Is een portscan strafbaar?

Geplaatst op in Security, 33 reacties

portscanEen lezer vroeg me:

Op mijn thuisserver zie ik met zeer grote regelmaat portscans voorbij komen. Is dat eigenlijk niet strafbaar en wat kan ik er juridisch tegen doen?

Een portscan (port scan?) is een technisch hulpmiddel om vast te stellen welke diensten een bepaalde server aanbiedt. Diensten (services) zijn via verschillende adressen op een en dezelfde server – poorten, letterlijk eigenlijk ‘havens’ maar goed – bereikbaar. Zo werkt http via poort 80, en verstuur je mail via poort 25.

Weten welke diensten een server aanbiedt, en vooral welke software daarbij wordt ingezet, is handig om te weten als je van plan bent in te breken op die server. Door op alle poorten een communicatie te starten, krijg je die informatie want vrijwel alle serversoftware identificeert zichzelf daarbij. En dan kun je per stukje software opzoeken welke bekende kwetsbaarheden deze heeft.

Portscannen staat als zodanig niet in het wetboek van strafrecht. Het is geen binnendringen (art. 138ab Sr) want je voert geautoriseerde handelingen uit. Die software draait op een bekende poort, en hij geeft volgens het protocol de gebruikelijke reactie. Dat is net zo min strafbaar als aanbellen of het naamkaartje lezen bij een voordeur. En normaliter zal een portscan een server niet laten crashen, dus dat is dan ook geen “veroorzaken van een stoornis in de werking van een geautomatiseerd werk” (art. 161sexies Sr). Tenzij je het zo veel en vaak doet dat je van een denial of service-aanval kunt spreken.

Toch riekt dit naar niet de bedoeling, en het verbaast dan ook niet dat het strafrecht daar wat op gevonden heeft. Twee man die ’s nachts om drie uur met een bivakmuts en een breekijzer in iemands portiek staan, dat voelt ook niet helemaal jofel dus daar wil je als agent tegen kunnen optreden. En dat kan: het strafrecht kent de ‘poging tot’, artikel 45 lid 1 Sr:

Poging tot misdrijf is strafbaar wanneer het voornemen van de dader zich door een begin van uitvoering heeft geopenbaard

Er moet dus sprake zijn van een poging tot plegen van een misdrijf, een overtreding proberen te plegen is niet strafbaar. En er moet een “begin van uitvoering” zijn, alleen maar bedénken dat je een misdrijf gaat plegen is niet strafbaar. (Nou ja behalve als je het met z’n tweeën bedenkt en het misdrijf “met terroristisch oogmerk” is.)

Computervredebreuk is een misdrijf, dus poging daartoe is strafbaar. Brute forcen van een account en gepakt worden voordat je het wachtwoord geraden had, levert dus strafbare poging op want je was bezig met inbreken, er was een begin van uitvoering.

Het vinden van zwakke plekken om in te breken lijkt me ook een “begin van uitvoering”, immers die informatie is nodig om naar binnen te kunnen gaan. Een persoon met bivakmuts die aan alle ramen rammelt om drie uur ’s nachts, is ook bezig met een begin van uitvoering (van inbraak).

Het lastige is alleen, je kunt ook portscannen zonder die informatie te willen gebruiken om later in te breken. En dat oogmerk, dat plan om in te breken, moet er wel zijn. Je kunt niet iets ‘pogen’ dat je niet van plan bent, als u begrijpt wat ik bedoel.

Dus: portscannen is strafbaar, mits duidelijk is dat de portscan-uitvoerder van plan is vervolgens in te gaan breken bij het geportscande systeem. Alleen: hoe bewijs je dat? Je kúnt natuurlijk zeggen, er is geen andere legitieme reden om te portscannen dús is elke portscan bewijs van de wens in te gaan breken. Maar dat voelt wel een beetje te kort door de bocht. Wat jullie?

Arnoud

Mijn school neust rond op mijn server, mag dat?

