Mag de NS ineens virtuele passen weigeren omdat daarmee zwart wordt gereden?

Geplaatst op in Ondernemingsvrijheid, Security, 27 reacties
Foto: Wikimedia Commons

Een lezer vroeg me:

Recent kwam in het nieuws dat ov-bedrijven wegens fraude virtuele betaalpassen blokkeren voor in- en uitchecken. Ik snap het probleem, want door de virtuele kaart na het uitchecken te verwijderen was het niet mogelijk om reiskosten bij de gebruiker af te schrijven. Maar toch voelt het disproportioneel. In plaats van deze kaarten te blokkeren kon Translink de afgelopen 2 jaar ook bouwen aan een systeem om voor specifiek deze kaarten wel een reservering te doen. Mag dit zomaar?
De NS spreekt van “serieus misbruik”, persoonlijk vind ik het moeilijk voorstelbaar dat zo veel mensen zó vaak virtuele kaarten aanmaken om gratis te reizen. Maar ik woon dan ook permanent in een ivoren toren.

De wet kent geen expliciete mechanismen over hoe je om moet gaan met fraude. Afgezien van heel algemene regels zoals redelijkheid en billijkheid zul je dus niets vinden om te toetsen of het mag, wat de NS hier doet. Maar zeker voor de korte termijn lijkt me dit een prima maatregel. Dit sluit het lek en dan ontstaat er ruimte na te gaan hoe je dit structureel oplost.

Natuurlijk dupeer je in de tussentijd de legitieme reizigers die met virtuele passen in- en uit willen checken (en ook gewoon willen betalen achteraf), maar ik zie niet goed hoe je dát 1-2-3 tegengaat.

Zou het als permanente maatregel mogen? Ook hier heeft het recht geen duidelijk antwoord op. Hoofdregel hier is dat je voorwaarden mag stellen bij een aanbod, in dit geval tot een vervoersovereenkomst. En zo’n voorwaarde mag zijn “geen virtuele pas van aanbieders X of Y”, net zoals supermarkten betalen met tweehonderdeurobiljetten mag weigeren of eisen dat je per pin afrekent.

Inderdaad, giraal geld is wettig betaalmiddel maar dat betekent alleen dat áls je een schuld hebt je die via giraal betalen rechtsgeldig voldoet. Niemand is verplicht om een overeenkomst aan te gaan met de eis dat je mág betalen met jouw betaalpas.

Heel misschien is er een haakje naar dat de NS als semi-overheid of publieke dienst mensen niet mag discrimineren. Alleen zie ik de link niet tussen je merk betaalpas en het soort kenmerken waar discriminatiewetgeving over gaat. Het is geen verboden discriminatie om mensen te weigeren omdat ze bankieren bij bank X.

Het recht zal dus geen oplossing geven voor deze situatie. Maar als de impact werkelijk zo groot is, dan zullen NS (of TLS) met de betreffende banken om de tafel gaan. Want het raakt dan de bedrijfsvoering van beiden.

Arnoud

Toezichthouder waarschuwt voor lingeriewebsite shopsapph.com

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 2 reacties

Wie lingerie koopt bij webwinkel shopsapph.com kan worden benadeeld, las ik bij Nu.nl. De toezichthouder ACM zou honderden klachten over uitbater UltraCool hebben gehad over gebrekkige levering en afhandeling van klachten. “Ook vermoedt de ACM dat er sprake is van misleiding”, zo meldt men, omdat er geen licentie van de merkhouder is.

Over de klachten kan ik niet zo veel zeggen, maar als de site ShopSapph punt kom inderdaad geen licentie voor het merk SAPPH heeft, dan is dat wel een dingetje ja.

Al geruime tijd waarschuw ik voor “Welkom bij merknaam“-sites, aanbieders die producten van anderen verkopen en daarbij wat schimmig doen over hun relatie tot de merkhouder. De klassieker daarbij is “Welkom bij Shop Sapph.com” als enige titel, en dan moet jij maar raden dat de website feitelijk wordt uitgebaat door Wim ten Brink bv.

