AIVD trok grote webfora onrechtmatig leeg, dat mocht meestal

Geplaatst op in Regulering, 16 reacties

forum-discussie-post-phpbbDe inlichtingendienst AIVD heeft bij het binnenhalen van grote algemene webfora in een aantal gevallen onrechtmatig gehandeld, oordeelt de toezichthouder Ctivd in een onderzoeksrapport. Dat meldde Tweakers vorige week. Vorig jaar werd bekend in één van de vele Snowden-onthullingen dat de AIVD op internetforums inbrak en grootschalig gegevens downloadde. In de meeste gevallen was dat legaal, zo blijkt nu, maar bij algemene webforums had men toch beter moeten uitkijken.

De AIVD heeft als inlichtingen- en veiligheidsdienst brede bevoegdheden als het gaat om het vergaren van, eh, inlichtingen. De toezichthouder maakt onderscheid tussen het raadplegen van ‘open bronnen’ en het verkrijgen van afgeschermde gegevens. Een forum waar iedereen lid van mag worden, of zeg een Twitter, is een open bron en de AIVD mag daar rondkijken net als iedereen. Echter, zodra men dingen dan structureel gaat bijhouden dan gaat het schuren. Bij het grootschalig vergaren van gegevens spelen namelijk regels rond privacy en persoonsgegevens een rol.

De Wet Inlichtingen- en veiligheidsdiensten 2002 (Wiv) bepaalt namelijk (art. 13) dat de dienst in beginsel alleen persoonsgegevens mag vergaren van personen die

aanleiding geven tot het ernstige vermoeden dat zij een gevaar vormen voor de democratische rechtsorde, dan wel voor de veiligheid of voor andere gewichtige belangen van de staat;

Een forum waar een groep georganiseerde terroristen informatie uitwisselt, zou zonder meer in hun vizier moeten staan. Maar bij zeg een Fok! voelt dat iets minder dringend. En dat vertaalt zich naar de wettelijke eis dat het monitoren, hacken of anderszins gegevens vergaren bij zulke forums noodzakelijk en proportioneel moet zijn, en dat er eigenlijk geen ander middel (subsidiariteit) moet zijn om de gegevens te verkrijgen.

Bij enkele forums ging men zelfs nog verder dan alleen meelezen: er werd ook ingebroken op webforums om zo grootschalig gebruikersgegevens en berichten over te kunnen nemen. En dat is een bevoegdheid die apart is geregeld in artikel 24 Wiv:

De diensten zijn bevoegd tot het al dan niet met gebruikmaking van technische hulpmiddelen, valse signalen, valse sleutels of valse hoedanigheid, binnendringen in een geautomatiseerd werk.

Echter, deze bevoegdheid mag alleen worden uitgeoefend als dat noodzakelijk is voor de goede uitvoering van de wettelijke taken van de dienst (art. 18 Wiv). En dat was hier een probleem bij enkele van die algemene forums. Daar was niet echt een reden om databases leeg te trekken of rond te snuffelen op niet algemeen toegankelijke gedeeltes. En dan mag ook de AIVD het niet.

Verder bleek niet altijd de toestemming correct te zijn verkregen: bij hacken in servers op afstand moet de directeur toestemming geven, en dat is niet altijd gebeurd.

Het rapport raadt aan om in de toekomst hacks te beperken tot specifieke forums, of om direct na verkrijging irrelevante gegevens (van ‘onschuldige’ burgers) te wissen. Ik vraag me af hoe dat moet werken: het idee is nu juist om grootschalig data te mijnen om daarin patronen e.d. aan te treffen. Als je al weet wat je zoekt, dan zijn er betere methoden lijkt me. Big data mag dus niet voor de AIVD?

Arnoud

Moet je klantgegevens per se in Nederland opslaan?

Geplaatst op in Informatiemaatschappij, 12 reacties

disc-data-weg-bewaren-kruis.jpgEen lezer vroeg me:

Wij hebben als bedrijf behoorlijk veel data en overwegen dit nu in de cloud op te slaan. Maar mag dat wettelijk gezien of moeten we per se dit zelf in Nederland beheren?

