De politie kijkt mee bij je koevoetaankoop, mag dat?

Geplaatst op in Regulering, 36 reacties

Als je bij bouwmarkten in Ede, Veenendaal, Wageningen en Barneveld binnenkort een koevoet, beitel of grote schroevendraaier koopt, kijkt de politie mee. Dat las ik bij De Gelderlander. De bouwmarkten hebben met de politie afgesproken dat deze beelden mag inzien van transacties om te bepalen of daar ‘bekenden’ op te zien zijn. Deze krijgen dan een “we hebben je in de smiezen vriend”-bezoekje en worden zo hopelijk afgehouden van strafbaar gedrag met die koevoet, beitel of schroevendraaier. Maar eh, huh, de politie die iedereen bekijkt die een breekijzer koopt?

Camerabeelden bevatten persoonsgegevens, je ziet er immers op hoe personen eruit zien en vaak ook nog eens hun ras of etnische afkomst. Daarmee moet dat gebruik te rechtvaardigen zijn onder de Wet bescherming persoonsgegevens.

Specifiek voor de politie is er nog een andere wet: de Wet politiegegevens. Deze gaat grotendeels analoog op, maar is primair bedoeld voor situaties waarin persoonsgegevens van burgers in bestanden gaan. Dat lijkt hier niet aan de orde. Men kijkt op beelden, herkent al of niet mensen en pas als iemand wordt herkend, gaat er wellicht iets in het zakboekje of de kompjoeter genoteerd worden.

Een duidelijke rechtvaardiging kan ik zo niet bedenken. Het voelt heel creatief om zo de grenzen van de privacywetgeving op te zoeken. Ik zou het bepaald vreemd vinden als er een agent in de winkel stond die iedere koevoetkoper streng aankijkt en “ken ik jou niet ergens van vriend”. En waarom zou dat dan wel moeten kunnen met camerabeelden?

De bedrijven hebben volgens mij een lastiger parket (hah, hij zei parket en het zijn bouwmarkten). Ze mogen camerabeelden ter beveiliging van de kassa’s of de voorraad maken, maar die beelden mogen dan alleen voor dat doel worden gebruikt, of voor doelen die in direct verband staan met dat oorspronkelijke doel.

Beelden aan de politie laten zien omdat iemand op een gestolen scooter in beeld was, kan ik me nog net voorstellen als “in verband met dat doel”. Maar “wij willen graag kijken of iemand die nog geen misdrijf heeft begaan, bij u wat kocht waarmee dat wel zou kunnen” vind ik toch een trapje (haha, doet ie het weer) verder dan dat.

Wat dat betreft was Rejo Zengers tweet van gisteren (weliswaar in andere context) heel erg spot-on.

Arnoud

Misbruik van de DMCA, hoe werkt dat eigenlijk?

Geplaatst op in Ondernemingsvrijheid, 13 reacties

youtube-dmca-takedown-noticeOnlangs las ik bij Popehat weer een prachtig verhaal over hoe de DMCA misbruikt wordt om onwelgevallige meningen te verwijderen. Het ging hier om een videospelmaker die een recensie op Youtube niet beviel en deze wegens auteursrechtschending weg liet halen. Dat is natuurlijk een werkelijk schandálige inbreuk op free speech en the American way. Nee maar serieus: kan dat zomaar, iets weg laten halen via de DMCA als de inhoud je niet bevalt?

De DMCA oftewel Digital Millennium Copyright Act is een aanpassing aan de Amerikaanse Auteurswet die onder meer een beperking van aansprakelijkheid voor internetdienstverleners zoals webhosters regelt. Zij zijn niet aansprakelijk voor auteursrechtinbreuk door een handeling van een gebruiker, mits ze maar direct na een klacht het materiaal offline halen. De gebruiker mag vervolgens reageren op de klacht, en daarna mogen klager en gebruiker het met elkaar uitzoeken en zit de provider er niet meer tussen.

Of nou ja, ik zeg wel beperking maar eigenlijk is het weer een verruiming: op grond van eerdere wetgeving (de Communications Decency Act, CDA) was een provider in de VS namelijk nérgens voor aansprakelijk als klanten of gebruikers het online zetten. Of het nu ging om smaad, haatzaaien, privacyschending of kinderporno: geen aansprakelijkheid want het gaat hier om meningsuitingen en daar is men fel op in de VS. Maar auteursrechten zijn ook heel belangrijk, dus vandaar dat die wél weg moesten na een klacht.

