Kun je de telecomprovider aansprakelijk stellen voor sim-swapping?

Geplaatst op in Ondernemingsvrijheid, Security, 3 reacties
Photo by epicioci on Pixabay

Een lezer vroeg me:

Ik lees de laatste tijd veel berichten over sim-swapping waarbij criminelen het voor elkaar krijgen om een 06-nummer naar een andere simkaart over te laten zetten. Als ik het goed begrijp gebeurt dit door telefonisch contact met de telecomprovider waarbij de crimineel zich voordoet als de eigenaar van de simkaart. Na het omzetten kunnen ze de 2FA op basis van SMS heel makkelijk omzeilen en dus mogelijk toegang krijgen tot allerlei accounts. Stel dat ik dan schade lijd, kan ik die dan verhalen op de telecomprovider?
Het fenomeen sim-swapping zoals hier beschreven komt inderdaad met enige regelmaat voor. In april werd een man uit Vaals nog veroordeeld tot drie maanden cel voor medewerking aan sim-swapping. In de VS kreeg iemand 14 maanden cel voor het via sim-swapping kapen van het X-account van de beurswaakhond SEC. En T-Mobile betaalde in maart 33 miljoen omdat het bedrijf nalatig was in de beveiliging tegen deze vorm van criminaliteit.

De aansprakelijkheid voor de gevolgen van sim-swapping begint bij de specifieke regels voor banken. Die staan in art. 7:529 BW:

De betaler draagt alle verliezen die uit niet-toegestane betalingstransacties voortvloeien, indien deze zich hebben voorgedaan doordat hij frauduleus heeft gehandeld of opzettelijk of met grove nalatigheid een of meer verplichtingen uit hoofde van artikel 524 niet is nagekomen.
De ‘betaler’ is in dit geval dus de klant die een frauduleuze transactie overkwam dankzij sim-swapping. En let op: er staat dus dat deze alléén de gevolgen moet dragen als hij frauduleus, opzettelijk of met grove nalatigheid zijn beveiligingsplichten niet nakwam.

Bij sim-swapping kun je vrij weinig doen. De crimineel krijgt een vervangende sim (of esim) waarmee deze vanuit jouw nummer berichten kan zenden en ontvangen. Als de crimineel je wachtwoord te pakken heeft, kan deze dan dus de 2FA op basis van je 06-nummer aanroepen en dan transacties uitvoeren.

Ik zie dan ook niet direct hoe jou kan worden verweten dat je opzettelijk of grof nalatig hebt gehandeld. Het enige argument is dat je informatieberichten van je telecomprovider negeert dat er een nieuwe sim is uitgegeven, en meer algemeen dat je wachtwoord is gelekt.

Echter, niet bij alle aanvallen is je wachtwoord nodig. Bovendien is een standaardtruc dat men ’s nachts de wissel doet, omdat je dan ruim te laat bent bij het wakker worden.

In één Kifid-uitspraak vond men het genoeg dat er in een SMS een algemene waarschuwing stond, hoewel die niet over sim swapping maar over 2FA codes ging.

De telecomprovider aansprakelijk stellen wanneer de bank niet thuisgeeft, is natuurlijk altijd mogelijk. Door het onrechtmatig uitgeven van die sim ben jij benadeeld. Alleen krijg je dan snel hetzelfde probleem: als jij niet had gereageerd op waarschuwingssignalen, is in ieder geval een deel van de schade je eigen schuld.

Arnoud

Wat is juridisch gezien een geldige manier om te bewijzen wat er online stond?

Geplaatst op in Uitingsvrijheid, 11 reacties
Photo by garten-gg on Pixabay

Via Reddit:

Stel: je ziet online een misleidende advertentie, beledigende opmerking of contractbreuk op een website/social post, maar die wordt daarna verwijderd. Een screenshot is dan vaak niet genoeg, zeker als de tegenpartij het betwist. Wat is juridisch gezien een manier om wél hard bewijs aan te leveren?
In Nederland geldt een systeem van vrije bewijsmiddelen, zeker in het burgerlijk recht. Bij het strafrecht is het iets strenger, het “wettig” van “wettig en overtuigend bewijs” geeft aan dat het bewijs langs wettelijk vastgelegde procedures moet zijn verkregen.

Een screenshot van een bericht is op zich prima bewijs van wat er waar online heeft gestaan. Natuurlijk, de wederpartij kan dit ontkennen. Maar ik lees veel vonnissen en heel vaak gebeurt dat niet. De discussie gaat over wat men bedoelde met die post (zoals bij die duimpjeszaak) of waarom het toch wel mocht, niet over dát de post gedaan is. En dan erken je natuurlijk dat je hem gedaan hebt.

Het is ook niet handig om iets te posten, weg te halen en dan bij de rechter te zeggen “ik heb nimmer dat gepost”. Want als de wederpartij dan met een screenshot komt, heb je wat uit te leggen. “Die screenshot is vervalst” kán natuurlijk, maar je zult dan iets meer moeten zeggen dan dat.