Geplaatst op in Ondernemingsvrijheid, Security, 22 reacties

terminal-screen-computer-ssh-loginEen lezer vroeg me:

Laatst zat ik op een schoolcomputer te internetten en ondertussen op mijn eigen server wat te doen (via ssh ingelogd). Ineens kreeg ik computerproblemen omdat een vriendje me een “grappige site” toe had gestuurd. Ik kwam er niet meer uit en moest de systeembeheerders erbij halen. Die gingen echter ook rondneuzen op mijn PC, want ze dachten dat ik aan het hacken was (“wat voor raar zwart/wit schermpje is dat”). Ook lazen ze mijn Gmail mail die nog openstond. Ik heb ze erop gewezen dat dat computervredebreuk was, maar ze gingen gewoon door. Wat kan ik nu het beste doen?

Dit is natuurlijk nogal ongepast, maar of het strafbaar is durf ik zo niet te zeggen. Volgens de wet is er pas sprake van computervredebreuk als je willens en wetens ergens binnendringt waarvan je weet dat je er niet mag zijn. Het gaat er niet (meer) om of je een beveiliging doorbreekt, maar of je op verboden terrein bent.

Wanneer een systeembeheerder gevraagd wordt om een probleem te herstellen, dan heeft hij daarmee impliciet toestemming om overal te komen waar hij redelijkerwijs zou moeten zijn om het probleem te detecteren of op te lossen. Heb je bijvoorbeeld een probleem met je mailbox waar een veel te grote bijlage in zit, dan mag de systeembeheerder in je mailbox om die bijlage eruit te vissen. Hij kan en mag dan mails doorkijken om te zien waar de bijlage zit. Natuurlijk heeft hij dan wel een geheimhoudingsplicht over wat hij aantreft (zie ook hier).

Je zou zeggen dat een beetje systeembeheerder zo’n “grappige” site wel herkent en snapt dat je dan de browser via taakbeheer moet afschieten. Maar als niet duidelijk is wat er precies gebeurt, dan lijkt het me logisch dat je even alle venstertjes afloopt om te zien of er iets draait dat de problemen kan veroorzaken. Lezen van Gmail lijkt me niet echt nodig. Dat hij de pagina bekijkt die toevallig open staat, zal onvermijdelijk zijn maar doorbladeren in de mailbox is echt niet toegestaan. Tenminste, tenzij daar een hele goede reden voor is – en die kan ik bij deze vraag zo niet bedenken.

Een openstaand ssh schermpje lijkt me ook niet direct relevant, maar ik kan me voorstellen dat je even wilt weten of dat niet een systeem van de school is. En nee, de titelbalk van het venster zegt daar niets over want die is eenvoudig aan te passen. Dus ook hier ben ik geneigd tot op zekere hoogte het systeembeheer gelijk te geven. Maar op het moment dat hij daar servers gaat herstarten of rootkits gaat installeren, zou ik denk ik wel tot arrestatie op staande voet overgaan.

Arnoud

Kun je privéberichten opeisen bij een forum via de Wet bescherming persoonsgegevens?

Geplaatst op in Privacy, 18 reacties

phpbb-private-message-pb-bericht-inbox.pngEen lezer vroeg me:

Recent ben ik verbannen van een forum. Hierdoor ben ik de toegang verloren tot al mijn privécommunicatie op dat forum. Deze wil ik nu opeisen via de Wet bescherming persoonsgegevens, de berichten betreffen immers mijzelf. Maar het forum wil me die niet geven, ze zeggen dat de Wbp niet geldt. Hoe zit het nu?

Het opeisen van persoonsgegevens kan in principe. Immers, als iemand persoonsgegevens verwerkt, heeft de betrokken persoon een recht van inzage (art. 35 Wbp). Hij mag vragen om:

een volledig overzicht [van de gegevens] in begrijpelijke vorm, een omschrijving van het doel of de doeleinden van de verwerking, de categorieën van gegevens waarop de verwerking betrekking heeft en de ontvangers of categorieën van ontvangers, alsmede de beschikbare informatie over de herkomst van de gegevens.