Als je een licentie hebt, dan mag je natuurlijk de merkproducten verkopen. (Zonder mag het ook mits je ze legaal in de EU hebt gekocht.) Maar ook dan moet je duidelijk zijn over wat je relatie is. Meestal staan daar dan afspraken over in het licentiecontract, en die gaan dan boven de gewone regels.

Deze site is wel érg neutraal over de eigen bedrijfsnaam, en ik snap goed dat veel mensen denken dat ze bij de merkhouder zelf kopen. Overal wordt vanuit het merk gepraat (zoals hier) en je moet echt héél goed spitten voor je de bv en het vestigingsadres gevonden hebt. Ik had de algemene voorwaarden nodig voor een verwijzing naar “Sapphire B.V. handelend onder de naam Sapph”, en een adres waar inderdaad een ondergoedgroothandel is ingeschreven.

Bij WOS meer achtergrond:

Annique van der Zande en Olaf Peter Wagenaar, de eigenaren van deze bedrijven, kregen in 2023 via een licentie toestemming om het merk te gebruiken. De afspraak was dat zij vanaf januari 2024 maandelijks zouden betalen, maar dat gebeurde niet. … De rechtbank in Rotterdam gaf [de Sapph-merkhouder Shawn Harris] woensdag gelijk. De rechter oordeelde dat Van der Zande en Wagenaar als bestuurders persoonlijk verantwoordelijk zijn voor het voortgezet gebruik van het merk, ondanks de opzegging van hun licentie. Zij hadden volgens de rechtbank moeten weten dat dit onrechtmatig was. De website ShopSapph moet binnen drie dagen na de uitspraak offline worden gehaald. Gebeurt dat niet, dan volgen dwangsommen van duizenden euro’s per dag. Donderdagmiddag [10 juli] was de site nog online.
Ik heb het nu maandag 18 augustus dus die dwangsommen zullen aardig opgelopen zijn.

Het is in zoverre een makkelijke route, die misleiding, want dat stelt je zonder al te veel discussie in staat de koop terug te draaien. Of je te lang moest wachten en of de kwaliteit is wat je mocht verwachten is subjectiever. Maar het praktische probleem blijft dat je je recht wel moet kunnen halen. En als dat voor de merkhouder al zo moeilijk is, dan voor een consument minstens zo veel.

Arnoud

Waarom is het zo lastig schadevergoeding voor datalekken te claimen?

Geplaatst op in Privacy, Security, 10 reacties
Photo by Christian Dubovan on Unsplash

Een lezer vroeg me:

Waarom is het zo lastig om een schadevergoeding te krijgen als je gegevens zijn gelekt of misbruikt? Ondanks alle datalekken die plaatsvinden en AVG-boetes voor bedrijven zoals Meta hoor ik zelden dat gebruikers een vergoeding krijgen, terwijl het toch om hun data gaat.
Datalekken en ander misbruik van persoonsgegevens zijn helaas aan de orde van de dag. Dit is onder allerlei wetgeving gereguleerd, van AVG tot NIS2 of CRA, maar juridisch spreken we in alle gevallen van een onrechtmatige daad als gegevens niet beveiligd zijn zoals de wet eist. En algemeen geldt, wie een ander een onrechtmatige daad aandoet, moet de schade daarvan vergoeden.

Er zijn allerlei redenen waarom mensen geen schadeclaims indienen. Het is gedoe, je rechtsbijstandsverzekering dekt het niet, je moet een buitenlandse partij aanspreken of je hebt niet eens door dát je gegevens zijn misbruikt. Ook kun je een verhandeling opzetten of het datalek wel verwijtbaar is en dus geen sprake is van overmacht. In dat laatste geval is namelijk géén sprake van onrechtmatig handelen. En hoe weet jij of het bedrijf adequate beveiliging had gehanteerd?