Er is geen algemene wet of regel die bepaalt dat een Nederlands bedrijf bedrijfsgegevens in Nederland moet opslaan, of zelfs maar in Europa. Je bent daar als bedrijf dus vrij in.

De enige hierbij relevante wet die ik kan bedenken, is de Wet bescherming persoonsgegevens. Wanneer die bedrijfsgegevens iets zeggen over personen (bijvoorbeeld klantdata of personeelsadministratie) dan moeten die worden behandeld volgens deze wet.

De Wbp bepaalt grofweg dat je persoonsgegevens alleen mag opslaan binnen de Europese Unie (art. 76 Wbp) behalve in enkele specifieke gevallen. Zo mag het met aparte toestemming van de betrokken personen of wanneer het nodig is voor afwikkeling van een contract met die persoon. Bemiddel je bij aankoop bij een Amerikaans bedrijf, dan mag je dat bedrijf de klantgegevens geven want anders kan die koop niet worden afgehandeld.

Verder neem je een risico als je gegevens in een ver buitenland opslaat. Wat als het bedrijf ermee ophoudt, of iets simpeler gewoon weigert je toegang tot de bedrijfsgegevens te geven? Je kunt dan moeilijker naar de rechter dan in Nederland. En dat is een risico want stel de Belastingdienst wil inzage in je administratie en die staat net in de Braziliaanse cloud die even down is (huh, een wolk die beneden is?), wat dan?

Technische oplossingen zijn hier misschien beter dan juridische trouwens: ook de hardste SLA en de beste relaties met je leverancier beschermen je niet tegen faillissementen of andere calaimiteiten. Een extra backup ergens anders is dus altijd aan te bevelen.

Arnoud

Foto’s door twitterende agenten mag je wel degelijk overnemen!

Geplaatst op in Intellectuele rechten, 24 reacties

twitter-agent-politieWanneer agenten foto’s maken en op Twitter plaatsen, nemen de media die nogal eens over. De politie maakt daar opmerkelijk genoeg nu bezwaar tegen met een verwijzing naar haar auteursrechten. In een persbericht meldt men namelijk:

Regelmatig duiken foto’s van twitterende agenten op in landelijke en regionale media. Volgens Niels Nijman is het niet toegestaan voor media om deze foto’s zonder toestemming over te nemen. … Niels Nijman vindt dat ook mediabedrijven hierop aangesproken zouden moeten worden. De politie zou hier zelf werk van moeten maken. De NVJ is immers geen auteursrechthebbende op de twitterfoto’s, de politie wel.

Dit klopt alleen niet. Wanneer een politieagent bij de uitoefening van zijn functie een foto maakt, is zijn werkgever (de politie/overheid dus) de auteursrechthebbende. Dat kan op zich. De wet bepaalt dat wetten, verordeningen en vonnissen vrij van auteursrechten zijn (art. 11 Auteurswet) maar andere soorten werken van de overheid kunnen prima auteursrechtelijk beschermd zijn.

Echter, specifiek wanneer de overheid auteursrechten heeft, is het wél toegestaan (art. 15b Auteurswet) om die beschermde werken over te nemen. De wet noemt iedere “openbaarmaking of verveelvoudiging” van dat werk, en daaronder valt ook het in de krant afdrukken van een op Twitter geplaatste foto.

De enige uitzondering die de wet hierbij trekt is wanneer

… in een bepaald geval blijkens mededeling op het werk zelf of bij de openbaarmaking daarvan uitdrukkelijk is voorbehouden.

In de context van Twitter betekent dit dat de agent op of bij de foto iets van “Alle auteursrechten voorbehouden” moet hebben geplaatst. Een dergelijke zin in de Twitterbiografie is niet genoeg, het moet echt als bijschrift bij de foto (of als watermerk op de foto of iets dergelijks) staan. En dat zie je eigenlijk nooit.

(Het voorbehoud kan ook in een wet of ministerieel besluit worden opgenomen, zoals is gebeurd bij het logo van de politie.)

Ik zie dus werkelijk niet hoe de politie kan stellen dat het “niet toegestaan [is] voor media om deze foto’s zonder toestemming over te nemen”.