Zaken als logs over iemand zijn persoonsgegevens, en de persoon heeft dus recht op een kopie van die logregels met zijn IP-adres of zijn gebruikersnaam. (Mits ze er nog zijn, er is géén logplicht of bewaarplicht voor forums.)

Bij privéberichten ligt dit wat lastiger. Ook die zijn als persoonsgegevens te zien, al is het maar omdat de persoon er als afzender of ontvanger aan gekoppeld is. Maar of die op te eisen zijn, betwijfel ik. Allereerst kun je je afvragen of de forumbeheerder wel de ‘verantwoordelijke’ is in de zin van de wet – hij koos er niet voor dat die gegevens in die berichten terecht kwamen, immers. Dat was de afzender van het bericht. Dus díe is volgens mij de persoon die je om inzage moet verzoeken.

En ten tweede bepaalt de Wbp dat wanneer “een derde naar verwachting bedenkingen zal hebben”, je eerst die derde (de wederpartij bij de communicatie dus) moet vragen om zijn ‘zienswijze’ over het inzageverzoek. Gezien het feit dat het om privéberichten gaat lijkt het me logisch dat die zienswijze is “eh, nee, privébericht”. Hoewel het briefgeheim formeel niet geldt voor e-mail of privéberichten, zit er wel een zwaarwegend privacybelang op zulke berichten. En dat blokkeert dan het recht van inzage. Hoewel daar natuurlijk tegenover staat dat het bericht al eens gestuurd was door/naar de betrokken persoon, dus hij wéét al wat erin staat.

Als de berichten ondertussen al weg zijn (omdat het account is opgeheven), dan houdt het natuurlijk allemaal op.

Het verbaast me trouwens hogelijk dat geen van de bekende forumsoftwarepakketten een exportoptie lijkt te hebben voor privéberichten. Mis ik iets of vindt men dat massaal overbodig?

Arnoud

Amerikaanse rechter claimt rechtsmacht over data op Europese Microsoft-servers

Geplaatst op in Privacy, Regulering, 41 reacties

cloud-flag-usaEen Amerikaanse rechter heeft bepaald dat Microsoft data moet afgeven aan Justitie, ondanks het feit dat die data op een server in Ierland staat en onder beheer is van Microsofts Ierse dochter. Dat meldde Slashdot gisteren. Microsoft had de search warrant aangevochten met de stelling dat de Ierse dochter buiten Amerikaanse jurisdictie valt, maar de rechter bepaalt nu dat dit geen relevant argument is bij clouddatavorderingen.

Het gelinkte Reuters-artikel legt uit dat het ging om e-maildata van een klant die op servers in Ierland stond. Deze servers worden beheerd door Microsofts Ierse dochter. Toen het moederbedrijf het bevel kreeg deze data af te geven, stapte men naar de rechter – zoals het bedrijf al meerdere malen had gemeld te zullen doen, in een poging angst over wereldwijd Patriotactdatagraaien bij Europese bedrijven en instellingen weg te nemen.

Het argument van Microsoft was gestoeld in twee eeuwen jurisprudentie: de Amerikaanse Justitie kan geen bevel geven om een buitenlands huis (of kantoorgebouw) te doorzoeken, ook niet als dat huis van een Amerikaan is. Daar mag men simpelweg niet in zoeken. En wat is nu het verschil tussen een server en een kantoorgebouw?

De rechter ziet het echter anders: het gaat hier niet om fysiek bezoeken van een locatie maar om het opvragen van data. En het is óók twee eeuwen jurisprudentie dat een Amerikaan die iets heeft dat moet komen brengen als de rechter daarom vraagt. Ook al ligt het iets in kwestie in een ander land. En als je die doctrine loslaat op e-mail dan moet Microsoft Inc de data dus maar gaan halen in Ierland. Of haar dochter bevelen dit te doen, wat ze juridisch kan aangezien dochterbedrijven moeten doen wat hun moederbedrijven zeggen.