De belangrijkste voor mij is echter dat de schade niet tot nauwelijks te kwantificeren is. Wat kost een gelekt emailadres? Hoe veel schade heb je bij een medisch dossier op straat? Bij een deuk in je auto of een omgeduwde vaas is het antwoord vrij eenvoudig. Bij letsel en smart (inclusief psychisch) kan een deskundige worden bevraagd en zijn er tabellen (zoals de smartengeldgids) waar je richtinggevende getallen uit kunt halen. Dit ontbreekt bij onrechtmatig gebruik van persoonsgegevens.

In 2023 en 2024 bepaalde het Hof van Justitie in een aantal arresten dat het géén automatisme is dat je recht hebt op geld als je persoonsgegevens onrechtmatig zijn verwerkt. Je moet echt aantonen wat je schade is, dat er concreet iets van schade is opgetreden. Dat hoeft niet hoog te zijn, maar moet er wel zijn. Dus speculatief het vermoeden dat het wel eens gebruikt kán worden door criminelen of dat een collega het zou kunnen lezen en dat dat psychische schade geeft, is allemaal niet genoeg. Toon maar aan wat er is misgegaan – én welk bedrag aan schade je daar aantoonbaar door hebt geleden.

Met name dat laatste is dus het probleem. Welk bedrag heb je geleden door een ongewenste mail of een phishingpoging? Meer dan overlast of irritatie is het vaak niet, en daar kun je geen bedrag op zetten. Misschien een paar tientjes als het frequent is, maar niemand procedeert voor een paar tientjes. Bij de diverse massaclaims rondom datalekken is dit iets minder een probleem, want een miljoen tientjes is wél een leuk bedrag om over te procederen.

In Nederland zijn enkele pogingen geweest om hogere bedragen te claimen. Dat is in een enkel geval gelukt bij een onrechtmatig gebruik van medische gegevens, maar eigenlijk in alle andere gevallen afgewezen wegens gebrek aan onderbouwing. Dus tenzij het gaat om medische gegevens of je héél concreet een factuur van schadeherstel kunt laten zien, is er geen route om geld te krijgen bij misbruik van je persoonsgegevens.

In het verleden heb ik wel gepleit voor een staffel met vaste bedragen. Datalekken kosten dit bedrag tenzij aantoonbaar anders. Ik denk nog steeds dat dat de enige echte oplossing is, maar weet dan weer niet hoe we die bedragen moeten ijken.

Arnoud

Mogen internetproviders je internetverkeer onderscheppen als je naar een phishingsite zou gaan?

Geplaatst op in Security, 9 reacties
Photo by Neattrends on Pixabay

Een lezer vroeg me:

Al een tijdje wordt in België het Belgian Anti Phishing Shield (BAPS) gebruikt. Als het Cyber Security Belgium (CCB) oordeelt dat een site een phishingsite is, maken de grote internetproviders een DNS-omleiding zodat je bij een waarschuwingspagina uitkomt. Mag dat eigenlijk wel van de Europese regels of moet dit op basis van voorafgaande toestemming?
Het BAPS is al wat jaartjes actief. Bij het CCB lees ik dat men al in 2022 “ongeveer 25 waarschuwingen naar internetgebruikers per minuut” afgaf. Haar directeur, Miguel De Bruycker, kreeg er zelfs een prijs voor.

Inbreken in internetverkeer moet in Europa binnen de regels van de Open Internet Verordening (2015/531) gerechtvaardigd worden. Hoofdregel hierbij is dat alle internetverkeer gelijk wordt behandeld en je overal bij moet kunnen. Uitzonderingen zijn alleen mogelijk als het gaat om “redelijke verkeersbeheersmaatregelen” of de expliciet genoemde gevallen van

  1. wettelijk verplichte (inclusief door rechters of toezichthouders opgelegde) blokkades of beperkingen
  2. noodzakelijke blokkades om “de integriteit en de veiligheid van het netwerk, van de diensten die via dit netwerk worden aangeboden en van de eindapparatuur van de eindgebruikers te beschermen”
  3. ingrepen om “nakende netwerkcongestie te voorkomen en de effecten van uitzonderlijke of tijdelijke netwerkcongestie te beperken, op voorwaarde dat gelijkwaardige soorten verkeer gelijk worden behandeld”.
Het CCB is geen rechter of toezichthouder, dus (a) gaat niet op. Punt (c) is niet aan de orde, dus moet de maatregel noodzakelijk zijn om eindgebruikers (de mens die in de phish dreigt te trappen) te beschermen.