Arnoud

De vrijheid van misselijkheid juridisch bekeken

Geplaatst op in Uitingsvrijheid, 31 reacties

Naar aanleiding van de actie van diverse sociale media om beeld van de onthoofding van journalist James Foley te verwijderen schreef Rejo Zenger een erg mooi betoog over grondrechten op die sociale media. Twitter en Youtube hebben de beslissing genomen die beelden niet meer toe te laten, hoewel je je zeer kunt afvragen of die beelden strafbaar zijn om te vertonen. En waarom zouden die bedrijven dingen weg moeten (mogen) halen als de inhoud niet strafbaar is?

Op zich heb je op andermans blog of site géén recht om je mening te uiten. “Freedom of the press is guaranteed only to those who own one” zei Abbott Joseph Liebling al in 1960. Je kunt natuurlijk een eigen blog beginnen, maar dat je dan geen lezers hebt is toch echt jouw probleem. Andere sites hoeven jouw mening niet toe te laten.

Het zou ook wel een grote uitholling van het eigendomsrecht zijn als een ieder al te gemakkelijk met een beroep op vrije meningsuiting zich onbeperkt toegang tot en gebruik van andermans eigendom kon verschaffen. Maar onmogelijk is het niet. Zo werd in de jaren zeventig het recht bevochten om andermans eigendom te mogen gebruiken ten behoeve van een eigen meningsuiting, namelijk door posters met meningen te mogen plakken op muren of gebouwen. Dat bleek heel soms te mogen bij de rechter: als de staat -de gemeente, meestal- totaal géén mogelijkheid gaf om legaal aan te plakken, dan moesten de burgers maar tolereren dat er op hun muur werd geplakt. Vandaar dus dat er allerlei openbare aanplakborden in vrijwel elke gemeente staan.

In de jaren tachtig speelde deze kwestie bij de vraag of verslaggevers toegang moesten krijgen tot voetbalstadions, dit op grond van het recht van vrije nieuwsgaring. De gebouwen zijn eigendom van de voetbalclubs, maar in principe kan iedereen (tegen betaling) naar binnen gaan. Mag de voetbalclub dan de voorwaarde stellen dat men alleen naar binnen mag indien men niet filmt? De Hoge Raad oordeelde van wel. Ook in situaties als deze behoort het eigendomsrecht boven de vrije meningsuiting te gaan. De stadions waren opgesteld voor publiek, maar nog steeds privé-eigendom.

Deze lijn kun je prima doortrekken naar sociale-mediasites als Google, Facebook of Twitter. Hun servers zijn privé-eigendom en zij beslissen dus wat daar gebeurt. Willen ze geen blote borsten, dan is dat hun keuze. Wil men wel expliciet geweld toestaan, nou ja hun keuze dan ook al word ik er misselijk van. Ik moet dan mijn sociale media maar ergens anders halen.

Alleen: wélke ergens anders. Twitter en Google zijn inmiddels zo groot dat hun beslissing om geen aandacht te schenken aan een bepaald nieuwsfeit bepalend kan zijn voor de verdere ontwikkeling daarvan, merkt Zenger terecht op. En je bent de facto ook als gebruiker best afhankelijk van deze sites. Je stapt niet zomaar op bij Facebook of Google.

En die marktmacht, die meningsmacht die die sites hebben, maakt dat hier wellicht een uitzondering moet gaan gelden op de ondernemersvrijheid van deze bedrijven om te kiezen wat ze wel en niet toestaan.

Daarvoor is een precedent. In de Europese Appleby-zaak uit 2003 wilde een groep demonstranten in een winkelcentrum – ook een semi-openbare ruimte – haar mening uiten. De (private) eigenaar verbood dit op grond van zijn eigendomsrecht. Het EHRM oordeelde dat dit in beginsel inderdaad toegelaten was. Het eigendomsrecht woog zeer zwaar en kon in beginsel slechts opzij gezet worden wanneer sprake was van

preventing any effectieve exercise of freedom of expression or [if] it can be said that the essence of the right has been destroyed (r.o. 47).

Bij het Appleby-winkelcentrum was hiervan geen sprake, omdat je als demonstrant ook de individuele winkels zou kunnen vragen of je daar mocht flyeren in plaats van in de algemene hal.