Microsoft gaat bezwaar maken tegen deze beslissing. Een goede zaak, want dan krijgen we eindelijk eens écht duidelijkheid over hoe ver Amerikaans clouddatagraaien nu mag gaan. (Overigens gaat het hier niet om de Patriot Act maar de Stored Communications Act, qua concept vergelijkbaar met ons Wetboek van Strafvordering. En nu vraag ik me dus af of onze wet ook zo te lezen zou zijn als toepasselijk op data op een in het buitenland gehoste server van een Nederlands bedrijf. Ik kan er alleen niets over vinden…

Arnoud

Valt streamen ook onder het downloadverbod?

Geplaatst op in Intellectuele rechten, 41 reacties

moviestreamer-streamen-videoStreamen is en blijft volledig legaal, meldde deze vage site waar een lezer me op wees. Sinds kort hebben we een downloadverbod, althans is er geen mogelijkheid meer je download uit illegale bron als thuiskopie te rechtvaardigen. En sinds die uitspraak zie je nu overal streamingsites en dergelijke opduiken die pretenderen legaal te zijn. Maar hoe zit dat nu?

Het downloadverbod is een misleidende term. De wet noemt die term niet. In de Auteurswet vind je alleen de termen ‘openbaar maken’ en ‘verveelvoudigen’ terug, zeg maar aanbieden aan anderen en kopiëren respectievelijk. Die dingen mag je niet zonder toestemming, tenzij enkele uitzonderingen. Elke kopie van een werk is dus in principe verboden, ook als je dat op je eigen computer doet. Je zult een uitzondering moeten vinden in de Auteurswet om dit te mogen doen.

Een voorbeeld van zo’n uitzondering is het citaatrecht, waarmee je korte stukjes van een werk mag verveelvoudigen of openbaar maken als onderdeel van een aankondiging, bespreking, kritiek of vergelijkbaar gebruik in je eigen werk. Ook is er een recht een werk te parodiëren.

En omdat het niet zo wenselijk werd geacht dat gewone mensen thuis inbreuk op het auteursrecht zouden plegen als ze een liedje opnemen op cassette of overtypen met carbonnetje, is er de thuiskopie-exceptie ingevoerd. Die zegt, wie voor eigen oefening, studie of gebruik een verveelvoudiging maakt, pleegt geen inbreuk. Je mag die kopie niet verspreiden, dat is een openbaarmaking. En omdat het zo zielig was voor rechthebbenden dat alle radio-opnemers en carbonpapierovertypers geen extra kopie kochten, is de thuiskopievergoeding bedacht. Rechthebbenden krijgen een paar centen voor elke lege drager, gebaseerd op een schatting van de thuiskopietjes die daarop gemaakt zullen worden.

Bij die wetstekst stond dus niet dat die verveelvoudiging uit legale bron moest zijn. Ik ben er nog steeds niet achter waarom niet, mijn gok blijft dus dat daar gewoon niet aan is gedacht. Maar sinds begin jaren nul was de uitleg voor iedereen helder: yup, ook illegale bronnen vallen hieronder. Zo zei de minister ooit dat dit goed uitkwam omdat de consument niet kan zien of een bron legaal of illegaal is. Maar volgens het Hof van Justitie is het tegendeel helder: kom nou, de thuiskopie mag alleen voor legale bronnen gelden. En dat wordt nu uitgelegd als “het downloadverbod geldt per direct”, omdat je ons wetsartikel kúnt lezen als “alleen uit legale bron”. Dus dat moet dan maar de uitleg zijn. Ik blijf erbij dat dat gek is: als iedereen al ruim 14 jaar zegt dat het óók het illegale dekt, dan moet je toch iets aan de tekst doen om dat te veranderen?

Afijn. Streamen. Streamen is wat anders dan downloaden: bij streamen blijft er geen kopie op je harddisk achter, maar vervloeien de bitjes direct weer nadat ze gedecodeerd zijn. En tsja, als dównloaden dan verboden is dan geldt dat dus niet voor streamen, denken dan veel mensen. Maar nee. De wet kent niet als criterium dat de kopie permanent is. De enige vraag is óf je een kopie (verveelvoudiging) maakt.