Uit het beleidsdocument haal ik dat het CCB deze constructie heeft opgetuigd omdat externe partijen zoals Microsoft en Google niet altijd even snel hun lijsten bijwerken als er een Belgische phishingsite wordt gemeld. Extensies zoals SmartScreen helpen dus te weinig.

Dat is een duidelijke motivatie richting noodzaak, want veel phishingtrucs zijn gebouwd om snel resultaat te krijgen. De figuren daarachter weten dat autoriteiten (en de hostingbedrijven waar ze zitten) binnen een paar dagen wel ingrijpen, dus dat is het window waarbinnen men moet opereren. De BAPS maatregel kan binnen bij wijze van een uur genomen zijn.

Natuurlijk kan een site als vals positief op de lijst komen, terwijl geen sprake is van phishing. Maar zo’n vermelding gebeurt dankzij het oudere project BePhish waar het publiek links rapporteert. Dat maakt de kans voor mij klein dat sites valselijk vermeld worden. Ik zie dus niet meteen een reden waarom deze dienst in strijd met Europees recht zou zijn.

Arnoud

Wanneer wordt SMS 2FA nu eindelijk eens verboden?

Geplaatst op in Security, 20 reacties
OpenClipart-Vectors / Pixabay

Een lezer vroeg me:

Regelmatig zie ik nog sites en diensten waar men tweefactorauthenticatie (2FA) aanbiedt via een SMS bericht. Steeds meer experts (zoals het Amerikaanse CISA) zijn het er over eens dat dit echt niet meer kan. Nu weet ik dat de wet (art. 32 AVG) open normen kent, maar wanneer kunnen we zeggen dat dit gewoon niet meer adequaat is?
Inderdaad eist de AVG geen concrete maatregelen maar houdt zij het bij “adequate” beveiligingsmaatregelen. Of 2FA via SMS adequaat is, is dan iets dat de verwerkingsverantwoordelijke moet aantonen. En als er een datalek of ander incident was dankzij bijvoorbeeld sim swapping, dan wordt dat een lastig verhaal.

AVG-toezichthouders zijn niet erg scheutig met concrete adviezen over wat wel of niet adequaat meer is. De AP verwijst heel algemeen naar een factsheet uit alweer 2018 van de NCTV waarin men stelt “Het NIST geeft aan terughoudend om te gaan met het publieke telefoon netwerk (SMS en spraak) als authenticatiemiddel voor tweefactorauthenticatie.”

Uiteindelijk is het een risico-analyse. Als jij als organisatie de kans op sim-swapping of andere aanvallen op het SMS-kanaal verwaarloosbaar acht (bv. gezien de aard van je dienst) of je hebt aanvullende maatregelen om dergelijke aanvallen te mitigeren, dan is dat AVG-technisch prima te verantwoorden. Je moet er dus vooral over nagedacht hebben.

In de context van financiële diensten gelden de security-eisen die voortvloeien uit de PSD2 (Payment Services Directive). De daaronder liggende Strong Customer Authentication Regulatory Technical Standard (SCA RTS) schrijft in artikel 4 expliciet multi-factor authenticatie voor met een aantal randvoorwaarden. In 2018 heeft de Europese Banking Authority nog aangegeven dat SMS mogelijk voldoet voor het communiceren van inlogcodes, maar niet voor het doorsturen van inhoudelijke informatie.

Een update van dergelijke aanbevelingen is eigenlijk de enige manier om de markt in beweging te krijgen, afgezien van ernstige incidenten die met een andere 2FA voorkomen hadden kunnen worden.

Arnoud

Mag je mensen via mail vragen of ze iets van een ongeval hebben gezien?