Enkel omdat screenshot vervalst kúnnen zijn, mag je nog niet concluderen dat ieder screenshot dat een partij inbrengt, ook vervalst ís omdat de andere partij dat zegt. De rechter zal dan vragen, waarom zou die partij dat hier doen? Er is altijd een context: waarom zou de wederpartij zeggen dat jij dat gedaan hebt, hoe logisch is het dat jij het wél geplaatst zou hebben.

Een screenshot laten maken door een derde partij kan natuurlijk. Bekende plekken zijn Archive.org en Archive.ph. Deze maken zelf de screenshot en plaatsen deze met een datum en tijdstip online, zodat de inhoud vast zou moeten staan. Zo kun jij (redelijkerwijs) die niet gemanipuleerd hebben. Er zijn geen rechtszaken waarin werd getwijfeld aan de inhoud van archive.org publicaties.

In 2024 kreeg het Gerechtshof Arnhem in een arbeidszaak een screenshot van een WhatsApp-bericht als bewijs dat een ex-werknemer contactverbod tegen een klant zou hebben overtreden. De betrokken ex-werknemer stelde echter dat het screenshot gefabriceerd zou zijn door de klant. Het Hof vindt dat onder meer onaannemelijk omdat het alternatief onzinnig is:

Dat zou immers betekenen dat [de klant] de avond na het gesprek waarin [de ex-werknemer] een contactverbod was opgelegd een tekstbericht heeft gefabriceerd en aan [diens contactpersoon] heeft gestuurd, kennelijk om te doen voorkomen alsof [verzoeker] ondanks een hem opgelegd contactverbod contact had opgenomen. [De klant] was echter niet aanwezig bij het gesprek waarin het contactverbod is opgelegd en was niet op de hoogte van de inhoud van dat gesprek of van het contactverbod. Dat is althans niet gesteld of gebleken. Uit de overgelegde app-conversatie tussen hem en [de contactpersoon] blijkt dat zij hem over dat gesprek alleen heeft meegedeeld dat [de ex-werknemer] alles had ontkend. Er is dan geen zinnige reden te bedenken waarom [de klant] een bericht zou fabriceren met enkel tot doel om te suggereren dat [de ex-werknemer] een contactverbod zou hebben overtreden.
In een andere zaak had een persoon een verkeersboete gekregen. In hoger beroep daartegen werd onder meer gesteld dat de agent ter plekke had gezegd dat deze boete 100 euro zou zijn, terwijl daarna 150 euro was opgelegd:
Door de gemachtigde is een screenshot overgelegd van een e-mail die is gericht aan ene Jet en die is ondertekend met de naam van de ambtenaar die de sanctie heeft opgelegd met daaronder de vermelding ‘hoofdagent’. In deze e-mail is onder meer geschreven: “Ik gaf jou vanavond een bekeuring voor het rijden met een defecte koplamp. Deze bekeuring heeft een waarde van 100 euro.”
De manier van formuleren geeft voor mij al aan dat het Hof dit niet helemaal vertrouwt. Belangrijke daarvoor is dat het niet de mail zelf is maar slechts een screenshot, zodat je niet eens bijvoorbeeld headers kunt lezen. Weliswaar had de betrokken ambtenaar niet gereageerd op verzoeken van de gemachtigde van de beboete persoon, maar dat hoeft ook niet.

In deze zaak hadden beide partijen een screenshot ingebracht van wat volgens het Kadaster de verkoopprijs van een woning zou zijn. De screenshots vermeldden echter verschillende getallen. De rechter negeert daarom beide berichten.

Arnoud

Sjonge, je emailcorrespondentie is als zodanig ook gewoon een persoonsgegeven onder de AVG

Geplaatst op in Ondernemingsvrijheid, Privacy, Security, 15 reacties
Photo by Element5 Digital on Pexels

De inhoud van je (zakelijke) mailbox is aan te merken als persoonsgegevens, zodat je inzagerecht (en kopierecht) er op van toepassing is. Dat oordeelde het Franse Cour de Cassation, de hoogste Franse rechtbank onlangs. Wel moet de werkgever bij inzageverzoeken rekening houden met (privacy-)belangen van anderen.

Met enige regelmaat krijg ik vragen van werknemers die in een arbeidsgeschil zitten en dan de AVG willen inzetten om bijvoorbeeld bewijs te vergaren. Het is al een tijdje discussie wat in die context precies een ‘persoonsgegeven’ is: de metadata (jouw mailadres en met wie je mailde zeg maar), de passages in de mail die over jou gaan, of gewoon de hele mail?