Hoe trek je dit nu door naar internet? Als een site of dienst zó groot is dat zonder je daar te kunnen uiten je vrijheid van meningsuiting effectief dood is, dan mag de dienst niet zomaar je mening verbieden. Met het aantal gebruikers op Facebook en Twitter en vooral het feit dat grosso modo iedereen daar kijkt en nergens anders, zie ik dat nog wel een eind opgaan.

Alleen: dat zou betekenen dat je als Facebook dus ook misselijkmakende beelden moet laten verspreiden waar een hoop gebruikers niet op zitten te wachten. Dat kan ook weer niet de bedoeling zijn. Of wel? Zoals Rejo betoogt:

Hoe schokkend het filmpje van de onthoofding ook is, het is de keiharde realiteit van onze wereld. Dit soort beelden zijn medebepalend voor onze toekomst. … Dit soort beelden moet gezien worden – in ieder geval door hen die dat willen. Elk van ons moet dat voor zichzelf bepalen.

Facebook zou dus dit soort beelden wél door moeten laten maar mensen zelf laten zeggen “dit wil ik niet meer zien”, waarna het uit je gezicht blijft. Een grote verantwoordelijkheid. Maar ja, ze hebben dan ook een grote macht. En het is dan te makkelijk om te zeggen “onze servers, wij bepalen”. Als je zó veel invloed hebt, dan moet je rekening houden met anderen.

Arnoud

Hoe lang mogen Xbox credits geldig zijn?

Geplaatst op in Informatiemaatschappij, 11 reacties

xbox-credits-krediet-tegoed-cadeaubonEen vraag via Tweakers (dank voor de tip Yaz): bij Xbox live moet je een kredietsaldo opbouwen om spellen e.d. te kopen. Dit saldo bouw je op door tegoedkaarten in de winkel te tonen (zoals hiernaast getoond) of door online met je creditcard te betalen. Dit krediet kan vervallen na zekere tijd, en men vroeg zich af of dat rechtsgeldig is. Met name omdat je van tegoedkaart (te zien als waardebon) naar online krediet gaat.

In de context van Xbox lijkt het me niet uit te maken dat je van een papieren/plastic bon naar een digitaal tegoed gaat. Waar het om gaat is dat je een claim hebt, een recht om een nader te kiezen product of dienst te krijgen. Dat het een getal in Microsoft’s database is in plaats van een getal op een papier of in een magneetstrip maakt juridisch volstrekt niets uit. Er is een tegoed, een claim, een vordering.

Het maakt niet uit in welke vorm men het tegoed administreert, want de wet zegt niets letterlijk over waardebonnen, cadeaubonnen, credits of andere dergelijke kredietconstructies. Er is alleen algemene regelgeving over rechten en vorderingen, oftewel juridische claims die je kunt leggen jegens iemand.

Hoofdregel is dat een claim normaal oneindig lang duurt, hoewel dat in het recht nooit echt bestaat. Er is het concept van verjaring, oftewel vanaf dat moment mag je de claim niet meer opeisen bij de rechter. De termijn van verjaring is hier 5 jaar omdat het gaat om een claim die ontstond uit een overeenkomst (art. 3:307 BW).

Je kunt afspreken dat een claim eerder vervalt. Zo’n afspraak is een algemene voorwaarde, en daarover kent de wet een zogeheten zwarte lijst met verboden voorwaarden. Op die lijst staat een verbod op een voorwaarde die een claim binnen een jaar laat vervallen (art. 6:236 sub g BW).

Het maakt hierbij niet uit hoe je de afspraak noemt: verkoopvoorwaarden, EULA, TOS of “dat bordje boven de toog”. Als de afspraak standaard is en voor meerdere klanten wordt gehanteerd, dan is het een algemene voorwaarde en die moet zich dan aan dit verbod houden.

Daarnaast er een grijze lijst van algemene voorwaarden die onredelijk zijn tenzij de winkelier de redelijkheid kan bewijzen. Op deze lijst staat (art. 6:237 sub h BW) een verbod op het laten vervallen van een claim als “sanctie op bepaalde gedragingen, nalaten daaronder begrepen”. Je bon niet inwisselen kun je zien als een nalaten, en het ongeldig verklaren is dan een sanctie. Dit is een minder sterk argument, aangezien er vast wel een redelijk argument is om bonnen te laten vervallen (zoals dat de administratie na x jaar volloopt). Ik vind daarom het zwartelijstargument beter.