In ieder geval, dat is dus het proces dat de DMCA introduceerde. Na een klacht (notice) gaat het materiaal offline (takedown) en daarná kijken we eens of dat terecht was en hoe en wat. En de klager moet weliswaar een gezworen verklaring doen, maar die betreft alleen het feit dat hij namens de auteursrechthebbende spreekt. Formeel is het niet verboden een DMCA notice in te dienen terwijl je weet of redelijkerwijs moet weten dat de publicatie geen auteursrechtschending oplevert.

Want nee, een recensie met daarin videobeelden van een spel zal niet snel auteursrechtschending zijn onder Amerikaans recht. Zoiets wordt al heel snel ‘fair use’ genoemd: het opnemen van delen van een werk voor commentaar (al dan niet abject en infaam, dat mag immers van free speech) daarop is in principe legaal.

Maar negatieve reviews zijn bepaald onprettig, dus het auteursrecht biedt dan een haakje een klacht in te dienen. Een tekstuele review is niet aan te pakken vanwege die CDA: je kunt de provider niet aanklagen wegens beweerdelijke smaad. Maar eentje met beeld of geluid uit je spel kan wél: auteursrecht immers. En onder Amerikaans recht hoeft/mag de provider géén inhoudelijke afweging maken: na een klacht gaat het werk offline en daarna gaan we praten. Hinderlijk, zeker bij bedrijven als Youtube waar het hele proces automatisch gaat en je bovendien na drie klachten je account verliest.

In Europa zijn de regels iets anders. Een provider is niet aansprakelijk voor wat hij doorgeeft, mits hij maar ingrijpt bij terechte klachten. Dat betreft niet alleen auteursrechten maar ook bijvoorbeeld smaad, privacyschending of (in theorie) het ten onrechte gebruiken van de meester-titel door een gebruiker. De provider moet de klacht dus inhoudelijk onderzoeken, en als deze evident juist is, het materiaal offline halen. Hij mag daarbij de input van de gebruiker vragen.

Er zit dus in Europa geen automatisme in dat na een klacht het offline móet. Dat maakt de discussie iets fairder, hoewel een provider natuurlijk nog steeds snel kan beslissen dat de klacht terecht is. En met goede algemene voorwaarden is een tegenclaim wegens te snel offline halen snel te pareren.

Ik moet zeggen, ik weet niet welk systeem fairder is. Het Amerikaanse systeem is te automatiseren, en je vangt alleen de speciale gevallen op waarin mensen piepen voor handmatige afhandelingen. Bovendien is auteursrecht nog wel te beoordelen, in tegenstelling tot zeg een privacyschending of dat voeren van de mr-titel. In het Europese systeem moet je elke klacht evalueren en dat levert meer werk op, zeker als je ook in andere rechtsgebieden moet oordelen. Maar het is iets gebalanceerder omdat een takedown niet zomaar mag gebeuren.

Arnoud

Hela, volgens de nieuwe polisvoorwaarden mogen ze me reclame mailen?

Geplaatst op in Privacy, 13 reacties

spam-verboden.pngEen lezer vroeg me: Bij mijn nieuwe zorgpolis zat een tekst in kleine lettertjes en ik vroeg me af of dit wel legaal is?<br/>

Het verzamelen en verwerken van uw persoonsgegevens is nodig voor het aangaan en uitvoeren van de verzekering(en). De doeleinden waarvoor uw persoonsgegevens worden gebruikt, zijn uitgebreid. Wij kunnen uw gegevens ook gebruiken:
– voor werving voor onze eigen en gelijksoortige diensten en producten en daarbij behorende marketingactiviteiten (tot 1 jaar na beëindiging van de verzekeringsovereenkomst).

In een privacyverklaring of polisfolder is het niet mogelijk om toestemming op te eisen om marketingactiviteiten uit te mogen voeren. Toestemming onder de privacywet moet namelijk apart en expliciet worden gegeven, anders is deze niet rechtsgeldig.