En dat doe je: in het tijdelijk geheugen van je computer. Bij computerprogramma’s staat dat letterlijk in de wet (art. 45i Auteurswet): “het laden, het in beeld brengen, de uitvoering, de transmissie of de opslag” van een computerprogramma is een verveelvoudiging. Maar ik zou niet weten waarom dat voor andere digitale data niet zou gelden.

Er is een uitzondering voor tijdelijke reproducties (art. 13a Auteurswet), en het bestaan daarvan suggereert toch ook dat het normaal wél een verveelvoudiging is om een tijdelijke kopie te maken:

Onder de verveelvoudiging van een werk van letterkunde, wetenschap of kunst wordt niet verstaan de tijdelijke reproductie die van voorbijgaande of incidentele aard is, en die een integraal en essentieel onderdeel vormt van een technisch procédé dat wordt toegepast met als enig doel
a) de doorgifte in een netwerk tussen derden door een tussenpersoon of
b) een rechtmatig gebruik
van een werk mogelijk te maken, en die geen zelfstandige economische waarde bezit.

Maar die vereist “een rechtmatig gebruik” en bij een verveelvoudiging uit illegale bron is die er niet. Ik zie dus zo niet hoe je streaming als iets anders dan een verveelvoudiging kunt aanmerken. En als je die wilt maken, heb je een wettelijke grond nodig. En die is er niet meer, sinds het Hof dus zei dat het thuiskopie-artikel niet zo gelezen moet worden.

En dan gelijk een disclaimer: nee, ik word niet betaald door Brein om dit te zeggen. Ja, dat was een serieuze disclaimer. Sinds FTD en vooral sinds ik riep dat ondertitelen inbreuk is, hoor ik het verwijt dat ik een deep undercover Brein-agent ben. Ooit begin jaren nul gerekruteerd, langdurig als sleeper een dekmantel ontwikkeld en zo bezig van binnenuit de vrije informatiesamenleving (of zoiets) te saboteren conform de wensen van mijn puppet master. Eh. Wut.

De enige escape voor deze conclusie zou zijn als je zegt, nee, je verveelvoudigt per seconde steeds maar een héél klein stukje van het werk, maar nooit het gehele werk. Nu is ook een verveelvoudiging van een deel van een werk verboden, maar een fragment van één seconde voelt wel als iets te klein om je juridisch druk over te maken. Alleen, als je elke seconde 1 seconde kopieert dan voelt dat toch weer anders. En dan kom je toch ook weer uit bij het doel van het Auteursrecht: het is niet de bedoeling dat dit mag, dus mag het niet.

Update (19 augustus) de Reclame code commissie oordeelt dat reclame voor de DIT is TV Box misleidend en daardoor oneerlijk is in de zin van artikel 7 NRC. En dit artikel werd genoemd in de klacht, jeej.

Arnoud

Hoe haal je je recht als kleine wederpartij?

Geplaatst op in Informatiemaatschappij, 42 reacties

hamer-klap-aanvaarding-rechtspraak-uitspraak.jpgEen frustratie die me steeds vaker opvalt: mensen hebben een juridisch probleem, en hoewel de oplossing (volgens mij dan) duidelijk is, weigert de wederpartij daaraan mee te werken. Soms met argumenten, soms met “je zoekt het maar uit” of “succes bij de rechter dan”. En de frustratie is dan: ga je naar de rechter over die paar tientjes of zelfs die paar honderd euro? Want de kosten van een rechtszaak zijn niet mis, zeker niet als je een advocaat of jurist mee wil nemen. Veel mensen laten het er bij zitten, en dat voelt toch onbevredigend als je eigenlijk gelijk hebt.

De gang naar de rechter is duur. Het griffiegeld, zeg maar het toegangskaartje bij de rechtbank, kan zomaar 462 euro zijn. En dan heb je het nog niet eens over de kosten van je advocaat of jurist: die is de nodige uren kwijt aan het opstellen van een dagvaarding, het reageren op de stukken van de wederpartij en het pleiten bij de rechter zelf.

