Politie identificeert ruim honderd Nederlanders op forum voor cybercriminelen

Geplaatst op in Security, 6 reacties
Photo by Kevin Ku on Pexels

De politie heeft 126 Nederlandse gebruikers geïdentificeerd op Cracked.io, een hackerswebsite waarop cybercriminelen handelden in gelekte persoonsgegevens van slachtoffers. Dat meldde Nu.nl vorige week. Niet iedereen wordt strafrechtelijk vervolgd, wat voor diverse lezers reden voor vragen was: wanneer ben je dan strafbaar als je op zo’n site zit?

De politie licht een en ander toe:

Vanuit Europol hebben meerdere landen zich het afgelopen jaar beziggehouden met het veiligstellen en neerhalen van de door het forum gebruikte servers en het identificeren en vervolgen van de beheerders. Hierdoor kon Team Cybercrime van Zeeland-West-Brabant zich bezighouden met de identificatie van Nederlandse gebruikers. Het is uiteindelijk gelukt om 126 individuele gebruikers te identificeren. Per gebruiker zijn de strafbare feiten in kaart gebracht. Sommige personen waren al eerder veroordeeld of kwamen in lopende onderzoeken voor.
De vragen kwamen dus uit de vervolgen die deze mensen krijgen:
De afgelopen week hebben een groot aantal gebruikers een persoonlijke brief en/of e-mailbericht van de politie ontvangen. Daarnaast zijn er zo’n 20 stopgesprekken gevoerd. Tegen acht personen worden strafrechtelijke dossiers opgemaakt die aan het Openbaar Ministerie worden overgedragen, zij zullen hier een beslissing in nemen.
Je bent natuurlijk niet strafbaar enkel omdat je wel eens meeleest op zo’n forum, ook niet als je weet dat er regelmatig strafbare feiten gepland of uitgevoerd worden. (Je bent niet verplicht aangifte te doen als je kennis krijgt van cyberdelicten, behalve bij doodslag, verkrachting en terrorisme.)

Praat je mee, dan plaats je jezelf in een grijs gebied omdat dat te zien is als betrokkenheid bij (voorbereiding van) strafbare feiten. Meepraten wordt immers al snel meehelpen, en bij misdrijven is dat strafbaar.

Het is echter ook weer niet zo dat je altijd strafrechtelijk wordt vervolgd als de politie je opspoort in zo’n situatie. Die keuze hangt af van allerlei factoren, zoals ernst van je betrokkenheid, bewijsbaarheid van gevolgen en de capaciteit bij OM of rechtbank. Ook is belangrijk of het maatschappelijk nut heeft – zeker bij jonge daders zonder strafblad.

Een stopgesprek is een preventief middel dat de politie in kan zetten. Het idee is dan om iemand (nog geen verdachte) stevig te confronteren met het strafbare gedrag en de consequenties, in de verwachting dat die dan zijn gedrag gaat aanpassen of de schade zelf oplost.

Uit een stopgesprek kan bijvoorbeeld komen dat deze een schadevergoeding gaat betalen of hulp zoekt voor achterliggende psychische problemen. Daarmee is dan de noodzaak weg om het harde strafrechtelijke traject in te gaan.

Arnoud

 

AP verlaagt Kruidvat-boete voor trackingcookies van 600.000 naar 50.000 euro

Geplaatst op in Privacy, Regulering, 5 reacties
Photo by Rai Vidanes on Unsplash

De Autoriteit Persoonsgegevens verlaagt de boete die zij eerder aan Kruidvat gaf voor het plaatsen van trackingcookies van 600.000 euro naar 50.000 euro. Dat meldde Tweakers onlangs. Inderdaad, 90% eraf. De belangrijkste reden is dat de AP lang deed over het onderzoek en omdat boetes voor vergelijkbare overtredingen lager waren.

Tweakers legt uit:

Kruidvat kreeg de boete omdat het te snel trackingcookies plaatste bij bezoekers van de Kruidvat-website. In de cookiebanner stond standaard aangevinkt dat gebruikers toestemming gaven om die cookies te plaatsen. Het weigeren was volgens de toezichthouder te moeilijk, omdat gebruikers te veel stappen moesten doorlopen. Ook rekende de AP het Kruidvat aan dat er daardoor gevoelige gegevens werden verzameld, omdat de keten zaken als zwangerschapstests, voorbehoedsmiddelen en medicatie verkoopt.
De hiervoor toegekende boete was dus zes ton, wat ik op zich al fors vond maar het ‘specifieke karakter van drogisterijproducten’ woog mee: bij de Kruidvat koop je ook producten als zwangerschapstests, voorbehoedsmiddelen of zelfzorgmedicatie dus dat riekt naar bijzondere persoonsgegevens over gezondheid.