Het Franse Hof kiest in een arbeidszaak nu voor dat laatste. In die zaak ging het om een intern onderzoek tegen een werknemer vanwege vermeend plegen van “daden van seksuele of psychische intimidatie”. De werknemer had om inzage in zijn mails gevraagd, om beschuldigingen te kunnen weerleggen als zou hij dergelijke teksten per mail hebben verstuurd.

De werkgever had dit geweigerd omdat “zakelijke e-mails” geen persoonsgegevens zijn. Dat ziet het Hof dus anders:

16. It follows, on the one hand, that emails sent or received by the employee using his professional email account are personal data within the meaning of Article 4 of the GDPR and, on the other hand, that the employee has the right to access these emails, the employer having to provide him with both the metadata (time stamp, recipients, etc.) and their content, unless the elements whose communication is requested are likely to infringe the rights and freedoms of others.
Ik twijfel of dat “professional mail account” er staat om duidelijk te maken dat het óók voor zakelijke mails geldt (dus niet alleen duidelijke privécorrespondentie), of gewoon omdat men die term gebruikte in de procedure.

In ieder geval, het Hof bevestigt hier dat mails die je stuurt of ontvangt integraal tellen als persoonsgegevens. Dus niet de metadata. Ook niet de stukjes met je naam erin. De hele lap.

Dat is wel even heftig, want je kunt dus met dit arrest (de AVG wordt Europabreed hetzelfde uitgelegd) een kopie van je hele mailbox eisen. Daar zitten dan wel weer grenzen aan: je inzagerecht (waar recht op kopie bij hoort) mag “geen afbreuk aan de rechten en vrijheden van anderen” doen.

Als inzage bijvoorbeeld de privacy van een collega zou schenden, of er staan bedrijfsgeheimen in, dan mag de werkgever weigeren deze te verstrekken. De werkgever moet dat natuurlijk desgevraagd wel bewijzen (vergelijk Dun & Bradstreet over handelsgeheimen versus AI-uitleg, ook dat is het inzagerecht). En mails moeten bij voorkeur dan geanonimiseerd worden overlegd in plaats van integraal achtergehouden worden.

Hoe nu hier in de praktijk mee om te gaan? Enerzijds gaat het praktisch al goed: werknemers kunnen haast per definitie al bij hun mailbox, en ze mogen daar dus ook een kopie van maken in het kader van hun inzagerecht.

Die kopie moet wel gemaakt om een concrete inzage te doen met als doel correctie of verificatie van de juistheid van de persoonsgegevens. Dus niet “voor het geval dat neem ik de mailbox mee naar huis” maar “ik hoor net van Guillaume dat ik X gezegd zou hebben, ik bewaar nu de mail met niet-X want dan kan ik dat op het gesprek aankaarten”.

Anderzijds gaat het inzagerecht pas spelen wanneer er een geschil aan de orde is. Dan weet je als werknemer immers welk bewijs je nodig hebt. En juist dan zie je dat je nogal eens buitengesloten bent van de werkmiddelen. Natuurlijk heb je dan nog steeds récht op die mailbox, maar met oneigenlijke vertragingstactieken kan een kwaadwillende werkgever je daar behoorlijk in hinderen – terwijl de arbeidsrechtelijke procedure gewoon doorgaat.

Arnoud

 

Fransen kunnen weer surfen naar pornosites Pornhub en Youporn

Geplaatst op in Ondernemingsvrijheid, 11 reacties
Photo by geralt on Pixabay

Fransen kunnen pornosites Youporn, Pornhub en Redtube weer bezoeken nadat de eigenaar de toegang tijdelijk had geblokkeerd. Dat meldde Nu.nl. Moederbedrijf Aylo protesteerde tegen regels voor leeftijdsverificatie met behulp van creditcards of identiteitsbewijzen.

In februari van dit jaar voerde de Franse Autorité de régulation de la communication audiovisuelle et numérique (“Arcom”) regels in voor leeftijdsverificatie bij websites voor volwassenen. Dit was de implementatie van een wet uit 2020 die bepaalde dat websites dergelijke verificatie moesten doen (en dus meer dan “vul je leeftijd in”).

Vanwege le privacy waren er de nodige randvoorwaarden, zoals:

the concept of double anonymity, which the CNIL already put forward in 2021 in its opinion on the decree of Law No. 2020-936 and in 2022 in its recommendation titled “Online age verification: balancing privacy and the protection of minors.” Double anonymity guarantees the site does not know the user’s identity and the provider of the age verification solution does not know which sites the user visits. Platforms will have to offer at least one age verification method that complies with the double anonymity concept, with mandatory compliance from 11 April 2025.
Technisch niet bepaald triviaal. Aanbieder Aylo maakte dan ook bezwaar toen zij werd aangewezen als een van de zeventien partijen die aan deze regels moest voldoen. Dat vond ze oneerlijk gezien de hoeveelheid concurrenten.