Een rechtsbijstandsverzekering kan de kosten van een rechtszaak dekken. Alleen zal lang niet ieder geschil gedekt zijn. Zo zijn geschillen over domeinnamen of auteursrechten, toch niet onbelangrijk in ICT-land, vaak uitgesloten (onder het kopje “Intellectuele eigendom”). Of dekt men alleen gevallen waarin de ander bij jou komt claimen. Voordeel bij een kleine zaak is wel dat menig verzekeraar dan zélf het geëiste bedrag betaalt (bijvoorbeeld de aankoopsprijs van het defecte apparat van 49 euro) zodat je niet eens naar de rechtere hoeft.

Veel webwinkels zijn aangesloten bij een geschillencommissie, zoals bij Thuiswinkel Waarborg. Zo’n commissie kan bindende uitspraken doen over een geschil, en dat is sneller en goedkoper dan naar de rechter stappen. Het kost meestal rond de €50, waarbij je je geld over het algemeen terugkrijgt als je gelijk had met je geschil. Maar webwinkels/bedrijven zijn dit niet verplicht, net zo min als dat ze verplicht zouden zijn naar de Rijdende Rechter te gaan als je dat graag wil.

Heb je geen rechtsbijstand (of gedekt geschil) en zit het bedrijf niet bij een geschillencommissie, wat moet je dan als het bedrag de kosten van rechtszaak+advocaat niet waard is?

Herrie maken op klachtensites (zoals Klacht.nl of Klachtenkompas.nl) is zo ongeveer het enige dat ik verder nog kan bedenken. Soms wordt een klacht dan wél opgelost, terwijl dat niet gebeurt als je het bedrijf direct benadert. Klagen op social media kan ook nuttig zijn, als men een webcaredienst heeft. Ergens is het wel frustrerend dat je dan die route moet nemen.

Heb je een bedrijf dat zich niets aantrekt van openbaar geklaag ook, dan houdt het wel een beetje op vrees ik. Hebben jullie nog suggesties?

“Je mag ons niet meer aanklagen want je hebt ons geliket!”

Geplaatst op in Informatiemaatschappij, 17 reacties

facebook-dislike-like.pngOntbijtproducent General Mills claimt op haar website dat wie haar liket of een coupon downloadt, afziet van het recht haar te mogen aanklagen. Dat meldde de New York Times een paar dagen terug. Deze acties zouden volgens grijze-letter-op-witte-achtergrondtekst leiden tot aanvaarding van gebruiksvoorwaarden waarin een arbitrage-beding is opgenomen. Na een hoop herrie werd dat voorstel snel weer ingetrokken maar de reputatieschade zal nog wel even doorlopen. En dat roept de juridische vraag op: kan dat dan, iemand binden aan voorwaarden door het klikken van een like!-knopje?

Arbitrageregels zie je in steeds meer gebruiksvoorwaarden opduiken. In plaats van naar de rechter, moet je dan naar een panel van juristen dat een bindende uitspraak oplegt in jouw zaak. Dat is voor Amerikanen belangrijk, want via class action suits (massaclaims) kunnen gehaaide advocaten miljoenenclaims neerleggen die dan tegen forse bedragen worden geschikt. En de Supreme Court heeft in 2011 gezegd dat wie toestemt in arbitrage, zijn recht opgeeft later mee te doen aan een class action.

Naar Nederlands recht ligt dat anders: een verplichte arbitrage staat op de zwarte lijst van algemene voorwaarden die altijd verboden zijn. Men moet een consument te allen tijde een maand of meer geven om te beslissen alsnog naar de rechter te willen. En dan wel een maand nadat de ondernemer zegt, ik wil de arbitrage inroepen. Niet -zoals in de VS- een maand nadat de voorwaarden zijn geaccordeerd.

Handig dus om mensen akkoord te laten geven op je voorwaarden met arbitragebeding. Laat je mensen lid worden van je site, dan is dat makkelijk: geen hond die de registratievoorwaarden leest, en in de VS is dat dan pech voor die hond die op I-agree klikt. Maar veel sites hébben geen registratie. En dan is het dus iets lastiger om een vinkje bij “I agree” te laten zetten.