In het besluit op bezwaar komt men toch een beetje terug op die enorme boete, zij het nogal kortaf. Op zich was de opgelegde boete binnen de kaders van de Europese AVG-toezichthouders, en sloot deze ook aan bij de bandbreedte die de AP zelf hanteert. Echter:

De lange duur van de procedure bij de AP,zonder dat het onderzoek en de daaropvolgende handhavingsfase deze behandelduur rechtvaardigen, de erkenning van de (volledige) overtreding door [Kruidvat-moederbedrijf] AS Watson, de geringe ernst van de overtreding en de omstandigheid dat in een vergelijkbare procedure inzake (tracking) cookies de AP tot een (in relatief opzicht) vergelijkbare boete is gekomen, zijn voor de AP aanleiding om de boete in dit besluit vast te stellen op een bedrag van € 50.000,-.
In de comments wordt gereageerd dat AS Watson vorig jaar 53 miljard euro omzet had, dus dat maakt die 50k een schijntje zonder afschrikwekkende werking zeg maar. Daar wil ik wel tegenover stellen dat het bedrijf direct meegewerkt heeft (zie onderzoeksrapport) en ook nergens heeft betoogd vrij van schuld te zijn. Ik maak me vooral zorgen dat dit andere bedrijven aanmoedigt om tegen alles maar in bezwaar te gaan, want zulke korting is toch mooi meegenomen.

Arnoud

 

Is het per abuis wissen van videobeelden een datalek onder de AVG?

Geplaatst op in Privacy, 19 reacties
Photo by Mick Haupt on Unsplash

Beeldmateriaal dat mogelijk als bewijs kon dienen van wangedrag door Maccabi Tel Aviv-supporters in Amsterdam, bleek per ongeluk gewist, zo meldde de NOS onlangs. Daardoor moesten diverse strafzaken worden geseponeerd. Voor vele lezers gaf dit de vraag: is dit een datalek onder de AVG?

Het is volgens mij breed bekend dat ook verlies van gegevens kan tellen als een datalek. Dat staat ook expliciet in de definitie van die term, formeel “inbreuk op de beveiliging” (art. 4 lid 12 AVG):

een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens;
De bijbehorende nuance van de toezichthouder is wel dat dit alleen geldt als er geen kopie of back up is. Het achterliggende idee is namelijk dat je zonder backup als betrokkene rechten kunt verliezen – bewijs maar eens dat je in de administratie stond als die weg is, of dat je betaald hebt als je betalingsbewijs is gewist.

Wat is hier gebeurd:

Het GVB bevestigt [tegenover de NOS] dat op 12 november, vijf dagen na de ongeregeldheden in de stad, de opnamerecorders zijn vervangen. Dit stond al langer gepland. “Helaas heeft deze noodzakelijke ingreep, in combinatie met de beperkte bewaartermijn, ertoe geleid dat de betreffende beelden niet meer beschikbaar waren”, aldus een woordvoerder. Het GVB zegt overigens dat beelden soms ook korter dan een week worden opgeslagen.
Maar let op, niet iedere vorm van verlies van gegevens is automatisch al een datalek. Zie het begin van de definitie: er moet sprake zijn van een “inbreuk op de beveiliging”, oftewel een geschonden beveiligingsmaatregel. Een geautoriseerde gebruiker die besluit persoonsgegevens te wissen, veroorzaakt dus géén datalek ook al lijdt de betrokkene daar schade door.

Hier zijn de gegevens gewist binnen de organisatorisch geldende bewaartermijnen. Zo te lezen door slordig handelen: er komen nieuwe recorders, de oude mogen weg, oh ja oeps op de oude stonden nog beelden maar die dingen liggen al bij de recycling.