Er was ook een meer technisch argument: Aylo en haar dochterondernemingen waren niet in Frankrijk gevestigd, en op grond van de Europese e-commerceregels mag je die bedrijven dan niet zomaar aparte, nationale regels opleggen (country of origin principe). Procedureel ging hier mis dat men voorafgaand de Europese Commissie had moeten informeren.

Inhoudelijk is er verder weinig mis met deze regels, dus het voelt vooral als een stukje vertraging. Maar Aylo grijpt de discussie wel gelijk aan om de bal bij de grote device/OS providers te leggen:

To make the internet safer for everyone, every phone, tablet or computer should start as a kid-safe device. Only verified adults should be allowed to unlock access to age-inappropriate content. This is the core premise of device-based age verification, which we believe is the safest and most secure option. The technology to accomplish this exists today.
Het idee is dan dat de OS/platformbeheerder op dergelijke apparaten zorgt voor een veilige leeftijdsverificatie. Deze wordt dan opgeslagen in het apparaat, waarna een token “is 18+” naar websites gestuurd kan worden. Daarmee hoef je geen details over die persoon te verstrekken, en hoeven al die websites niet zélf na te denken hoe ze op afstand nagaan of iemand 18+ is.

Een goed idee, en fundamenteel het beste vanuit onder meer AVG perspectief. Het grote probleem is natuurlijk de enorme berg apparaten die deze feature nog niet heeft. Dus zelfs als we vanaf morgen dit verplicht stellen, wat doe je dan met al die bestaande apparaten?

Arnoud

 

Waar moet ik écht op letten in de lap tekst die we privacyverklaring noemen?

Geplaatst op in Privacy, 4 reacties
Photo by Amador Loureiro on Unsplash

Een lezer vroeg me verzuchtend:

Of ik nu software installeer, een account aanmaak of een dienst afneem, overal moet ik akkoord gaan met een privacy policy. Vaak pagina’s lang en niet altijd even makkelijk leesbaar. Waar moet ik nu op letten als ik een privacy policy lees, wat is echt belangrijk?
Ah, de privacy policy, privacyverklaring, privacy statement of GDPR notice. Weinig dingen zijn zó vol met oubollige geruststellende taal waar werkelijk niemand op zit te wachten. Maar het moet: artikel 13 en 14 AVG eisen toelichting in duidelijke taal bij ieder gebruik van persoonsgegevens door bedrijven of instanties.

De structuur van de meeste van deze teksten is dan ook dezelfde. Men benoemt wat de AVG voorschrijft. Welke categorieën gegevens verzamelt men, voor welke doeleinden en met welke AVG-grondslag is dat gerechtvaardigd. Je hebt rechten, zoals inzage en correctie. Gegevens worden goed beveiligd, en bij klachten kun je de functionaris gegevensbescherming benaderen. Oh ja, en de verklaring kan van tijd tot tijd wijzigen.

Mocht dit vrij algemeen klinken: dat klopt. Ik durf wel te zeggen dat het gros van deze teksten geschreven is zonder uitgebreid overleg met de technische en marketingmensen die de software of dienst aan de man brengen. En het helpt natuurlijk al helemaal niet dat ChatGPT en consorten in 3 seconden een “volledig AVG proof privacycverklaring” kan ophoesten, waardoor je als ondernemer niet eens meer naar de privacymensen hóeft te gaan.

Inderdaad, ik ben buitengewoon cynisch over het instrument. De vele vele onderzoeken (hier eentje uit 2019) bevestigen dat ook: het lezen kost enorm veel tijd en echt wijzer wordt je er niet van.

Het probleem is voor mij niet zozeer “waar moet je op letten” als wel “staat er iets in waar je wat mee kunt”. Wat vaak fijn is om te weten, is of je persoonsgegevens naar de VS gaan. Maar juist dat staat er zelden tot nooit hard in. (In de praktijk mag je gewoon aannemen dat dit gebeurt, gezien 99% van de diensten uiteindelijk tot Amerikaanse IaaS te herleiden is.) Ook hoe een en ander beveiligd is, kom je niet echt te weten. Met een beetje geluk wordt verwezen naar een beveiligingsbeleid of een opmerking over ISO 27001.

Het enige dat in de praktijk zinnig is, is de contactgegevens van degene bij wie je moet zijn bij klachten of je rechten inzake de omgang met persoonsgegevens.

Om het dan niet ál te cynisch te maken: Tuurlijk zijn er genoeg bedrijven en privacy officers die serieus hun best doen het goed uit te leggen. Maar bijsluiters zijn naar hun aard moeilijk specifiek te krijgen, zeker als je organisatie wat groter is en je toch meerdere producten en varianten moet dekken.

Wat wérkelijk helpt, is bij de plekken in je software of dienst waar je persoonsgegevens verkrijgt gerichte uitleg plaatsen over het hoe en waarom. Dus niet “Wij en onze 9157 partners respecteren uw privacy, lees de privacyverklaring voor details”, maar “Uw geboortedatum vinden wij handig om u op uw verjaardag een cadeautje te kunnen mailen”.

