aan wat er in dat besluit is vastgelegd. Het ging hier om een flatgebouw waar geen KPN-infrastructuur aanwezig was. De eigenaar wilde niet verder gaan dan het verlenen van toegang tot een aansluitkast van concurrent Lijbrandt Telecom (KPN zou dan met Lijbrandt Telecom een contract moeten afsluiten voor het gebruik daarvan). Volgens de OPTA had KPN het recht om eigen kabels te leggen tot in de woning van de klanten.

In het besluit van de OPTA ging het om toegang tot een gemeenschappelijke ruimte van een flatgebouw. De ACM kan volgens mij een soortgelijk besluit ook opleggen aan een bewoner die weigert om toegang te verlenen tot zijn woning voor de aanleg van een glasvezelkabel voor zijn bovenbuurman. In de voorlopers van de Telecommunicatiewet (Telegraaf- en Telefoonwet 1904 en de Wet op de telecommunicatievoorzieningen) stond zelfs een bepaling die de PTT, en later KPN, de mogelijkheid gaf om aan de burgemeester of kantonrechter een last tot binnentreden te vragen om tegen de wil van de bewoner een woning binnen te treden voor de aanleg, instandhouding en opruiming van kabels.

In de Telecommunicatiewet ontbreekt een dergelijke bepaling. In de Algemene wet bestuursrecht staat echter een vergelijkbare bepaling die van toepassing is indien een bestuursorgaan tot het toepassen van bestuursdwang bevoegd is. Volgens die bepaling (artikel 5:27) kan een bestuursorgaan (zoals de ACM) zelf een machtiging tot binnentreden afgeven. Artikel 5.2 van de Telecommunicatiewet is een bepaling die de ACM via bestuursdwang kan handhaven. Dus de ACM kan de binnentredingsbepaling uit de Algemene wet bestuursrecht ook toepassen m.b.t. de gedoogplicht.

Samenvattend kunnen we dus stellen dat een benedenbuurman, verhuurder of een vereniging van eigenaars moet meewerken als een of meerdere bewoners glasvezel willen hebben. Het is dan ook onbegrijpelijk dat er woningcorporaties (zoals in Almere) zijn die zelfs niet willen dat de glasvezel via een stalen gootje aan de buitenkant van de flat aangelegd wordt. Wat vinden jullie? Moeten glasvezelbedrijven als Reggefiber zonodig een beroep doen op de wettelijke gedoogplicht of moeten ze het huidige beleid handhaven?

Michel Arts heeft elektrotechniek gestudeerd aan de Technische Universiteit Eindhoven en is antenneontwerper bij ASTRON. Naast techniek gaat zijn persoonlijke belangstelling uit naar (de geschiedenis van) auteursrecht, mediarecht en telecommunicatierecht.