Ik zie hier niet meteen hoe de beveiliging van de persoonsgegevens is geschonden. Zeker, zorgen dat gegevens bewaard blijven is deel van de beveiliging (art. 32(1)(b) AVG noemt “beschikbaarheid garanderen” expliciet) maar als besloten wordt gegevensdragers buiten gebruik te stellen dan is dat gewoon een keuze, een legitiem handelen van de organisatie.

Dat dit gebeurde voordat de bewaartermijn was verstreken, is daarbij voor mij niet relevant. Dat is een zelfgekozen maximum voor het bewaren, geen toezegging dat de gegevens zo lang beschikbaar zullen blijven. En zelfs áls het als toezegging is geformuleerd, dan is weliswaar sprake van een fout van de organisatie maar niet van een geschonden beveiliging.

Arnoud

 

Burgemeester Utrecht mocht geen dwangsom opleggen voor digitale oproep tot ordeverstoring

Geplaatst op in Uitingsvrijheid, 16 reacties
Photo by Igor Omilaev on Unsplash

De burgemeester van Utrecht mocht geen dwangsom opleggen aan een man die via Telegram in 2021 had opgeroepen tot een gewelddadige confrontatie met de politie in de Kanaalstraat. Aldus bevestigt de Raad van State de eerdere uitspraak van de rechter in wat je een proefproces zou kunnen noemen over de online ordeverstoring.

Bij Security.nl hebben ze meer achtergrond:

De destijds 17-jarige jongen uit Zeist had in november 2021 in een groepschat op Telegram het volgende bericht geplaatst: “Utrecht in opstand, nee 2G & nee vuurwerkverbod! 26-11-21, 19.30, Kanaalstraat, Be there!!! Neem je matties & vuurwerk mee.” Volgens de burgemeester overtrad hij daarmee de Utrechtse Algemeen Plaatselijke Verordening (APV). De burgemeester legde hem vervolgens een ‘online gebiedsverbod’ op. De jongen moest een dwangsom van 2500 euro betalen als hij weer zou oproepen om in Utrecht samen te komen voor het verstoren van de openbare orde.
Die ordeverstoring stond in de APV: “[Het is] verboden op of aan een openbare plaats of in een voor publiek toegankelijk gebouw, op enigerlei wijze:… g. door uitdagend gedrag aanleiding te geven tot wanordelijkheden.” Had de jongen de oproep met een megafoon in een Utrechts park gedaan, dan was de boete zonder twijfel terecht.

Het punt hier was echter dat hij het in een groepschat plaatste, zodat de juridische vraag ontstond of de dienst Telegram telt als een “openbare plaats”. Daar is de Raad van State net als de rechter snel klaar mee:

De groepschat is weliswaar voor iedereen toegankelijk , maar het is geen fysieke plaats. De Afdeling is daarom met de rechtbank van oordeel dat Telegram geen openbare plaats is in de zin van de Apv.
Ook het argument dat de zinsnede “openbare plaats” alleen slaat op waar de wanordelijkheden moeten gebeuren, wordt afgewezen. Taalkundig is evident dat het gaat om de oproep in een openbare plaats. Want nee, een APV kan niet verbieden dat jij in een privéruimte oproept tot wanordelijkheden.

Meer algemeen vindt de Raad van State het onjuist dat de burgemeester een duidelijk ‘fysiekewereld’-verbod inzet om online gedrag te beteugelen. De formele wetgever in Den Haag moet hier regels voor maken, mede omdat het hier gaat om de vrijheid van meningsuiting.

Utrecht heeft haar APV niet aangepast. Iets verderop in Almelo staat wél een expliciet digitalewereldverbod in de APV:

Het is verboden om via digitale middelen, onder andere via internet, virtuele ruimtes en sociale media, uitingen te doen, te delen en/of in stand te laten, die kunnen leiden tot een fysieke verstoring van de openbare orde binnen het grondgebied van de gemeente Almelo, dan wel voor het ontstaan van een ernstige vrees daarvoor.
Hierover werden kamervragen gesteld, maar de minister is niet echt bevoegd wat te vinden van APV’s van gemeenten dus daar kwam geen duidelijk antwoord uit. En ik zie dat in Bodegraven-Reeuwijk, Stichtse Vecht en Heemstede vergelijkbare verboden zijn opgenomen, dus kennelijk hebben meer gemeenten het idee dat het met een specifieke regeling wél moet lukken.

Arnoud

 

Mogen bedrijven van de AI Act en AVG een AI-chatbot in hun shop integreren?