Geplaatst op in Privacy, 16 reacties
Photo by Pixabay on Pexels

De politie heeft festival Orbit om hulp gevraagd in de zoektocht naar getuigen van een dodelijk ongeluk in Bunnik. Dat meldde RTV Utrecht onlangs. Die stuurde alle aanwezigen een mail met de vraag “of iemand die wat gezien heeft, dat bij de politie wil melden.” Kennelijk waren jullie allemaal daar, want ik kreeg nogal wat vragen “mag dat van de AVG”. Oké, omdat het nog zomervakantie is.

RTV Utrecht geeft achtergrond:

Op 26 juli botsten kort voor middernacht twee auto’s op elkaar op de A12 bij Bunnik. Een 31-jarige vrouw uit Utrecht raakte zwaargewond en overleed later aan haar verwondingen. … Eerder meldde zich al een getuige bij de politie. Diegene was onderweg naar huis na het muziekfestival. Dat bracht de politie op het idee om de organisatie om hulp te vragen.
Het muziekfestival was gesitueerd in Fort Vechten, dat naast de A12 ligt en toevallig ook vlakbij het punt van het ongeval. Onduidelijk is wat er precies is gebeurd. Dus logisch dat je als politie dan denkt dat er getuigen op het festivalterrein kunnen zijn, misschien wel met foto- of videomateriaal.

Alleen: de organisatie stuurt die mensen een mail, waarschijnlijk naar het adres dat gebruikt is voor de ticketaankoop. En dat voelt een tikje gek, want wat heeft “heb je een ongeluk op de A12 zien gebeuren” te maken met die aankoop.

Die vraag is relevant: juristen noemen dit doelbinding, gegevens mogen alleen worden gebruikt voor doelen die een duidelijk verband hebben met het oorspronkelijke doel. Een mail met extra huisregels zou prima zijn, reclame voor een ander festival niet. Een mail met “van wie is deze linkersok gevonden op het terrein” zou ik nog net vinden kunnen, beetje afhankelijk van de omvang van het festival natuurlijk.

Het ongeval staat geheel los van het festival, afgezien van de geografische nabijheid. Dan heb je AVG-technisch niet zo veel mogelijkheden. “Vitaal belang” denkt u misschien, de AVG-grondslag voor dringende medische aangelegenheden. Maar een getuige na enkele dagen is niet “vitaal” in die zin.

De enige echte grondslag die ik kan bedenken is het gerechtvaardigd belang: het festival wil de politie helpen (“gerechtvaardigde belangen … van een derde”) en meent dat de gegevensbelangen van de festivalbezoekers minder zwaar wegen dan het vinden van een getuige.

Ik zie daar wel wat in. Het is een eenmalige actie, je hoeft niet te reageren als je niet wilt, er zit geen commercieel of ander vervelend belang achter én het is een vrij ernstig ongeval waar hulp zeer welkom is. Naar zijn aard is dat dan uitzonderlijk en zwaarwegend.

Arnoud

Hof geeft opgelichte klant autobedrijf gelijk: e-mailaccount niet goed beveiligd

Geplaatst op in Security, 7 reacties
Photo by AchinVerma on Pixabay

Een klant van een Nederlands autobedrijf kon worden opgelicht omdat de onderneming het eigen e-mailaccount niet goed had beveiligd, waardoor een crimineel het kon gebruiken voor het versturen van een frauduleuze factuur. Dat meldde Security.nl gisteren. In een tussenuitspraak oordeelde het Hof Arnhem dat de gebrekkige beveiliging (ja, artikel 32 AVG) maakte dat het bedrijf aansprakelijk is voor schade die klanten daardoor lijden.

Zoals ik in 2024 blogde, is de zaak in de kern als volgt:

[Koper] heeft een auto van [het autobedrijf] gekocht. Na een betaalinstructie vanuit het e-mailadres van [het autobedrijf] stelt [de koper] het grootste deel van de koopprijs te hebben betaald op een Duitse bankrekening. Achteraf bleek dat een derde via het e-mailaccount van [het autobedrijf] een valse betaalinstructie had gestuurd.
De koper stelde het autobedrijf aansprakelijk voor het gehele bedrag (26.900 euro), met het argument dat de gebrekkige beveiliging van persoonsgegevens de AVG schond. De nepmail naar de klant – die dus echt van het bedrijf af kwam, door een snel geraden wachtwoord – is dan de onrechtmatige verwerking van persoonsgegevens.