Dus: staat er niets bij de bon of kredietkoopfaciliteit, dan is het “oneindig” hoewel je na vijf jaar het niet meer op kunt eisen (verjaring). Staat er wel iets bij, dan moet dat iets minstens één jaar zijn. Staat er dat het minder dan een jaar zou zijn, dan is dat niet rechtsgeldig en dan is het “oneindig”.

Er is wel eens discussie hoe dit zit bij bijvoorbeeld festivalmunten. Dat zijn ook vorderingen, maar het is nogal gek dat ik een jaar na een festival nog een biertje zou kunnen eisen van de organisatie. Binnen het systeem van algemene voorwaarden kom je daar niet uit denk ik.

Er is nog de juridische exception handler van de redelijkheid en billijkheid: als je eis redelijkerwijs onaanvaardbaar zou zijn, dan gaat ie niet door ook al zegt de wet van wel (art. 6:248 BW). Dat zou heel misschien op digitaal tegoed kunnen gelden, maar dan zou ik wel eens willen weten waarom het redelijkerwijs onaanvaardbaar is – oftewel, waarom “kom nou toch, dat is belachelijk” een gepaste reactie is als iemand het probeert.

Ook lees je her en der dat die vijf jaar alleen geldt wanneer er een uitgiftedatum op staat (maar geen vervaldatum). Staat er geen uitgiftedatum op, dan zou de bon oneindig geldig moeten zijn. Ik weet niet waar dat op gebaseerd is. Ik denk dat het idee is dat zonder uitgiftedatum niet te bewijzen is wanneer de verjaringstermijn vervalt. In het topic verwees iemand naar een rechtszaak hierover. Als iemand nog weet welke rechtszaak dat is, dan hoor ik dat heel graag.

Blijft over de vraag of Microsoft zich hieraan moet houden, omdat de EULA vast zegt dat alles onder Amerikaans recht valt. Dat is niet per se rechtsgeldig als men zich duidelijk op Nederland richt. Wie in iDeal af laat rekenen op zijn Nederlandstalige webshop, richt zich op Nederland en valt dus onder ons recht. Afdwingen is vers 2, maar dat is altijd het probleem met consumentenrecht.

Arnoud

De strafbaarheid van gestolen naaktfoto’s

Geplaatst op in Ondernemingsvrijheid, Privacy, Regulering, 43 reacties

simpsons-cloud-diefstal-data-fotoNooit gedacht dat ik ooit ‘fap’ in een juridische blog zou gebruiken, maar vooruit. De Amerikaanse FBI onderzoekt de diefstal van naaktfoto’s van tientallen actrices en artiesten in de Verenigde Staten, meldde Tweakers. De foto’s zouden zijn ontvreemd na inbraken op Apple’s iCloud en aangeboden op de beruchte site 4chan. Hetgeen aanleiding gaf voor allerlei figuren om dit “The Fappening” te noemen. Ondertussen wordt er hard opgetreden en vele forums zijn bezig links en foto’s te verwijderen.

In Nederland hebben we een aantal jaren terug iets vergelijkbaars meegemaakt. In deze zaak had iemand privéfoto’s van een televisiepresentatrice gekopieerd en verspreid na inbraak op haar thuisnetwerk. Hij kreeg hiervoor een werkstraf en 3.000 euro boete, hoewel de Hoge Raad uiteindelijk de zaak gedeeltelijk ongeldig verklaarde omdat er onjuist was gedagvaard.

Dat het verkrijgen van die foto’s strafbaar is, lijkt me niet echt een discussie. Ook niet als het bleek te gaan om misbruik van een zwak wachtwoord – voor computervredebreuk is niet nodig dat je een sterke beveiliging omzeilt of hele ingewikkelde dingen doet.

Het publiceren van deze foto’s is evenzo strafbaar. Dit levert namelijk op “het openbaar maken van een portret zonder daartoe gerechtigd te zijn” (art. 30 Auteurswet). En natuurlijk kun je ook als slachtoffer een schadeclaim indienen (onrechtmatige daad, schending van portretrecht) wanneer zo’n privéfoto wordt gepubliceerd.