Oh ja en terzijde: wil iedereen stoppen met akkoord vragen op privacypolicies onder welke naam dan ook? De AVG is vrij duidelijk dat het gaat om een mededeling, een uitleg. Privacyverklaringen zijn bijsluiters, meer niet. Het is onzinnig en overbodig om te vragen of men het daarmee eens is. Ook als je meent persoonsgegevens te gebruiken onder de grondslag toestemming – toestemming vraag je apart en expliciet, niet in een lap tekst achter een hyperlink.

Arnoud

Mag je met drones huizen van de sterren filmen omdat dat ergens ook nieuws is?

Geplaatst op in Privacy, Uitingsvrijheid, 25 reacties

Arjen Lubach, Jandino Asporaat en nog heel wat andere BN’ers schrikken zich rot: er is opeens een juicekanaal met vleugels opgestaan. Dat las ik bij Mediacourant. Het gaat om Sterren TV, dat met drones boven de BN’er-huizen vliegt. In veel video’s zijn de huizen, tuinen en de rest van de directe omgeving duidelijk herkenbaar.

Op Youtube is het kanaal inmiddels verwijderd wegens schending van de gebruiksvoorwaarden, maar Instagram heeft (nog?) geen maatregelen genomen. Sterren TV zelf ziet geen probleem met wat zij doet:

Allereerst is het belangrijk om te beseffen dat bekende Nederlanders, door hun rol als artiest, sporter of presentator, bewust een publieke status hebben aangenomen. Zij profiteren van hun bekendheid – financieel en maatschappelijk – en moeten daarom ook accepteren dat er publieke belangstelling is voor aspecten van hun leven buiten hun werk. Hun huis maakt daar, tot op zekere hoogte, onderdeel van uit.
Men wijst op al langer staande praktijken zoals Bekende Buren dat ook vol staat met huizenfoto’s en natuurlijk de vele reportages over nieuwe huizen, verbouwingen en andere vastgoedperikelen van BN’ers.

In december blogde ik over de vraag wat te doen tegen een drone boven de achtertuin. Het probleem: “je mag niet vliegen boven privé eigendom” is geen juridisch houdbare regel. Dit is niet expliciet geregeld in de Nederlandse of Europese regels rond drones.

Waar de politie in de Telegraaf de uitspraak “Tuinen of afgesloten terreinen filmen mag uitsluitend met toestemming van de eigenaar”  op baseert, is mij niet duidelijk. (Een proefproces of het erfvredebreuk is om boven een erf te hangen met een drone, zou ik wel een goed idee vinden.)

Wie hier wat tegen wil doen, moet dus met andere regels komen. Inbreuk op de privacy ligt voor de hand, en we kennen allemaal dat voorbeeld uit 2017 waarbij iemand de drone uit de lucht schoot. Die drone mocht daar niet vliegen vanwege de privacyschending die het gaf, maar de schade werd verrekend met de eigenrichting met de luchtbuks.

Er zijn ook mensen die een drone blaster overwegen, die met radioverstoring werkt en zo de besturing uitschakelt. Ik hzeg het maar even: drone blasters zijn illegaal, het verstoren van het radiospectrum is verboden.

Ik lees dat de Autoriteit Persoonsgegevens is ingeschakeld. Het is een leuke tentamenvraag of beelden van een huis als persoonsgegeven aan te merken zijn. Ik denk het hier wel, omdat ze nadrukkelijk worden verbonden aan de persoon die daar woont en daardoor herleidbaar worden.

Alleen speelt er hier nog iets anders: de AP mag niet optreden tegen journalistieke verwerkingen van persoonsgegevens. Dat zou de uitingsvrijheid in gevaar brengen en daar is de AVG niet voor bedoeld.

Je kunt je natuurlijk afvragen of hier sprake is van ‘nieuws’. Het daarbij leidende arrest is Caroline von Hannover II uit alweer 2012 en formuleerde vijf rechtsvragen om dit te bepalen bij nieuws over bekende personen:

  1. Is sprake van een “bijdrage aan een debat dat in de publieke belangstelling staat”, een “debate of general interest” in het jargon. Oftewel, wat voegt dit toe, waarom willen we dit weten?
  2. Hoe bekend is de persoon en wat is het onderwerp van het bericht? Hier komt de opvatting “Publieke figuren moeten meer tolereren” vandaan. Het maakt bijvoorbeeld uit of het gaat over een hooggeplaatst persoon in functie of ‘gewoon’ iemand in diens privéleven.
  3. Hoe de persoon waarover wordt bericht zich in het verleden heeft gedragen. Wie zelf eerder de publiciteit zocht, kan minder makkelijk daarna zich aan persaandacht onttrekken.
  4. De inhoud, vorm en gevolgen van de publicatie.
  5. De omstandigheden waaronder de fotos zijn genomen.
Het eerste criterium is eigenlijk het belangrijkste, en daar gaan we al heel snel op onderuit. Als er nou iets raars was met die huizen, iets waardoor het onderwerp “het huis van Arjen Lubach” nieuwswaarde had, dan kun je nog aan zo’n bijdrage komen. Maar vanuit het niets dat huis filmen, dat voegt niets toe.