Het autobedrijf kreeg de opdracht te bewijzen dat er wél adequaat was beveiligd. Zij kwam daarom met een ‘AVG nalevingsrapport’, wat ik kort door de bocht en tendentieus samenvat als “we zijn maar klein dus we doen ons best en we leunen op onze ISO 27001 gecertificeerde ict-leverancier, maar het gaat om weinig risicovolle verwerkingen”.

Het Hof ziet dat anders, zoals juristen dat zo fijntjes formuleren:

De gedachte achter de beveiligingsverplichtingen die de AVG oplegt, is dat bij de beoordeling daarvan aandacht wordt besteed aan de risico’s die kunnen leiden tot lichamelijke, materiële of immateriële schade voor betrokkenen. Een mogelijk risico is identiteitsfraude.
Ook als het “alleen maar” een verkoopadministratie betreft, kunnen dergelijke risico’s zich prima voordoen. Niet alleen het zeldzame geval van hier, maar ook zaken als nepaankopen op basis van de gevonden klantgegevens of fraude zoals je voordoen als de autoverzekeraar met alle autogegevens bij de hand.

Ik word dan vrolijk om te lezen dat een vaak voorkomende ergernis van mij zich ook hier manifesteert én wordt afgestraft:

In de hierboven weergegeven e-mail van [de ict-leverancier] en het rapport wordt weliswaar geschreven dát [de ict-leverancier] controlemechanismen heeft ingebouwd en ongeoorloofde toegang tot het e-mailaccount van [het autobedrijf] detecteert, maar hoe zij dat doet en welke maatregelen zij dan treft om ongeoorloofde toegang te voorkomen, is niet toegelicht en dat is precies wat het hof mist.
Als ik een euro had voor iedere privacyverklaring of securitypolicy die wel zegt dát men adequate beveiliging hanteert maar niet hóe, dan hoefde ik niet meer te werken. Een passend kader is niet een mooie serie riedels (al dan niet uit ChatGPT) en is ook niet een bulletlijst met van her den der overgetypte maatregelen:
Ook stelt [het autobedrijf] dat zij het beleid voert om ‘niet (langer) ter zake doende e-mails’ direct te verwijderen, maar een toelichting waarom dat een passende maatregel is om de persoonsgegevens op haar e-mailaccount te beveiligen, ontbreekt.
Eén specifiek punt licht het Hof er terecht uit als een zeer relevant issue:
[De ict-leverancier] en de onderzoeker geven geen toelichting op de vraag waarom het passend is dat [de ict-leverancier] bekend was met het wachtwoord van het e-mailaccount van [het autobedrijf] (). Ook is niet toegelicht welke medewerkers van [de ict-leverancier] toegang hadden tot dat wachtwoord en hoe [de ict-leverancier] heeft geregeld dat haar medewerkers daar vertrouwelijk mee om gingen. Het is bovendien niet duidelijk hoe de genoemde maatregelen zich verhouden tot de ISO 27001-certificering van [de ict-leverancier].
Het helpt ook niet mee dat het rapport niet uitwerkt hoe ondanks de “adequate maatregelen” de inlog van buitenaf op de mailacount van het autobedrijf mogelijk was geworden. Of hoe het kon dat dit wel werd gelogd maar niemand wat deed met de logs.

De kern: jij als afnemer van ict-diensten moet borgen én onderbouwen dat de beveiliging adequaat is. Doe je dat niet en het gaat mis, dan krijg jij de rekening. Ik hoop dat je het kunt verhalen op je ict-leverancier, maar dat hangt vrijwel 100% af van gemaakte afspraken over beperking van aansprakelijkheid en vrijwaring van schadeclaims.