Specifiek in deze situatie is toestemming echter niet nodig. Het is namelijk legaal om reclame en direct marketing per mail naar je klanten toe te doen zonder toestemming. Dit staat expliciet als uitzondering in de Telecommunicatiewet.

Wel moet je in die situatie aan een aantal eisen voldoen:

  • Het moet gaan om betaalde product- of dienstafname;
  • Het moet gaan om reclame voor eigen producten of diensten;
  • Producten of diensten moeten verwant zijn aan hetgeen de klant afneemt;
  • Elke reclameuiting moet een afmeldoptie hebben;
  • Bij verkrijging van de persoonsgegevens moet gemeld zijn dat men dergelijke reclame wil sturen;
  • De klant moet op dat moment bezwaar hebben kunnen maken (“verzet”) tegen dergelijke reclame.

Deze tekst in de folder lijkt bedoeld om aan de enalaatste eis te voldoen. Maar er zal ook ergens een mogelijkheid moeten zijn om bezwaar te maken, en die zagen we in de folder zo snel niet.

Natuurlijk, je kunt altijd de helpdesk bellen en die kunnen dit vast verwerken. Maar volgens mij is dat niet genoeg; je moet “bij de verkrijging” de gelegenheid bieden om bezwaar te maken. En achteraf de helpdesk bellen “hee doe eens niet” is volgens mij niet bij maar na de verkrijging.

Arnoud

Mag de Voedsel- en Warenautoriteit je verbieden te bloggen over voedingsmiddelen?

Geplaatst op in Ondernemingsvrijheid, 43 reacties

Diverse lezers vroegen me, in verschillende bewoordingen:

Ik heb een blog/site over voedingssupplementen, gekoppeld aan een webshop/met affiliatelinks naar webshops waar je deze kunt kopen. Op de blog/site meldde ik dat deze supplementen je gezonder maken, maar nu kreeg ik een brief/mail van de Nederlandse Voedsel- en Warenautoriteit dat ik de wet overtreed. Mag je werkelijk niet bloggen over een voedingssupplement en dan zeggen dat het goed voor je is? Heb ik dan geen vrijheid van meningsuiting meer?

De Warenwet verbiedt (art. 20) het aanprijzen van levensmiddelen met medische claims wanneer je dat “in de uitoefening van een beroep of bedrijf” doet. Een verkoper van vitamines mag dus niet zeggen dat deze verkoudheid verminderen, bijvoorbeeld.

Iemand die blogt “voel me een stuk beter met een megadosis vitamine C” schendt de Warenwet niet. Maar iemand die in een blog die vitamine C-potjes aanprijst als goed voor je gezondheid én er meteen een linkje of bestelformulier bij hangt, overtreedt wél de wet.

Het moet gaan om commerciële uitingen oftewel reclame. En hoewel ook reclame valt onder de uitingsvrijheid, is het algemeen aanvaard dat reclame eerder aan banden mag worden gelegd dan een ‘gewone’ uiting, zoals een journalistiek stuk.

Sommige vraagstellers verbaasden zich over het feit dat ze meteen een boete opgelegd kregen of de kosten van een verplichte herinspectie moeten betalen. Ook dat klopt wettelijk: het is niet de bedoeling dat je verboden uitingen doet en daarmee pas ophoudt als de NVWA je aanspreekt. Een boete of kosten zijn een prikkel om je te dwingen meteen conform de wet te handelen.

Arnoud

Het (auteurs-)recht van de beeldbank versus het publiek domein

Geplaatst op in Intellectuele rechten, 17 reacties

beeldbank-amsterdam-foto-publiek-domeinIk had het al vaker gezien maar nu een lezer me er ook op wees, ga ik er toch eens wat van zeggen. De lezer had de Beeldbank Stadsarchief Amsterdam gevonden en ontdekt dat daar een auteursrechtvoorbehoud werd gemaakt. Dat terwijl er toch ook evident publiekdomeinfoto’s in dat archief staan (zoals van fotograaf Jacob Olie, overleden in 1905, van het plaatje hiernaast). Wat krijgen we nou?

De auteursrechtvermelding staat niet heel prominent in beeld, ik zie linksonder “© Stadsarchief Amsterdam” en een link naar een colofon. Mijn eerste gedachte is dan ook, dat is gewoon een generiek tekstje dat men in het sjabloon heeft opgenomen. De auteursrechtvermelding slaat dan op de layout van de site en/of dient als een aanduiding van wie de uitgever/rechthebbende van de site is. En je moet dan per foto maar uitzoeken wie er auteursrechten heeft.