Arnoud

Nooit geweten dat Apple zo’n machtige partij in de datingwereld was?

Geplaatst op in Ondernemingsvrijheid, 5 reacties
Photo by Nathan Jeon on Unsplash

Apple heeft zijn machtspositie misbruikt door oneerlijke voorwaarden op te leggen aan aanbieders van datingapps in de App Store. Dat meldde de ACM onlangs. En ja, het doet raar aan dat het specifiek gaat om datingapps terwijl het probleem algemeen is: de plicht tot gebruiken van Apple’s eigen betaalsysteem en een hoge commissie.

De reden dat het over datingapps gaat, is omdat de handhaving geïnitieerd is vanwege klachten van Nederlandse datingdiensten:

De kwestie draait om datingapps zoals Tinder, Lexa en Bumble. Als gebruikers van die apps bijvoorbeeld een abonnement nemen, dan wordt de betaling door Apple verwerkt. De makers van die apps willen dat ook andere partijen betalingen kunnen verwerken binnen Apples mobiele besturingssysteem iOS. Daarmee hopen ze ook goedkoper uit te zijn, want Apple vraagt 30 procent provisie over die betalingen.
Is Apple machtig? Dat hangt af van de vraag wat de ‘markt’ is. In de mobieltjes- of zelfs smartphonemarkt is Apple hooguit een middenmoter. Maar als je bijvoorbeeld “high-end smartphones” als aparte markt ziet, is Apple ineens marktleider.

In deze zaak zag de ACM “de markt voor appstorediensten op het besturingssysteem iOS ten behoeve van datingappaanbieders” als de relevante markt. Apple wees op andere platforms en natuurlijk webapps en websites. De ACM had daar tegenover gesteld dat specifiek bij datingapps iedereen eigenlijk gewoon de app gebruikt, onder meer omdat je dan pushberichten krijgt en meer OS-functies kunt gebruiken.

En nou ja, in die markt is Apple met 100% marktaandeel de dominante partij. En als je zo machtig bent, dan gaan er andere spelregels gelden omdat je dan veel invloed op anderen kunt hebben:

Het door Apple gekozen exploitatiemodel leidt ertoe dat de datingappaanbieders als gevolg van de gedwongen betaalafwikkeling via de IAP-API beperkt worden in hun mogelijkheden om betaalmethoden te kiezen die zijn afgestemd op de wensen van hun gebruikers, wat een negatieve invloed kan hebben op hun dienstverlening aan de consument. Daarnaast zijn de gebruikers van datingapps vanwege de door Apple gehanteerde voorwaarden feitelijk klanten van Apple en niet van de datingappaanbieders zelf. Hierdoor worden datingappaanbieders ervan weerhouden een rechtstreekse klantrelatie op te bouwen met hun gebruikers. Apple verstrekt verder geen gegevens aan appaanbieders waarmee de identiteit van een klant kan worden vastgesteld.
Dit is volgens de rechtbank een overtreding van het mededingingsrecht. Wie trouwens denkt dat rechters geen verstand van techniek hebben, mag eerst dit vonnis gaan lezen. Ik heb cursussen iPhone apps maken gelezen die mínder begrip tonen van SDK’s, API’s en het goedkeuringsproces van Apple.

De overtreding zit hem er in dat er enerzijds groot nadeel voor concurrenten ontstaat en anderzijds Apple niet echt een objectieve reden aandroeg waarom het op die manier moet werken. Meer dan “zo doen wij dat nu eenmaal en dat is goed voor de kwaliteit en de consument” kan ik er niet uit halen, en dat is simpelweg te weinig als je zo machtig bent.

De discussie is natuurlijk een tikje achterhaald door de Europese DMA-handhaving tegen Apple (met een miljardenboete in aantocht). Dat was het hele punt van de Digital Markets Act (die ik ooit het chagrijnige broertje van de DSA noemde): het mededingingsrecht is achteraf en vereist een evaluatie per geval. De DMA verbiedt het gewoon op voorhand.

Arnoud

 

Richtlijn voor schermgebruik kinderen is welkom, maar ‘kabinet ook zelf aan zet’

Geplaatst op in Informatiemaatschappij, 21 reacties
Photo by HelenJank on Pixabay

Ouder- en scholenorganisaties zijn overwegend positief over een advies van het demissionaire kabinet om kinderen tot vijftien jaar niet toe te laten op sociale media en smartphones pas toe te staan vanaf groep acht. Dat meldde Nu.nl vorige week. Kritiek is wel dat er geen regelgevende kracht achter zit.