Ik zie diverse persmedia de beelden publiceren, vermoedelijk vanuit het idee dat dit hoort bij hun taak van het publiek informeren over het nieuwsfeit dat die foto’s gestolen zijn. Maar als het gaat om gestolen privéfoto’s dan is de rechtspraak streng: er is eigenlijk géén nieuwsbelang te bedenken dat rechtvaardigt dat je die foto publiceert. Dat weten we bijvoorbeeld uit deze zaak waarin de digitale camera van prinses Maxima gestolen werd. Dat nieuwsfeit melden mocht (natuurlijk) maar wat foto’s uit die camera erbij diende geen algemeen belang.

Maar mag je ze hebben op je eigen computer, in het kader van je deelname aan The Fappening of gewoon uit nieuwsgierigheid? Dat is een lastige. Momenteel is het niet strafbaar om digitale gegevens te bezitten die uit misdrijf zijn verkregen. Digitale heling is dus niet strafbaar. In het nieuwe wetsvoorstel computercriminaliteiter zal dit veranderen: er komt tot een jaar cel te staan op het verwerven of voorhanden hebben van “niet-openbare gegevens” wanneer je wist of redelijkerwijs had moeten vermoeden dat deze door misdrijf zijn verkregen (nieuw art. 139f Strafrecht). Echter:

Degene die door misdrijf verkregen gegevens via het internet openbaar maakt is op grond van deze bepaling strafbaar, maar niet de persoon die via het internet openbaar gemaakte gegevens download. Zonder deze beperking zou het van het internet downloaden van gegevens die eerder door misdrijf zijn verkregen en door een ander zijn geupload in het algemeen strafbaar worden.

Wel is er een apart lid dat bepaalt dat als je het eenmaal weet en je ze uit winstbejag bewaart of gaat gebruiken (ahem) je alsnog strafbaar bent. Denk aan bedrijfsgeheimen die je downloadt van pastebin en daarna gebruikt om je eigen bedrijf te verbeteren.

En toch nog even een vraag voor de “vrijheid van meningsuiting/informatievrijheid staat voorop”-mensen: mogen deze foto’s nu eeuwig online blijven, nu ze ondertussen effectief publiek zijn geworden? Er zijn vertoningen op televisie geweest, diverse kranten hebben foto’s afgedrukt en ga zo maar door. Of mag in dit geval misschien de privacy het toch winnen?

Arnoud

Mag je foto’s uit een gevonden camera op Facebook zetten?

Geplaatst op in Privacy, 12 reacties

lost-found-verloren-voorwerpenEen lezer vroeg me:

Een kennis van me met behoorlijk wat Facebookvrienden vond onlangs een camera op straat. Hij heeft enkele foto’s daarvan op Facebook gezet (met afgeblokte gezichten) met een oproep om het bericht te delen en hem te contacteren als iemand weet wie dit zijn. Maar mag dat wel met de privacywet?

Volgens de wet behoor je een gevonden voorwerp aan te geven bij de gemeente – niet bij de politie dus. Ook moet je het melden bij de eigenaar van de ruimte waar je het vond, bijvoorbeeld de NS als het in de trein was of de klantenservice als je iets in een winkel vindt. Het is niet verplicht een voorwerp op te rapen (vindplicht) maar wel om een opgeraapt voorwerp aan te geven.

In de praktijk werkt dit lang niet altijd, zeker niet als het voorwerp uit het buitenland komt of op straat lag zonder verdere aanknopingspunten over de eigenaar. Terwijl veel mensen wel op sociale netwerken zitten, of mensen kennen die daarop zitten. Logisch dus om te denken dat zo’n oproep op Facebook meer kans op succes heeft.

Het publiceren van foto’s kan al snel een privacyschending opleveren. Als mensen herkenbaar zijn, hebben ze immers portretrecht. Het plaatsen van een balkje over het gezicht is een oplossing, maar bekenden zullen waarschijnlijk desondanks deze mensen herkennen. (Dat is ook het hele punt natuurlijk van die foto’s publiceren.) Of dat genoeg is om het portretrecht te weerleggen, betwijfel ik dus.