Ook apart vond ik deze in het colofon:

Iedere poging de watermerken uit de afbeeldingen te verwijderen is uitdrukkelijk verboden.

Dit lijkt te zijn geïnspireerd door artikel 29b Auteurswet, dat het verwijderen van makersaanduidingen verbiedt. Want het is volgens lid 1 verboden “informatie betreffende het beheer van rechten” te verwijderen, en

Onder «informatie betreffende het beheer van rechten» wordt in dit artikel verstaan alle door de maker of zijn rechtverkrijgenden verstrekte informatie welke verbonden is met een verveelvoudiging van een werk of bij de openbaarmaking van een werk bekend wordt gemaakt, die dient ter identificatie van het werk, dan wel van de maker of zijn rechtverkrijgenden, of informatie betreffende de voorwaarden voor het gebruik van het werk, alsmede de cijfers of codes waarin die informatie is vervat.

Een watermerk met makersaanduiding zou hieronder vallen. Echter, dit verbod geldt dus alleen ten aanzien van nog beschermde foto’s.

Gezien deze FAQ van de Gemeente pretendeert men niet zelf auteursrechten te claimen op deze foto’s. Er wordt hier wel gesproken van toestemming vragen, maar zo te zien gaat het dan meer om een voorwaarde gekoppeld aan de dienst van het uitleveren van een hoge-resolutieversie van de foto’s. Op zich mag dat, hoewel ik het persoonlijk wat onsympathiek vind, zeker als het een beeldbank van een overheidsdienst is. Een publieke dienst moet het publieke domein publiek houden, lijkt me.

Arnoud

Vandaag bestaat ICTRecht tien jaar en daar ben ik trots op

Geplaatst op in Informatiemaatschappij, 27 reacties

ictrecht-tien-jaarVandaag vieren we dat mijn bedrijf ICTRecht tien jaar geleden haar eerste inschrijving bij de Kamer van Koophandel deed. En daar ben ik trots op. Vandaag even een korte terugblik.

Het jaar 2004 bracht ons onder meer TheFacebook, Gmail, Myspace en de beursgang van Google. Op juridisch gebied was er ook het nodige te beleven: Windows en Lindows maakten ruzie over het merk van de laatste, de Hoge Raad deed een uitspraak over het Kournikova-virus en de rechtbank Rotterdam bepaalde in een van de eerste hyperlinkvonnissen dat het embedden van een foto inbreuk opleverde. Gelukkig is dat nu geen geldend recht meer.

Heel hard was ik hier nog niet mee bezig; ik werkte nog bij Philips en zat onder meer in China in dat jaar voor de IP Academy. Mijn site Ius Mentis bestond al wel maar richtte zich met name op intellectueel eigendom – rechten van de geest, waar de naam door ingegeven was. Pas in 2007 startte ik mijn blog. Wel leuk om te vermelden dat “blog” het woord van het jaar was in 2004.

In 2008 maakte ik de overstap naar ICTRecht en daar heb ik geen seconde spijt van gehad. Met Steven Ras hebben we het bedrijf opgebouwd tot de bv met zestien mensen die het nu is. We zijn geen gewoon kantoor. Ons doel is continu innoveren en nieuwe dingen verzinnen.

En dat doen we. Onze generatoren lopen als een tierelier, maar ook onze boeken en ons tijdschrift worden veel afgenomen. We zijn begonnen met juridische trainingen, en die komen er volgend jaar nog meer. Wat die generatoren betreft, het blijft me verbazen dat iets dat als grap op deze blog begon, nu zo’n gat in de markt blijkt te zijn.

Overigens nog dank aan iedereen die destijds heeft meegedacht en -gediscussieerd over inhoud en opzet van die generatoren. Want dat blijf ik één van de waardevolste dingen van deze blog vinden: altijd nuttig en relevant commentaar, interessante discussies en inbreng over de meest uiteenlopende onderwerpen. Van aanvullingen met jurisprudentie tot 3D-rendermogelijkheden, bugs in de CSS en het opzoeken van een lettertype, er is altijd wel iemand die het weet. En dat vind ik fantastisch.