Geplaatst op in Ondernemingsvrijheid, Privacy, Regulering, 12 reacties
Alexandra_Koch / Pixabay

Een lezer vroeg me:

Steeds vaker zie ik dat bedrijven bij klantenservice een AI-chatbot inzetten als eerste lijn. Die hebben vaak ook toegang tot je bestellingen en andere gegevens. Ik maak me daar zorgen over, wat zeggen de AVG en AI Act hierover?
De trend om menselijke ondersteuning te vervangen door chatbots is niet te stoppen, zo lijkt het. (Hoewel ze het bij Klarna een “flop” lijken te vinden.) Maar laten wij ons focussen op de juridische kant: mag dit?

De AI Act stelt eigenlijk geen eisen aan AI voor klantenservice, afgezien van de algemene eis (artikel 50) dat het duidelijk moet zijn voor de klant dát men met een bot communiceert. Dat moet expliciet en in het gesprek, dus niet een zinnetje in de algemene voorwaarden of ergens in de veelgestelde vragen. En afhankelijk van de lengte van het gesprek kan het nodig zijn deze boodschap periodiek te herhalen.

Lastiger ligt het met de AVG. Een AI-tool die een klantdossier leest, verwerkt daarmee persoonsgegevens. Het doel daarvan is legitiem, namelijk de klant helpen met een probleem bij diens aankoop of ander contract. Een menselijke medewerker zou dit net zo goed mogen. En in de praktijk zie je ook dat de tool er pas bij kan als jij een ordernummer of andere referentie kan geven, wat je kunt zien als een vorm van instemmen.

Een grotere zorg is wie er allemaal nog méér toegang heeft tot die persoonsgegevens. Want dat is wel even anders dan bij de menselijke medewerker. Veel van deze technologieën worden door een leverancier beschikbaar gesteld, en als je dan een paar tegels omdraait kom je al snel bij een Amerikaans foundation model zoals OpenAI’s GPT familie.

Oftewel: alle chats mét klantdossier gaan naar Amerika en dat is zoals bekend AVG-technisch een lastige situatie. Formeel mag het, om de simpele reden dat de EU heeft gezegd dat de VS een met Europa vergelijkbare bescherming van persoonsgegevens heeft. En tot men dat formeel intrekt, is er geen vuiltje aan de lucht.

(Sommigen zouden nu de woordgrap maken dat de lucht vol met stratocumuli zit.) We weten allemaal dat dit nergens op slaat, eigenlijk al sinds het Safe Harbor regime uit 2000. Maar dit is waar juridisch en werkelijkheid afscheid nemen: puur praktisch is het een probleem, maar juridisch klopt het gewoon. Althans, totdat de Europese Commissie of het Hof van Justitie zegt van niet. Want dan moet per direct iedere verbinding met alle Amerikaanse dienstverleners worden gestaakt.

Voor de webshop met AI-klantenservice is dit een nogal abstract en ver verwijderd probleem, en dat snap ik. Je kunt hier helemaal niets aan doen en je zocht alleen een handige extra chatbot omdat je zelf niet 24/7 achter je webshop kunt zitten typen. Mee bewegen met de massa en vooral met al je concurrenten is dan ook prima in die situatie. Uiteindelijk is de situatie met de VS een politiek probleem en niet jouw individueel juridisch probleem.

Uiteraard zoek je wel een goede dienstverlener die de beveiliging goed op orde heeft, zodat er niet bijvoorbeeld chatlogs mét bestelgegevens ergens bij de leverancier terecht komen en langdurig bewaard blijven.

Arnoud

Crypto’s in box 3 zijn belast vermogen, zegt de Hoge Raad. Maar of het ‘geld’ is blijft ongewis

Geplaatst op in Ondernemingsvrijheid, Regulering, 4 reacties
Photo by David McBee on Pexels

Aan cryptogeld kun je geen rechten ontlenen, dus is het geen vermogen. Zo opende NRC onlangs over een belastinggeschil inzake cryptovaluta.