(Daarnaast zit er auteursrecht op die foto’s dus publiceren mag niet zonder toestemming maar gezien de context zou ik dat toch citeren noemen.)

De vraag is dan: is deze privacyschending te rechtvaardigen met een ander belang dat minstens zo zwaar weegt? Het is natuurlijk een nobel doel: het terugbezorgen van de camera. En dan moet je wel iets laten zien waarmee mensen weten dat het hún camera is. Je weet dat in de praktijk de politie hier weinig prioriteit aan geeft, dus welke opties heb je anders? Ik zou dan ook zeggen dat dit moet kunnen mits je natuurlijk alleen keurige foto’s uitzoekt en goed nadenkt per foto of men het vervelend zou vinden dat nou net die foto voor de hele wereld zichtbaar is.

Een tip die specifiek bij camera’s nog handig is, is om als eerste foto een afbeelding van naam, adres en telefoonnummer op te nemen. Zo weet je als eerlijke vinder meteen waar je terecht moet.

Arnoud

Microsoft vecht bevel tot afgifte Europese e-mails aan

Geplaatst op in Privacy, Regulering, 20 reacties

Microsoft gaat in beroep tegen een rechterlijk bevel om e-mails van Europese gebruikers te overhandigen aan de Amerikaanse overheid, las ik bij Webwereld. In april had de Amerikaanse Justitie een bevel gegeven aan de Amerikaanse moeder tot afgifte van mails opgeslagen bij Microsofts Ierse dochtermaatschappij. Het bevel wordt nu door de rechtbank bevestigd, maar Microsoft gaat dus in hoger beroep.

Wie rechtsmacht heeft in de cloud, blijft een lastige vraag. Het lijkt logisch uit te gaan van waar de servers staan, maar dan wordt het met de flexibiliteit van de cloud wel erg makkelijk om van jurisdictie naar jurisdictie te hoppen.

Kijken waar het bedrijf gevestigd is, is dan misschien beter. Maar hoe ga je dan om met buitenlandse dochters? Het doet gek aan dat je die niets zou mogen vragen terwijl ze toch net zo goed deel van het binnenlandse bedrijf zijn.

Binnen het Amerikaanse strafrecht komt deze vraag neer op de vraag hoe je een cloudmailopeising moet kwalificeren: een doorzoeking of een opvraging? Dit zijn grofweg de twee manieren om als Justitie iets te pakken te krijgenL langsgaan of het laten brengen.

Als je het ziet als een doorzoeking, dan is het bevel onterecht: Amerikaanse Justitie of politie mag geen buitenlandse panden doorzoeken, ook niet als ze eigendom zijn van een Amerikaan. Maar als je het ziet als een opeising dan mag het wel: een Amerikaan kan worden gedwongen naar zijn buitenlandse huis te gaan en daar iets op te halen als dat nodig is voor een strafrechtelijk onderzoek.

De rechtbank bevestigt nu dat ze lezing twee hanteert. Microsoft mag de mail dus gaan halen – of kan het haar dochter laten brengen, dat is om het even.

Het is goed dat Microsoft in beroep gaat, want dit maakt het wel érg makkelijk om wereldwijd dingen op te eisen die digitaal opgeslagen staan. Hoewel ik niet meteen een juridisch argument weet tegen het feit dat data geen pand is en dus wel een ding moet zijn, oftewel iets dat opeisbaar is in plaats van doorzoekbaar.

Arnoud

Kabinet wil notice/takedown van extremistische uitingen opvoeren

Geplaatst op in Regulering, Uitingsvrijheid, 21 reacties

Het kabinet wil verspreiding van online radicaliserende, haatzaaiende, gewelddadige jihadistische informatie tegengaan, maakte men vorige week bekend. Onderdeel daarvan is een specialistisch team dat notice/takedownbevelen gaat geven aan tussenpersonen zoals Facebook. “Ook maakt het team afspraken met internetbedrijven over effectieve blokkeringen.”

Onder de huidige wet is het mogelijk een bevel tot verwijdering te geven van een strafbare uiting (art. 54a Strafrecht). Wel vereist dit een machtiging van de onafhankelijke rechter-commissaris – de Nederlandse variant op wat in de VS een “gerechtelijk bevel” heet. Er is dus géén rechtszaak nodig waarin de tussenpersoon of de plaatser gehoord hoeft te worden.