Maar juridisch gezien, hoeft dat niet, zo’n vinkje. Zowel hier als in de VS geldt, een overeenkomst komt tot stand doordat iemand een aanbod aanvaardt. Aanbod en aanvaarding mogen op alle mogelijke manieren worden gedaan. Wie hieronder in de reactiepanelen zegt “Ik wil graag dat boek Webwinkels van jullie, €19,95 plus verzendkosten is prima”, die heeft zich gebonden aan een bestelling. Goed, ik zal een probleem hebben als mensen hun adres er niet bij zetten en een valse naam/adres is snel getypt, maar in beginsel is dat gewoon een probleem bij de uitvoering. Geen reden waarom contracteren per reactiepaneel juridisch niet rechtsgeldig zou zijn.

Dit bedrijf gaat nog een stapje verder: ze zeggen dat ze het akkoord afleiden uit op zich gewone handelingen. En dat voelt wat dubieuzer: ik doe die handelingen immers voor een ander doel. Het is nog wel te billijken dat je zegt, “typ deze tekst en je bent akkoord met die bestelling”. Maar zeggen, “al wie reageert vandaag, koopt een boek”, gaat wel even wat verder. Wéét je dat, moet je daarop beducht zijn als reageerder? Ik denk dat dat er echt expliciet bij zou moeten staan. En zelfs dan: mensen lezen niet, hóeven ook niet te lezen als ze iets doodnormaals gaan doen. Het is onredelijk om aan zo’n handeling welk rechtsgevolg ook op te hangen als dat afwijkt van het gewone verwachtingspatroon.

Wat vinden jullie? Wanneer ga je akkoord met website-voorwaarden, afgezien van registratie en vinkje met “I agree”?

Arnoud

Kabinet zwakt wetsvoorstel meldplicht datalekken af

Geplaatst op in Ondernemingsvrijheid, Privacy, 21 reacties

persoon-persoonsgegeven-veilig-hek-beschermd-lek-dataHet kabinet gaat de voorgestelde meldplicht voor datalekken beperken, las ik bij Tweakers. Bedrijven en organisaties zijn volgens de nieuwe voorstellen alleen verplicht melding te maken van datalekken als deze als ‘ernstig’ zijn te kwalificeren in plaats van zodra er een “aanmerkelijke kans” is dat er verlies of misbruik kan ontstaan, zo staat in de nota van wijziging.

Tsja. Het is subtiel woordenspel; in beide situaties moet de melder interpreteren of een diefstal of lek onder de wet valt. Ik weet niet of we daar heel gelukkig van worden. Ik denk dat met alle formuleringen die we gaan verzinnen, een melder of zijn slimme ICT-jurist een interpretatie weet te verzinnen waarom zijn lek er niet onder valt. “Nee sorry Heartbleed is geen ernstig datalek want er is geen aanwijzing in onze logs dat iemand het servergeheugen heeft leeggetrokken.”

Nee weet je: eigenlijk ben ik gewoon tégen een meldplicht. Mensen worden daar melddoof van – zie de cookiewet. Als je mensen om de haverklap vertelt dat er iets is, dan gaan ze dat negeren. Er is iets ernstig mis met je systeem als je denkt dat de oplossing is om mensen te waarschuwen. (Of je bent erg lui.)

Bovendien, specifiek bij datalekken, wat kún je doen? Stel mijn naam en huisadres worden gelekt. Wat moet ik dan? Verhuizen? Dat gaat toch niet? Ja oké bij een mailadres kan dat wel maar moet ik dan een ander mailadres nemen omdat een of andere nieuwsbriefbeheerder zo dom is een lekke database te hebben?

Nee. De vervuiler betaalt. Als jij zo dom bent, dan mag jij mij een vergoeding betalen als er overlast betaalt. In juridische termen: dan gaan we de directie eens aansprakelijk stellen voor verlies of diefstal van persoonsgegevens. En ja ik weet dat die schade moeilijk te kwantificeren is, dus daarom moet er in de wet komen te staan dat persoonsgegevens een vast bedrag waard zijn, zeg €150. En vervolgens moet de beheerder dus bij een datalek aan alle nieuwsbrieflezers €150 de man betalen.