Het advies noemt zichzelf ‘Duidelijk‘: wacht met sociale media tot 15 jaar. Want:

Bijna 13% van de jongeren loopt zelfs risico op problematisch sociale media gebruik. We willen dat kinderen gezond en veilig kunnen opgroeien en ouders daarbij ondersteunen. Daarom komen we nu met heldere, eenduidige richtlijnen om hen daarbij te helpen.
Deze komen neer op een tweestapsplan. Vanaf begin middelbare school laat je kinderen starten met chatapps, met begeleiding en uitleg. En vanaf ongeveer 15 jaar kunnen ze dan social media gaan gebruiken. De reden hiervoor is dat chatomgevingen iets geslotener zijn, je krijgt niet steeds nieuw aanbod.

Het probleem wordt treffend samengevat in deze quote: “Ouders en kinderen kunnen in hun eentje niet op tegen de verslavende elementen van sociale media.” Want daar zit te kern. Al langer erger ik me dood aan de dooddoener “het ligt aan de ouders”. Want er komt zó veel manipulatief geweld op je af en er is zó veel actief misleidende informatie daar omheen dat je werkelijk niet kunt verwachten dat individuele mensen met ook gewoon andere zorgen zich óók nog staande kunnen houden tegen deze dienstverleners.

Natuurlijk snap ik ook dat een verbod best ingewikkeld is. Want wat ga je dan verbieden? Bezit van smartphones door mensen onder de zestien? Accounts op social media zonder leeftijdsverificatie? Ik zou ook niet weten hoe dat te handhaven, gezien die clubs in de VS zitten en onbeperkt geld hebben om welke maatregel dan ook oneindig te traineren.

Er moet toch iets in het midden mogelijk zijn.

Arnoud

 

Meta verbieden haar AI te trainen op jouw data, het kan bij de rechter

Geplaatst op in Ondernemingsvrijheid, Privacy, 2 reacties
Photo by Rob Martin on Unsplash

[verzoeker] verzoekt Meta te verbieden om zijn persoonsgegevens, althans zijn “informatie” te combineren tussen Facebook en /of Instagram, en/of enige andere dienst(en) van Meta, waarvoor Meta Ads, Meta AI, “AI-tools voor advertentiemateriaal” en/of (het genereren van) modellen, waaronder modellen die Meta in Meta AI gebruikt en via een open platform aanbiedt en dat open platform. En de rechter wijst dat toe, op straffe van een ton per overtreding. Wut?

Dat Meta bezig is met AI-modellen te trainen op Facebook- en Instagramdata is al geruime tijd in het nieuws. Men biedt een opt-out, vanuit de AVG-redenering dat dit mag op grond van gerechtvaardigd belang. Die grond vereist geen toestemming maar wel een opt-out (“recht van bezwaar”, artikel 21).

Of dat opgaat is de vraag, maar echt actie vanuit AVG-toezichthouders lijkt er niet te komen. De AP waarschuwde mensen wel om zich af te melden, maar ik heb geen geluiden gezien dat er verboden werden overwogen.

De verzoeker in deze small claims rechtbankprocedure had een stapje buiten de AVG gekeken en geconcludeerd dat de Digital Markets Act dit eigenlijk onmogelijk maakte. Dus bezwaar maken was niet aan de orde, het mag gewoon niet vanwege de machtspositie van Meta. Bovendien kon je alleen bezwaar maken met een account, en werkte het “Blokkadescherm” technisch niet.

Small claims, kent u die uitdrukking? De Europese procedure voor geringe vorderingen (ESCP) is expliciet gemaakt om ‘kleine’ en makkelijke zaken (tot 5.000 euro financiële waarde) te kunnen regelen. En “Meta mag mijn persoonsgegevens niet gebruiken om een AI te trainen” valt binnen dat bereik.

Meta vocht het verzoekschrift aan met vooral formele gronden, onder meer omdat er al een andere procedure tussen de twee liep. Maar de rechter vindt dat laatste niet van belang – het gaat hier om een specifieke aparte vordering, die gewoon apart behandeld kan worden.

Verder constateert de rechter iets merkwaardigs. Meta heeft herhaaldelijk gezegd dat ze ieder bezwaar honoreren, en nu komt iemand via de rechter met een bezwaar en dan gaat Meta moeilijk doen? Dat is natuurlijk onlogisch.