De aangeefster had 71.000 euro aan cryptovaluta, maar wilde geen vermogensrendementheffing (box 3) daarover betalen. Het onderliggende argument:

  1. Cryptovaluta zijn geen vermogensrechten in de zin van artikel 3:6 BW. Daarvoor is immers vereist dat ze “overdraagbaar zijn, of er toe strekken de rechthebbende stoffelijk voordeel te verschaffen”.
  2. Ook is een eis dat is van een verplichting (schuld) van een ander aan de belastingplichtige, en dat ontbreekt in het geval van cryptovaluta.
In haar arrest is de Hoge Raad daar snel klaar mee. In belastingwetgeving wordt gesproken van “vermogensrechten”, maar dat is een breder begrip dan “vermogensrechten” uit het BW. Belastingtechnisch is genoeg dat ze overdraagbaar zijn (en dat is zo) en dat dit tot voordeel leidt (je krijgt geld).

Weinig spannend uiteindelijk, en ook wel binnen de lijn de verwachting. Jammer is vooral dat de Hoge Raad open laat wát voor vermogensrechten in fiscale zin dit zijn. NRC citeert Sonja Dusarduijn, universitair hoofddocent belastingrecht aan Tilburg University, die uitlegt:

Vallen crypto’s in box 3 onder de categorie ‘geld’ of onder ‘overige bezittingen’? Bij ‘geld’ gaat de fiscus ervan uit dat je minder rendement maakt op je vermogen dan bij ‘overige bezittingen’. Maar het gerechtshof ontweek het antwoord op die vraag met de merkwaardige redenering dat als het geen geld is, het toch in elk geval onder ‘overige bezittingen’ valt.
Die redenering is genoeg om het argument te pareren dat het geen van beide is. Maar het is jammer dat niet is doorgepakt:
Het verschil doet zich ook voelen bij het zogenaamde ‘herstelrecht’, vertelt Dusarduijn. De Hoge Raad heeft in 2021 korte metten gemaakt met het door de fiscus gehanteerde fictieve rendement op vermogen, dat voor sommigen veel hoger lag dan hun daadwerkelijke rendement. Dusarduijn: „De wetgever moet daarom bepaalde vermogensbezitters rechtsherstel bieden. Je moet dan wel aantonen dat het werkelijke rendement op je héle vermogen in een bepaald jaar lager blijkt te zijn dan het fictieve rendement.”
Dit geldt dus ook voor het deel van je vermogen dat in crypto’s bestaat.

Mensen vragen nogal eens: waarom zou je je cryptovaluta opgeven, gezien de blockchainregistratie in principe anoniem is. De belangrijkste reden is natuurlijk dat je identiteit snel zichtbaar wordt bij aan- en verkopen tegen echt geld, want dat betreedt dan het gereguleerde systeem.

Arnoud

Mijn ex dreigt met gerechtelijke stappen omdat ik ons WhatsApp-gesprek deelde met ChatGPT

Geplaatst op in Privacy, Uitingsvrijheid, 16 reacties
Photo by Matheus Bertelli on Pexels

Via Reddit:

[Mijn ex] beweert dat ik de GDPR geschonden heb omdat ik fragmenten van onze WhatsApp-gesprekken gedeeld heb met een AI-assistent (ChatGPT). Dit was niet publiek, enkel anoniem en privé, en bedoeld om psychologisch advies te krijgen in een verwarrende periode. … Toch beweert ze dat ze “een advocaat heeft” en dat ik vervolgd zal worden voor schending van haar privacy.
Gebruik van ChatGPT om psychologische inzichten of hulp te krijgen is een serieus populair ding. Ik kan me dus voorstellen dat iemand dit doet in de emotionele toestand van een vervelend geëindigde relatie.

In dergelijke situaties zie je ook veel dat mensen alle mogelijke juridische haakjes aangrijpen als stok om nog even na te trappen. Ook hier: de gebruikte taal van de ex is zeer herkenbaar als boosheid. Maar zit er een juridische kern van waarheid in?

De vraagsteller geeft aan dat het gebruik alleen voor hemzelf was. Het voor de hand liggende antwoord is dan ook dat dit valt binnen de uitzondering voor een “zuiver persoonlijke of huishoudelijke activiteit” (art. 2(2)(c) AVG). De AVG geldt dan niet, en een schadeclaim of wat dan ook kun je daar niet op baseren.

Het even zo voor de hand liggende tegenargument is dat de dienstverlener OpenAI achter de dienst ChatGPT eigen dingen doet met de ontvangen gegevens, zoals de chats lezen voor verbeteren van het taalmodel of de interactie gebruiken om Terminator-robots te ontwikkelen.