Wedden dat bedrijven dan wél serieus gaan investeren in dichttimmeren van hun persoonsgegevendatabanken?

Arnoud

Hoe verdeel je de eigendom van versgemaakte software?

Geplaatst op in Intellectuele rechten, 11 reacties

software-code-binary-bits-bytesRegelmatig krijg ik vragen van softwareontwikkelaars en hun klanten over hoe om te gaan met het intellectueel eigendom op software die gemaakt is voor die klant. Hoe ga je daar nu mee om, hoe verdeel je die rechten op een manier waar beide partijen tevreden mee zijn.

Hoofdregel uit het auteursrecht is dat de partij die het werk maakt, de rechten daarop heeft. Huur je dus iemand in (een bedrijf of een freelancer), dan heeft deze de rechten. Niet de opdrachtgever. Ook niet als deze alle uren betaalt en/of als de software heel specifiek voor zijn situatie is ontwikkeld.

Wil je als opdrachtgever de rechten, dan moet je dat afspreken in de offerte. Achteraf opeisen kan ook, maar je staat dan een stuk zwakker. De ontwikkelaar hoeft dan niet akkoord te gaan met overdracht, dat was immers niet afgesproken. En iets verkrijgen dat niet afgegeven hoeft te worden, is onderhandelingstechnisch een lastige. Plus, wat moet dat kosten?

Een gebruikelijk compromis is maatwerk eigendom klant maken en het standaarddeel eigendom leverancier laten blijven. Zo kunnen zij door met het maatwerk, en kan de leverancier door met het standaardproduct naar andere klanten. Dit kan worden aangevuld met een verbod voor de leverancier om exact/vrijwel hetzelfde op te leveren voor een concurrent.

Nadeel voor de klant (en voordeel voor de leverancier) hiervan is dat de leverancier nu altijd nodig blijft om onderhoud aan de standaardsoftware te doen. Dat kan een leuke inkomstenbron zijn voor die leverancier, maar veel frustratie opleveren bij de klant. Zeker als de standardsoftware wordt uitgefaseerd of de ontwikkelaar gewoon geen zin meer heeft.

Van de ontwikkelaar eisen dat hij de rechten op de standaardsoftware afstaat, is niet redelijk. Hij maakte die immers om bij meerdere klanten in te zetten, en die optie wordt nu geblokkeerd.

Een alternatief kan zijn om te eisen dat de ontwikkelaar alleen werkt met open source. Daarvan is immers niet echt een eigenaar aan te wijzen, en bovendien heeft de klant dan altijd genoeg gebruiksrechten om er zelf mee te kunnen werken. Hij is dan leveranciersonafhankelijk. Maar lang niet iedere ontwikkelaar kan of wil werken met open source van derden.

Sommige juristen stellen dat je zou kunnen zeggen dat het totaalpakket eigendom van de klant kan worden, zonder dat de leverancier daarmee de onderliggende rechten verliest. Vergelijk dat iemand foto’s levert voor in een boek: de rechten op de foto blijven van de fotograaf maar het auteursrecht op het boek is van de uitgever daarvan. De uitgever mag het boek dan herpubliceren in bewerkte vorm zonder aparte toestemming van de fotograaf. Die analogie gaat echter niet helemaal op, want foto’s hoeven in een boek zelden aangepast te worden en bij standaardsoftware (zoals een CMS of framework) moet dat juist wél kunnen. Misschien als je zegt, het gaat hier om de ‘foto’ zoals aangepast voor maatwerkproduct X van klant Y. Een standaardpakket zal altijd iets moeten worden aangepast voordat het werkt bij klant Y.

Hoe dan ook, maak alsjeblieft vóóraf afspraken. En vraag door als klant: menig ontwikkelaar denkt dat als je zegt “je wordt eigenaar van de software” de klant daarbij begrijpt “behalve natuurlijk het framweork/cms dat ik erbij krijg, dat spreekt voor zich”.

Arnoud