[Uit de openbare aankondigingen van Meta] wordt afgeleid dat de enkele mededeling dat er bezwaar is tegen het gebruik van de gegevens van [verzoeker] door Meta al voldoende zou moeten zijn om te voldoen aan het verzoek van [verzoeker] , zodat niet valt in te zien welke bezwaren Meta in de zaak van [verzoeker] nu nog zou willen maken. Ook wordt daarbij nog in ogenschouw genomen dat Meta ook na het bezwaar dat zij heeft gemaakt tegen de voorlopige voorziening op 1 mei 2025 nog ruimschoots de gelegenheid heeft gehad om inhoudelijke bezwaren naar voren te brengen, hetgeen zij niet heeft gedaan.
De eis wordt dus toegewezen. Inclusief dwangsom, wat een tikje raar is omdat Meta dus steeds zegt dat ze gewoon gehoor geeft aan alle bezwaren. Alleen had Meta specifiek hier dat niet gezegd:
Het had tegen die achtergrond ook voor de hand gelegen dat Meta in deze procedure deze toezegging ook aan [verzoeker] had verstrekt, zodat de noodzaak van een voorziening was komen te vervallen. Dat heeft zij echter niet gedaan, sterker zij heeft formele bezwaren tegen honorering van het verzoek van [verzoeker] geformuleerd en ook nog verzocht om een termijn om inhoudelijk op het verzoek van [verzoeker] te mogen reageren. Gelet op deze proceshouding wordt aanleiding gezien een dwangsom als na te melden op te leggen.
Het is mij een volstrekt raadsel waarom de advocaat van Meta hier gekozen heeft voor een procedure. Ik zie niet hoe dit tot een andere uitspraak had kunnen leiden.

Arnoud

Musk zet Nederlandse waakhond RDW onder druk: ‘erg frustrerend’

Geplaatst op in Regulering, 15 reacties

Tesla-baas Elon Musk hoopt op snelle toestemming van de Nederlandse en Europese toelatingsautoriteit om zijn lane switch-feature van het Autopilot-systeem toe te laten. Dat meldde BNR onlangs. De kennelijke bedoeling is om zo snel Europa in te kunnen: als onze RDW een auto typegoedkeurt, mag het in de hele EU de weg op.

Het gaat om de Tesla Model Y met ‘FSD Unsupervised’, de opvolger van haar Full-Self Driving (FSD) feature waarbij menselijk toezicht wél nog nodig is. Zoals Tesla het uitlegt in die typische toon die ik sterk met ChatGPT associeer (wat vast komt omdat het machinevertaald ronkend Engels is):

De momenteel beschikbare Autopilot-, Enhanced Autopilot- en Full Self-Driving-functies vereisen actief toezicht van de bestuurder en maken de auto niet autonoom. Volledig autonoom rijden is afhankelijk van het behalen van een betrouwbaarheid die menselijke bestuurders ruimschoots overtreft en die door miljarden gereden kilometers is bewezen. Daarnaast is het ook afhankelijk van wettelijke goedkeuring, wat in sommige landen meer tijd kan vergen.
Na de nodige heisa over de term “FSD” die dus niet betekent dat het ding volledig zelf rijdt, werd dit “FSD Supervised”. En de logische opvolger is dan FSD Unsupervised. Kennelijk zal op 28 juni een Tesla voor het eerst autonoom de fabriek verlaten en naar de koper toe rijden. En dat moet in Europa ook, maar daar is een toelating voor nodig.

Om toelating vragen doe je via X, want daar komt dan genoeg herrie in de media (en in de Linkedin-boxen van de RDW-directie) dat men op hoog niveau bij de RDW streng gaat kijken:

Als één EU-land een dergelijk systeem goedkeurt, moeten andere landen dat volgen. Dat maakt de rol van de RDW cruciaal, weet ook Musk. ‘Het is zeer frustrerend en schadelijk voor de veiligheid van mensen in Europa; rijden met de geavanceerde Autopilot resulteert in vier keer minder verwondingen! Verzoek daarom uw bestuursorganen om de veiligheid van Tesla in Europa te versnellen’, zegt hij in zijn tweet.
De timing is opvallend, zoals dat dan heet, omdat heel recent nog bekend werd dat er in 2015 wat raars gebeurde: Tesla’s FSD werd door de RDW goedgekeurd, ondanks dat de regels alleen automatische ondersteuning toestaan die zeer korte tijd en op een lage snelheid konden ingrijpen.
De door de RDW en Tesla gevonden ‘achterdeur in de regelgeving’ maakte goedkeuring toch mogelijk. “Je kon de regels zo interpreteren dat er stond: het systeem maakt één manoeuvre, gevolgd door nog een manoeuvre, en nog één, enzovoorts”, aldus de betrokken ambtenaar. “En als je dat aan elkaar knoopt kan de auto voor een langere periode rijden. De meesten van ons zagen deze uitleg als een maas in de wet.”
In een reactie maakt de RDW duidelijk dat hier geen sprake is van een ‘maas’ in de wet, zoals de Zweedse toezichthouder lijkt te betogen. De wet is in ieder geval verduidelijkt sindsdien.

De druk is wellicht te begrijpen gezien het doel om nog in 2025 de Europese markt te betreden met FSD Unsupervised.

Arnoud