De vraag wordt dan: geldt de uitzondering voor zuiver persoonlijk gebruik ook bij een overdracht van persoonsgegevens aan een derde? Ik neig naar nee, omdat de gegevens dan buiten de directe invloedssfeer komen van de particulier.

Probleem daarmee is dat je dan geen enkele internetdienst kunt gebruiken. Oftewel: die conclusie vereist enige nuance.

In haar handreiking over persoonsgegevens op internet zegt de Autoriteit Persoonsgegevens dat gegevens op internet gepubliceerd mogen worden binnen deze uitzondering, mits onder een aantal voorwaarden. Belangrijkste daarvan is dat de informatie zo beperkt mogelijk verspreid wordt, bijvoorbeeld alleen gedeeld met familie en zeker niet openbaar en voor zoekmachines bereikbaar.

Die interpretatie hier analoog toepassend lijkt het dan alsnog in orde. Weliswaar staat de chat in andermans internetdienst, maar hij wordt niet openbaar voor derden. Dat die internetdiensten er zélf analyses mee doen, valt dan buiten jouw verantwoordelijkheid.

Arnoud

AWS brengt nieuw bedrijfsonderdeel volledig in EU onder, helpt dat tegen de almachtige CLOUD Act?

Geplaatst op in Ondernemingsvrijheid, 7 reacties

Amazon gaat een aantal bedrijfsonderdelen en processen rond AWS volledig in Europa onderbrengen. Dat meldde Tweakers vorige week. Het is een reactie op de discussie over Europese soevereiniteit, die een impuls kreeg vanwege het afsluiten van een mailbox van de ICC-hoofdaanklager onlangs. Uiteraard blijft de vraag: is dat genoeg tegen de CLOUD Act?

Ik klonk in de titel wellicht een beetje cynisch, maar ik erger me al een tijd aan de vanzelfsprekendheid waarmee mensen aannemen dat bedrijven alles doen omdat een Amerikaanse wet dat zegt. En natuurlijk, bedrijven in Amerika kunnen dat maar beter doen ook. Maar waarom een bedrijf in Europa, enkel omdat men in een Amerikaans concern zit?

Zoals ik in 2020 blogde:

[B]innen de regels voor concerns kán een moeder niet direct bevelen wat een dochterbedrijf moet doen. Aandelen geven wel zeggenschap, maar geen bestuursbevoegdheid. Je moet dus het bestuur overtuigen, en dat kan eigenlijk alleen door te zeggen dat je het bestuur eruit gooit als ze niet doen wat je zegt. Dat zou nogal opvallen, en als in de statuten van die dochter ook nog vervelende dingen staan dan wordt dit helemaal een heilloze route.
Ook is er artikel 48 AVG, dat zegt dat bevelen van Amerikaanse rechtbanken inzake afgifte persoonsgegevens zonder rechtskracht zijn. Het moet via een rechtshulpverzoek. Dus een Europese rechtbank zal zo’n bevel niet erkennen, zodat je ook langs die route niet verplicht kunt worden er aan te voldoen.

Natuurlijk kan de VS op allerlei manieren escaleren. Denk aan betalingsproviders (zoals creditcards) verbieden betalingen aan een soeverein Europees cloudbedrijf te accepteren. IP-dataverkeer tegen laten houden. Of het moederbedrijf uitsluiten van overheidsopdrachten. Maar dat valt op bij de Europese politiek.

Ik maak me zelf meer zorgen over de techniek. Hoe weet die Amazon-dochter dat er geen achterdeurtje voor Seattle in zit, zodat de Amerikanen de data gewoon kunnen grijpen als ze dat naar Amerikaans recht moeten geven?

Enerzijds, dat is hetzelfde probleem als met alle cybersecurity: of de inbreker nou bij je bedrijf werkt of niet, maakt niet uit voor de vraag of iemand ongeautoriseerd is. Anderzijds, wie volledige toegang tot alle hardware én software heeft, kan veel geniepiger achterdeuren inbouwen.

Arnoud

 

Vierdaagse blokkeert tickets die met hulp van bots zijn doorverkocht, mag dat?