En daar zijn we weer bij de #ictzorgplicht: als professionele dienstverlener moet je dus niet slaafs varen op beveiliging die jouw leveranciers (zeg Microsoft) hanteren. Of je klanten enkel melden dat het goed zit omdat je ISO 27001 bent. Documenteer concreet wat je doet tegen bekende risico’s en waarom dat adequaat is.

Wel moet nog bepaald worden wat de schade is en of daar een deel af moet vanwege “eigen schuld”. Maar toch: de AVG heeft meer tanden dan je denkt.

Arnoud

Zit ik aan een opensourcelicentie vast als een AI-codegenerator hier gebruik van maakt?

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 18 reacties
Photo by Mohannad Alahmad on Unsplash

Een lezer vroeg me:

Overal zie je opeens AI code generators verschijnen, die op basis van door gebruikers gegeven input of een omschrijving code genereren. Deze generators zijn getraind met allerlei code die op internet is te vinden, waarop weer allerlei verschillende licenties van toepassing zijn. Maar geldt op de uitvoer dan niet gewoon de opensourcelicentie van die bronwerken, zodat je resultaat (bij GPL) dan toch ook open source moet worden?
Het simpele geval is wanneer deze codegenerator simpelweg een lap tekst oplevert die uit een specifieke bron afkomstig is. Dergelijk letterlijk reproduceren (“regurgitation” in het jargon) gebeurt bij gewone genAI niet zo vaak, maar bij softwaregeneratoren wel omdat de context daar specifieker is en de vrije ruimte dus navenant minder.

De enige vraag is dan of dat overgenomen stuk code auteursrechtelijk beschermd is. In gevallen die ik zie, gaan bijvoorbeeld ook de comments mee en worden namen van variabelen niet gewijzigd. Dat is eigenlijk al genoeg. Bij niet-triviale codestructuren is ook wel sprake van auteursrechtelijk relevante inbreng. Bij een technisch bepaald stukje code (zoals een aanroep van een API met standaardstappen er voor en na) wordt dit twijfelachtig.

Dat de code door een AI-generator is aangedragen, is dan niet relevant. Het zit in je werk, en onder het auteursrecht ben je er dan aansprakelijk voor jegens de rechthebbende. (Bij de grote betaalde generatoren krijg je contractueel een vrijwaring of indemnification, dat is een garantie dat de leverancier je schadeloos stelt bij zo’n claim. Maar het betekent niet dat je vrij blijft van claims.)

Het is een hardnekkig misverstand dat je door het verwerken van opensourcecode in je werk je automatisch vast zit aan de licentie. Een licentie is een contractueel aanbod, en dat kun je aanvaarden maar dat hoeft niet. Echter, wijs je het af dan erken je dat je inbreuk gepleegd hebt. En dat kan leiden tot schadeclaims, plus een bevel je werk van de markt te halen (op straffe van een dwangsom). Dus het is vaak handig om het licentieaanbod te accepteren. Maar als jij liever je producten terugroept en de code vervangt, is dat juridisch aanvaardbaar.

Het lastige geval is wanneer de generator weliswaar geen lappen tekst oplevert, maar wel getraind is op al die open source code. Het is juridisch nog een open vraag of je auteursrecht schendt door een AI-model te trainen op beschermde bronwerken. Dat is namelijk wat anders dan dat de uitvoer beschermde tekst bevat.

De meningen zijn sterk verdeeld. Het ene kamp zegt “nietes, want AI-training is alleen patronen zoeken, data mining” en het andere kamp zegt “welles, want je AI was niets waard zonder het beschermde werk en dus behoort dit inbreuk te zijn”. Er lopen nu zo’n dertig rechtszaken wereldwijd waarin dit met alle mogelijke argumenten bevochten wordt. Op dit punt zou ik me gesterkt voelen door de vrijwaring van de leverancier.

Arnoud

Voor je op vakantie gaat, bestel eerst nog even een van deze boeken!