Arnoud

Nee, verzending op risico consumentklant kan ook niet met een keuzemenu!

Geplaatst op in Ondernemingsvrijheid, 15 reacties

doos-pakket-beschadigd.jpgEen lezer vroeg me:

Bij een webwinkel zag ik de volgende opties voor verzending:
– Verzenden per TNT envelop post (risico voor klant)
– Verzenden per TNT pakket post
Is dit legaal, kan men op deze manier het risico werkelijk bij de klant leggen? De winkel zegt van wel omdat je zo zelf een bewuste keuze maakt. Maar als het zo makkelijk is om om de wet heen te komen, dan klopt er toch iets niet?

Volgens de wet (art. 7:11 BW) ligt het risico van bezorging van een koop op afstand bij de verkoper tot het moment van aflevering bij de koper. Onder de oude wet gold daarbij dat je daarvan mocht afwijken, maar niet in de algemene voorwaarden gebeuren (art. 7:6 lid 2 BW, oud).

De achterliggende gedachte bij deze webwinkel is dat als je mensen expliciet laat kiezen tussen twee opties, er geen sprake is van een afwijking in algemene voorwaarden. Immers een individueel onderhandeld beding is per definitie geen algemene voorwaarden. Die zijn namelijk opgesteld om in gelijkluidende vorm in meerdere overeenkomsten gebruikt te worden.

Alleen: deze twee opties zijn “opgesteld om in gelijkluidende vorm in meerdere overeenkomsten gebruikt te worden” en van onderhandelen over de inhoud is geen sprake. Je mag zeggen welke voorwaarde je wilt laten gelden, maar dat maakt de voorwaarde an sich niet minder algemeen. Dus wat mij betreft zijn dit nog steeds gewoon algemene voorwaarden en is deze vorm van afwijken van 7:11 BW juridisch niet toegestaan.

Bovendien is de wet van de zomer aangepast: artikel 6 noemt artikel 7:11 BW in het geheel niet meer. Het is nu per definitie onmogelijk om een consument op welke wijze dan ook akkoord te laten gaan met vervoer op zijn risico.

De enige escape is nog het nieuwe lid 2 van artikel 7:11 BW:

In geval de koper een vervoerder aanwijst en de keuze voor deze vervoerder niet door de verkoper wordt aangeboden, gaat het risico over op de koper op het moment van ontvangst van de zaak door de vervoerder.

Dit gaat over de situatie dat de consument zelf zegt, stuur het maar met PostNL (of een andere vervoerder die niet in het lijstje staat op de site). Dan en dan alleen mag de winkel zeggen “prima maar dan is het risico voor jou”. Een webwinkel zou dit kunnen automatiseren door in het lijstje “Anders (op uw risico)” op te nemen en bij die keuze een invulveld te tonen waarbij je naam + contactgegevens van die vervoerder invult.

Arnoud

Heb je van beide ouders toestemming nodig om een kinderfoto op Facebook te zetten?

Geplaatst op in Privacy, 22 reacties

nikon-camera.jpgEen lezer vroeg me:

Bij het verjaardagsfeestje van mijn zoon heb ik alle ouders gevraagd om toestemming om wat foto’s op Facebook te zetten. Die kreeg ik, maar achteraf kreeg ik van een (niet bij het feest) aanwezige vader een licht verbaasde mail waarom ik dat zo deed. Na uitleg dat zijn vrouw dit goedgekeurd had, vond hij het ook goed, maar ik vroeg me toen af: had hij het kunnen verbieden, oftewel was mijn toestemmingsvraag wel juridisch in orde?

Voor privacygerelateerde zaken van kinderen (personen onder de zestien) is inderdaad in beginsel toestemming van de ouders nodig. Dat staat in de Wet bescherming persoonsgegevens (Wbp). Er zijn wel uitzonderingen maar die zijn erg beperkt en volgens mij niet relevant bij een verjaardagsfoto. De vraagsteller heeft het dus correct aangepakt.