Geplaatst op in Ondernemingsvrijheid, 4 reacties
Eerste dag avondvierdaagse Amsterdam (Berlageburg), Wikimedia Commons

Tickets voor de Nijmeegse Vierdaagse die via een tussenpersoon zijn verkocht worden door de organisatie ongeldig verklaard. Dat meldde Nu.nl dinsdag. Dit omdat het “oneerlijk” is dat zij via bots de kaarten opkopen. Heel begrijpelijk, maar wat is de stap van “oneerlijk” naar “onrechtmatig” hier?

De stichting achter deze traditionele wandeltocht wist het eerst ook even niet, maar men heeft zich nu “technisch, maar ook juridisch laten adviseren” en concludeert:

Startbewijzen die via dergelijke commerciële botdiensten worden verkregen, zijn ons inziens op onrechtmatige wijze bemachtigd. Vanaf de datum van deze berichtgeving (22-05-2025) zullen wij daarom tickets die aanwijsbaar via intermediairs van eigenaar zijn verwisseld, ongeldig verklaren. We adviseren alle wandelaars die op zoek zijn naar een 4Daagse ticket géén gebruik te maken van diensten die aangeven als intermediair op te treden.
Het persbericht spreekt van “op onrechtmatige wijze bemachtigd”, wat suggereert dat men een route vond die de inzet van de bot zelf. Daar twijfel ik zeer over, want er is algemeen geen wettelijke regel die kopen met een bot (of moet je nu “inzet van agentic AI agent” zeggen?) verbiedt.

Maar gelukkig hebben we de foto’s, ik bedoel het reglement van de 4Daagse nog. Dit vermeldt in artikel 19:

Bemiddeling, hoe ook genaamd, in startbewijzen is, behoudens met toestemming van Stichting DE 4DAAGSE, verboden. Een  startbewijs dat middellijk of onmiddellijk door bemiddeling is verkregen, verliest zijn geldigheid.
Je kunt de exploitanten van die bots zien als bemiddelaar of agent; zij kopen tickets ten behoeve van een specifieke derde, hun opdrachtgever. Eerder meldde Nu.nl:
Zo waren op Marktplaats advertenties te vinden waarin de verkoper ticketgarantie aanbood, omdat die met botsoftware kaarten opkocht bij de Vierdaagse. “Geïnteresseerde kopers delen hun gegevens met de adverteerder, die vervolgens geautomatiseerd controleert of er een ticket beschikbaar komt”, zegt een woordvoerder van Atleta Resale, het bedrijf dat de officiële doorverkoop van de Vierdaagse organiseert.
De tickets worden dus bij aanschaf op naam van de koper gezet. Het is geen opkopen van een stapel tickets en dan rustig zoeken naar belangstellenden. (Daarom zijn de regels over overdracht van startbewijzen ook niet van toepassing.)

Een constructie die zo’n bemiddelaar kan hanteren, is dat deze “slechts de software verhuurt”, waarna de wandelaar-in-spe zelf deze gebruikt en aldus snel het ticket verkrijgt. Dat zou ik geen bemiddeling meer noemen, dat is geen “werkzaam zijn” zoals de wet dat noemt “bij het tot stand brengen van een of meer overeenkomsten” (art. 7:425 BW).

Bij mijn weten doet geen bemiddelaar dat, en dat zal vast komen omdat je dan moeilijker een commissie kunt rekenen. Maar om dit te voorkomen, zal er echt iets in het reglement moeten komen dat inzet van geautomatiseerde middelen verbiedt om het ticket te kopen.

Arnoud

 

 

Mag mijn werkgever op eigen houtje een autoreply instellen dat ik er binnenkort niet meer werk?

Geplaatst op in Ondernemingsvrijheid, Privacy, 16 reacties
Photo by Blue Arauz on Pexels

Een lezer vroeg me:

Bij mijn werkgever speelt momenteel een grotere reorganisatie, waarbij velen (waaronder ook ik) hun baan gaan verliezen. HR heeft alle medewerkers geïnstrueerd een automatische reply in te stellen met een tekst die erop neerkomt dat je er niet meer werkt en met wie de wederpartij contact moet opnemen.

Ik vind dit prematuur, omdat ik hier nog steeds werk en het collectief ontslag nog niet is goedgekeurd. Daarop heeft HR de accounts overgenomen (met hulp van IT) en het bericht zelf ingesteld. Ik kan niet meer bij mijn mail of bestanden en mijn contactpersonen lezen nu dat ik vanaf dd/mm hier niet meer werk. Kan dit zomaar?