Geplaatst op in Internetrecht, nog geen reacties

De afgelopen tijd ben ik erg druk geweest met een nieuw boek én updates van twee bestaande boeken. Ze verschijnen allemaal in het derde kwartaal, maar wie voorintekent heeft ze als eerste in huis natuurlijk:

In mijn nieuwe boek Wetwijs in het digitale decennium behandel ik thematisch de wetgeving die deze en komende jaren op ons afkomt. Van Digitaldienstenverordening tot Recht van Reparatie, digitale soevereiniteit en herziening van cybersecurity.

Het boek bevat ook een nieuwe systematiek om met casussen in het digitale decennium om te kunnen gaan, en concrete stappenplannen om hiermee te werken.

Eindelijk ook in het Nederlands – én volledig geactualiseerd: AI en Algoritmen, het lesboek van onze opleiding tot CAICO maar ook zeer nuttig voor anderen in de AI compliance of governance praktijk.

De AI Act en achterliggende ethische kaders worden met vele voorbeelde en stappenplannen uitgewerkt. Je leert casussen analyseren en oplossen. Liever in het Engels kan natuurlijk ook!

Mijn boek De AI Act: Artikelsgewijs commentaar plaatst ieder artikel van de AI-verordening of AI Act in perspectief. Inclusief kruisverwijzingen, overwegingen, achtergrond en literatuur om een volledig begrip te krijgen.

Leuke voor de juristen: je krijgt er ook kleeftabjes bij, om snel je favoriete hoofdstuk, sectie of wetsartikel te vinden. En ook hier: wie liever Engels heeft, dat kan.

Deze blog gaat maandag 11 augustus weer als gebruikelijk verder. Wie nieuwstips heeft: je weet me te vinden!

Arnoud

Relatiebeding overtreden, strikt contactverbod, wel matiging boete

Geplaatst op in Internetrecht, 10 reacties
Photo by Souvik Banerjee on Unsplash

Een medewerker van een oud-klant op Linkedin feliciteren met een behaald resultaat en een nieuwe baan, mag dat? Niet als je een uitonderhandeld relatiebeding hebt waarin “ieder contact” verboden is. Het kostte een een ex-werknemer 2.000 euro. Maar uitzonderlijk is het wel.

De ex-werknemer had via LinkedIn een bericht gestuurd aan een medewerker van de gemeente Haarlem en een medewerker van een aannemersbedrijf, beiden waren klant. En niet zomaar klant: genoemd in een bijlage als specifiek een verboden partij.

Bij Salaris van Morgen leggen ze uit:

De kantonrechter stelt voorop dat het in deze zaak niet gaat om een relatiebeding dat partijen zonder voorafgaande onderhandelingen zijn aangegaan bij aanvang van een arbeidsovereenkomst. Het gaat hier om een relatiebeding dat een eerder overeengekomen concurrentiebeding vervangt en dat partijen na uitvoerige onderhandelingen zijn overeengekomen in verband met het einde van de arbeidsovereenkomst. Partijen zijn bij deze onderhandelingen bijgestaan door hun rechtshulpverlener.
Bovendien was in een bijlage nadrukkelijk uitgewerkt welke partijen onder het verbod vielen, zo blijkt uit het vonnis. Deze werknemer had zich er dus meer bewust van moeten zijn bij wie hij contact initieerde.

Het maakt niet uit dat het ging om een felicitatie in plaats van een sollicitatie. Dit is een vaker terugkerend thema: als een relatiebeding het heeft over “geen contact”, geldt dat dan ook voor gewoon menselijk contact zonder commerciële of arbeidsrechtelijke bijbedoelingen? Ja dus, in ieder geval als je nadrukkelijk in onderhandelingen dit laat staan.

Ik zou eigenlijk ook niet weten hoe je “behalve gewoon even kletsen met oud-kennissen” juridisch kunt uitsluiten. Want het kán natuurlijk ook een vorm van hengelen zijn: gefeliciteerd man, ken je mij nog, in mijn profiel staat dat ik werkzoekend ben, geniet van je dag!

Arnoud