Wanneer beide ouders het gezag hebben over het kind, moeten ze eigenlijk allebei toestemming geven. (Overigens moeten ze daarbij ook het belang van het kind in het oog houden.) Dit zou echter een lastige situatie geven voor personen als de vraagsteller; heb je net een duidelijk ‘ja’ gekregen van de moeder, komt de vader een dag later met ‘ho ho nee nee’. Wat moet je dan?

De Wbp regelt dit niet expliciet, dus je moet dan terugvallen op de algemene regels uit het recht. En die bieden gelukkig een regel voor dit soort situaties. Art. 3:35 BW bepaalt dat als je redelijkerwijs mag vertrouwen op iemands mededeling dan is die persoon eraan gebonden. En art. 3:61 BW zegt dat als je erop mag vertrouwen dat een persoon namens een ander mag spreken, dat dan die ander eraan is gebonden.

De vraag is natuurlijk altijd wanneer je van redelijkerwijs gegeven vertrouwen mag spreken, maar specifiek bij de situatie dat een ouder een mededeling doet over wat er wel of niet mag met een kinderportret zou ik dat eigenlijk altijd wel willen aannemen. Het is volstrekt irreëel om van de wederpartij te verwachten dat die na zo’n toezegging nog de vader zou moeten benaderen om een bevestiging te krijgen.

Wel is het zo dat toestemming gegeven onder de Wbp te allen tijde kan worden ingetrokken (art. 5 Wbp). Dus zelfs als je onder bovenstaande redenering echt bindende toestemming hebt verkregen van moeder én vader, dan moet je na intrekking (wat die vader dan kan doen) de foto alsnog verwijderen of het betreffende kind uitblurren.

Je zou natuurlijk tegen de intrekking kunnen inbrengen dat je dáár twijfels hebt over de bevoegdheid mede namens de moeder te spreken. In gewone taal “sorry willen jullie dit eerst even onderling afstemmen en dán zeggen wat je wilt” reageren dus.

Arnoud

Mag een Goede Samaritaan monitoren of je Twitterfeed suicidaal zou kunnen zijn?

Geplaatst op in Ondernemingsvrijheid, Uitingsvrijheid, 11 reacties

samaritans-radar-suicide-waarschuwen-twitterDe Good Samaritans, een crisishulpverlener, lanceerden onlangs de Radar-dienst. Deze leest mee in je Twitterfeed en geeft een signaal als iemand in je feed suicidaal lijkt te zijn. Dat gaf behoorlijk wat ophef, want de dienst kan misbruikt worden door trollen die een kwetsbaar iemand eens goed te grazen willen nemen. Plus, het is een verwerking van persoonsgegevens en mag dat allemaal wel?

Ik dacht eerst dat Radar zélf op Twitter riep “let op, deze gebruiker zit in de problemen, praat eens met hem/haar” maar het blijkt een seintje te zijn naar de gebruiker die deze installeert. En dan komt het voor mij neer op een steunmiddel, iets automatiseren dat ik zelf ook kan als ik de hele dag iedereen lees die ik volg. Ik zie daar eerlijk gezegd het probleem niet mee.

Natuurlijk, het is een verwerking van persoonsgegevens. Het Lindqvist-arrest bepaalde al een tijd geleden dat het op internet melden dat iemand haar enkel verzwikt heeft, een verwerking van persoonsgegevens oplevert. Juridisch gezien zijn de Samaritans een bewerker namens de gebruiker – die zet de tool aan en besluit op welke feed deze losgelaten wordt. Daarmee moet die gebruiker zorgen voor adequate toestemming of een andere verwerkingsgrond.

Je zou kunnen zeggen dat dit wellicht een “vrijwaring van een vitaal belang van de betrokkene” oplevert, of anders de restcategorie van het dringend eigen belang. Maar problematisch is wel dat er geen schriftelijke bewerkersovereenkomst is tussen de gebruiker en de Good samaritans. Maar nee, die is er ook niet tussen, eh, elke andere dienst die iets met Twitter (of Facebook) doet en de gebruikers daarvan.

Ja, ik ben cynisch vanochtend. De Wbp-gerelateerde ophef voelt voor mij namelijk als een tikje er met de haren bijgesleept. Ik zie dat de laatste tijd vaker: men is het niet eens met een nieuwe dienst of met een actie van de een of ander, en dan wordt de Wbp erbij gepakt om te betogen dat dit een onrechtmatige verwerking van persoonsgegevens (óhh hóhh) is. En wat heb je daarop te zeggen, he, nou nou nou? Vuile verwerker van persoonsgegevens dat je d’r bent, nog erger dan Facebook want je hebt niet eens een bewerkersovereenkomst.