Vragen als deze krijg ik vaak wanneer er iets met ict-systemen of persoonsgegevens gebeurt in de context van een reorganisatie of ontslag. Men wil daar bezwaar tegen maken en zoekt dan naar wetten die worden overtreden, want dat is een hele stevige om een punt mee te kunnen maken.

Het probleem is: situaties als deze zijn zeer specifiek, en de wet heeft daar geen pasklaar antwoord op. Bovendien is de oplossing lang niet altijd de zuiver juridische route. Dit maakt het erg lastig om vragen als deze te beantwoorden, maar laten we het toch proberen.

De kern van de vraag is dat het bedrijf een persoonsgebonden zakelijk account laat beheren door een ander persoon. Op zich is dat rechtmatig: die accounts zijn van het bedrijf, en het bedrijf bepaalt dus wat ermee gebeurt. Het bedrijf moet als goed werkgever wel rekening houden met de privacy, gegevensbescherming en andere belangen van de werknemer.

Een situatie waarin zo’n overname prima is, is als de werknemer ziek is en het werk door moet. Dan moet je in die mailbox kunnen om relevante mails op te duikelen. (Beter is natuurlijk dat er geen kritische informatie alleen in een mailbox zit, maar we hebben nog een lange weg te gaan hierin.) Mails versturen uit die mailbox vind ik een stuk spannender, maar in een kleine organisatie verdedigbaar als het bedrijfsbelang groot is en de collega zich duidelijk kenbaar maakt: “Bedankt voor je mail aan Wim, hij is ziek maar ik Kees neem het over”.

Hier gaat het meer om een conflict. De werkgever wil de klant tijdig informeren over de opvolging van deze Wim, en daar is zo’n automatische reply een standaardmanier voor. Voorschrijven dat je een dergelijke reply aanzet en met welke strekking is gewoon de instructiebevoegdheid van de werkgever, dus dat had Wim moeten doen. En ja, ook als het nog niet de laatste werkdag is: overdracht van werk kan en mag prima al eerder geregeld worden.

Het is alleen weer geen goed werkgeverschap om een onjuiste mededeling uit te laten gaan. Als Wim zijn ontslag er inderdaad nog niet door is, dan kun je hem niet verplichten “per dd/mm werk ik hier niet meer” in de mail te zetten. (Mogelijk weet HR meer dan Wim, maar dan is het weer zeer ongepast om op die manier Wim zijn ontslag aan te zeggen.)

Daar komt bij dat door deze handelwijze van HR Wim niet meer kan werken: zijn mail is ontoegankelijk, net als alle applicaties en bestanden die hij nodig heeft. Ik weet niet om wat voor reorganisatie het gaat, maar kan me moeilijk voorstellen dat Wim en collega’s per direct overbodig zijn.

De beste koers lijkt me dan ook om op basis van deze onmogelijkheid om te werken een escalatie te doen: beste directeur, graag wil ik blijven werken, alleen heeft HR mijn account uitgezet dus ik kan niets doen. Ik hoor graag je oplossing.

Het zou kunnen dat de werkgever dan zegt, dat is helemaal goed je bent per direct vrijgesteld en we laten je weten hoe het verder gaat. Afdwingen dat je bij je account kan terwijl je die niet nodig hebt voor het werk, is niet mogelijk. Ik snap dat je dan relaties niet meer zelf kunt informeren, maar dat is een te klein belang om alsnog toegang te eisen.

Je kunt dit gebruiken als een opstap naar een discussie over de inhoud van de autoreply. Als het ontslag er inderdaad nog niet door is, dan is de mededeling prematuur en mogelijk schadelijk voor de reputatie van Wim.

In theorie is een kopie van je mailbox opeisen via de AVG mogelijk. Berichten van en naar jou zijn persoonsgegevens. Maar onduidelijk is of dat recht dan gaat over enkel de metadata “je kreeg op 3 maart een mail van Kees” of dat de volledige lap tekst van Kees er bij mag. Verder krijg je dan direct discussies over bedrijfsgeheimen en relatiebedingen, wat een enorme ruis in het toch al aanwakkerende bedrijfsconflict gaat geven. Ik zou deze route dus afraden.

Arnoud