Het persbericht lijkt te suggereren dat men het eerst vrijwillig wil vragen. Er is immers een notice/takedown gedragscode waar diverse internetbedrijven zich aan hebben gecommitteerd (al kan ik geen lijst vinden) en via die code mag iedereen vragen of iets weggehaald kan worden als het evident onrechtmatig is.

Iedereen? Nou ja bijna iedereen: volgens mij mag de politie echt niet vrijwillig vragen. Bevoegdheden van politie en Justitie zijn wettelijk geregeld, en alles dat men doet moet te herleiden zijn tot een bevoegdheid. En omgekeerd, als iets te herleiden is tot zo’n bevoegdheid dan móet men die gebruiken.

Inclusief de bij die bevoegdheid opgenomen grenzen. Dat is namelijk het punt: in de wet zijn waarborgen opgenomen, en die kun je dan niet zomaar passeren door het “vrijwillig vragen” te noemen. Zeker als je bedenkt dat veel mensen niet weten wanneer de politie iets vraagt en wanneer ze iets beveelt, of hoe je effectief “nee” kunt zeggen als de ondertoon is “dan komen we terug met een bevel en gaat je hele tent op z’n kop, plus je riskeert dan zelf vervolgd te worden”.

In het wetsvoorstel computercriminaliteit III werd overigens in eerste instantie voorgesteld die toets door de rechter-commissaris te schrappen. Maar de tekst zoals die er nu ligt, vereist wél (in nieuw art. 125p Sr) een machtiging van de rechter-commissaris.

Ik heb geen idee van hoe zeer Facebook of Twitter onder de indruk zal zijn van een Nederlands bevel.

Arnoud

Kun je een e-mailadres meenemen als de dienstverlener stopt?

Geplaatst op in Privacy, 36 reacties

email-e-mail-elektronische-post-envelopIk had het nieuws ook gemist maar internetprovider Knoware is overgenomen door Telfort en het domein gaat binnenkort uit de lucht. Dat gaf allerlei klachten zo lees ik van mensen die graag hun jarenlange mailadres @knoware.nl willen behouden. Dat “kan niet” volgens de helpdesk. Maar er is kunnen en willen, volgens mij.

Technisch zie ik op zich geen bezwaren. Het doorsturen van mail op adres A naar adres B is een standaardfunctie van mailservers, en als dat eenmaal ingesteld is dan kan dat tot in de eeuwigheid (of het afschaffen van e-mail) gewoon blijven draaien. (Heren en dames mailadmins, mis ik iets?)

Of je het moet willen is vers twee. Je bent afhankelijk van twéé maildienstverleners nu, beiden kunnen spamfilters, storingen en configuratiefouten hebben dan daarmee vergroot je de kans op verloren e-mail. En je hebt dubbele kosten natuurlijk want verlangen dat men grátis een dienst actief houdt, lijkt me niet helemaal redelijk. Maar beiden zouden je eigen keuze moeten zijn.

Alleen wat nu als de dienstverlener er gewoon geen trek meer in heeft, ook niet voor $veel geld? Ik vrees dat je dan gewoon pech hebt.

De wet kent nergens een regel dat een overeenkomst tot dienstverlening eeuwig moet kunnen worden voortgezet als de klant daarom vraagt. Logisch op zich, een bedrijf moet kunnen stoppen zou je zeggen. Zolang alle lopende contractstermijnen worden uitgediend, en er dus tijdig wordt opgezegd, is dat niet meer dan logisch. Het probleem lost zichzelf dan op: in de voorwaarden staat dat het jaarlijks opgezegd kan worden, dus dan heb je een jaar om je voor te bereiden op een overstap.

Toch wringt dit voor mij een beetje. Een e-mailadres is geen onderhoudscontract voor je CV-ketel. Overstappen naar een ander impliceert gedoe welhaast vergelijkbaar met een fysieke verhuizing. En zou het vanwege dát gedoe niet redelijk zijn dat je nog een tijd een forward mag verwachten, of misschien zelfs levenslang?

Arnoud