In plaats van de werkelijke vraag te stellen: vinden we deze dienst nuttig of niet. De Wbp is geen stok om innovatie mee stuk te slaan. Toch?

Arnoud

Mag een forum IP-adressen van een klager matchen tegen zijn gebruikers?

Geplaatst op in Security, 11 reacties

blog-ip-adres.pngVia een lezer (dank) vond ik een interessante discussie bij Tweakers: een bedrijf werd besproken op het forum van de techsite, waarna het bedrijf bij het beheer ging klagen dat er hackpogingen werden ondernomen vanuit Tweakers. Waarop het beheer van Tweakers meldde dat personen die zoiets zouden doen, een ban zouden krijgen. Herrie in de tent natuurlijk, onder meer over de vraag of T.net wel mocht kijken naar IP-adressen die door dat bedrijf waren aangeleverd. En waar stond dat dan in de wet?

De pest met internetrecht is dat er bar weinig concrete aanknopingspunten zijn om een onderbouwde uitspraak te kunnen doen. Zo zijn er eigenlijk geen fatsoenlijke rechtsbronnen die over persoonsgegevens in ICT-security gaan, laat staan zo specifiek als wat hier aan de hand is. Je kunt als jurist weinig meer doen dan speculeren, pardon je deskundige mening geven. Dus nou ja, dat doen we dan maar.

Het bedrijf leverde IP-adressen aan van vermeende kwaadwillenden, en Tweakers bekeek of die IP-adressen op dat moment ook in gebruik waren bij ingelogde gebruikers. Dat is een verwerking van persoonsgegevens, omdat het hier immers gaat om IP-adressen van personen (of proxy’s maar dat terzijde).

De Wbp noemt 6 gronden voor verwerking van persoonsgegevens, waarvan normaal de toestemming en de eigen dringende noodzaak de twee meest relevante gronden zijn. (Een derde is de noodzaak in verband met nakoming overeenkomst, bv. een adres geven aan de post omdat je een bestelling wilt versturen.)

Van een eigen dringende noodzaak is sprake als je een eigen belang hebt dat zwaarder weegt dan de privacy, en waarbij de maatregel die je neemt echt absoluut nodig is om dat belang te dienen. Het kan niet een onsje minder en er is geen alternatief. In principe moet je hierbij een opt-out bieden als dat enigszins te doen is.

Op je site IP-adressen loggen om hackpogingen te signaleren, is wat mij betreft een evident voorbeeld. Het kicken of bannen van je gebruikers wegens overtreding van de gebruiksvoorwaarden lijkt me er ook onder vallen, en wellicht is dat wel te rechtvaardigen als gebruik ten behoeve van nakoming overeenkomst. Het bewijzen van wanprestatie vind ik daar wel onder passen.

(Overigens – maar dit is offtopic denk ik – vind ik niet dat “ik heb geen zin meer in je, ga van mijn server” rechtsgeldig is. T.net heeft een overeenkomst met zijn gebruikers en die mag niet zomaar per direct en zonder grond worden opgezegd.)

Specifiek hier zit het punt dat partij A een persoonsgegeven* verstrekt aan B, waarna B daarmee aan de slag gaat. A heeft een noodzaak (loggen/decteren intruders) en B ook (schorsen van wanpresterende gebruikers) maar mag je die noodzaken combineren?

Ik ben geneigd te zeggen van wel. Als T.net een noodzaak heeft om in te grijpen bij hackpogingen waarbij T.net een wezenlijke schakel was, dan mag ze daarbij ook extern aangedragen bewijs hanteren. Het zou wat gek zijn dat T.net zelf bewijs moet vergaren als een derde klaagt “er hackt iemand vanaf jullie site”. Meer algemeen wil het er bij mij niet in dat een op zich legitieme wet een blokkade zou opleveren voor op zich legitiem gedrag. Wat zou het alternatief zijn, dat T.net zijn gebruikers vraagt “jongens mag ik van jullie nagaan wie er crimineel bezig is ja/nee”?

Arnoud