Mag je een foto van een boek of artikel Twitteren?

Geplaatst op in Intellectuele rechten, 7 reacties

twitpicVia Twitter kwam de vraag langs: mag je een foto publiceren op de microblogdienst van een pagina uit een boek, of van een geheel artikel?

Het voelt als een makkelijke manier: je ziet een interessante tekst, je wilt dat delen met je volgers dus maak je er even snel een foto van en die hang je aan een tweet. Een stuk sneller dan alles overtypen of zoeken naar een online bron – die er niet per se hoeft te zijn, zeker niet bij een boek.

Echter, de Auteurswet heeft weinig te schaften met wat handig, makkelijk of gebruikelijk op internet is. Gij zult toestemming verwerven anders zijt gij eene vuige piraat, even samengevat. Nou ja, gelukkig niet helemaal: we hebben het citaatrecht, dat toestaat dat je een stuk van een werk overneemt als dat noodzakelijk is voor aankondiging, bespreking of onderbouwing (art. 15a Auteurswet). Bronvermelding is verplicht natuurlijk.

De wijze van reproductie is niet relevant. Ik kan een tekst overtypen, een screenshot maken of een foto publiceren. Waar het om gaat is of de hoeveelheid geciteerde tekst gerechtvaardigd is door het doel. Bij afbeeldingen speelt dit vaker omdat men daar vaker hele afbeeldingen overneemt (en liefst zo groot mogelijk), en je dan tegen de discussie aanloopt of dit nu versiering is of citeren (zie dit arrest voor een voorbeeld).

Maar vooral van belang is dat je niet meer overneemt dan nodig. Zoals de wet het formuleert: citeren mag als

het citeren in overeenstemming is met hetgeen naar de regels van het maatschappelijk verkeer redelijkerwijs geoorloofd is en aantal en omvang der geciteerde gedeelten door het te bereiken doel zijn gerechtvaardigd;

Er zijn dus geen harde regels over aantallen zinnen dan wel pixel sdie je mag overnemen (nee, ook niet 194×125). Je moet kunnen rechtvaardigen dat je dít stuk nodig had, en dat het eigenlijk niet met minder kon.

Mijn rechtsgevoel zegt me dat het fotograferen van een hele pagina in het kader van “kijk eens wat een mooi citaat” wat ver gaat. Ik zou me afvragen, kun je niet inzoomen op de alinea met het citaat?

Arnoud

‘LG Smart TV speelt privacygevoelige data door’

Geplaatst op in Privacy, 30 reacties

optionHet Smart TV-platform op LG-televisies zou onder andere bestandsnamen op usb-opslagmedia en gekozen televisiezenders doorspelen aan servers van LG, zelfs als deze optie is uitgeschakeld. Daarbij wordt de privacygevoelige data bovendien onversleuteld doorgestuurd. Dat meldde Tweakers vorige week op basis van een slimme blog van een Nieuwzeelandse meneer. Zijn data-analyse liet zien dat allerlei privacygevoelige data werd doorgestuurd naar LG, zelfs als deze optie expliciet uitgezet was (zie plaatje). Volgens LG had hij de algemene voorwaarden maar moeten lezen.

Ja, dat was een lompe opmerking maar ze zeiden het echt, en op de lafste manier die ik in tijden heb gezien:

The advice we have been given is that unfortunately as you accepted the Terms and Conditions on your TV, your concerns would be best directed to the retailer.

En, ehm, nee. Gewoon nee. Toestemming voor privacygevoelige dingen kán niet in algemene voorwaarden (en ook niet in een privacyverklaring). En bovendien, als je een optie “doe dit niet” in je tv stopt, dan gaat het aanvinken van die optie bóven whatever je een dure jurist (of goedkope generator) in kleine lettertjes laat opschrijven.

Plus zelfs áls je dit soort ongein in algemene voorwaarden meent te kunnen verkopen dan kun je niet volstaan met “See Terms & Conditions and stores for full details” op je site. Die voorwaarden moeten bij de verkooptransactie worden overhandigd dan, en ik geloof er geen bal van dat LG dat netjes vooraf doorspreekt met die winkel. Want hoe gaat dat gewoonlijk: die winkel verkoopt een dichtgesealede doos zonder ook maar één opmerking over algemene voorwaarden van LG te maken, en hooguit bij het eerste aanzetten van de TV komen er wellicht voorwaarden in beeld. (Wat dus ook niet rechtsgeldig is, je moet ze overhandigen.)

Meer algemeen: wat was u dénkende toen u bedacht, laten we bestandsnamen van de externe usb harddisk en kanaal-informatie van de tv terugsturen naar ons? (Helemaal gezien het feit dat het wordt teruggestuurd naar een server die 404 Not Found terugzegt.) En toen u een optiesveld inbouwde dat gewoon niets doet. Oké ja ik ben alweer rustig.

Even positief kijkend: hoe zou dit wél moeten? Formeel moet de winkel dit dus uitleggen en bij de koop vragen om toestemming. Want toestemming moet ‘vrij’ gegeven worden, en wie de tv gekocht heeft en een popup langs ziet komen, kiest niet vrijelijk voor “ja”. Die wordt gedwongen ja te zeggen of zijn tv terug te brengen naar de winkel, dat is geen keuze. Nou ja, tenzij de popup ook een prominente “maar dat hoeft niet” optie biedt natuurlijk maar dat zal de marketingafdeling niet zo handig vinden. Dus wettelijk verplichten dat Marketing dan maar pech heeft?

Verplicht stellen dat dit op de doos staat, dat zou ook nog kunnen. Dan zeg je dus: je had de doos maar moeten lezen voor je ermee de winkel uit sjouwde. Maar regelmatig krijg je die doos niet te zien, je koopt op basis van het showroommodel en een bezorgbedrijf zet later de doos voor je deur.

Mogen verwijzen naar de website en zeggen, de consument heeft een onderzoeksplicht. Dat voelt ergens wel reëel, alleen je wéét dat geen hond dat gaat doen. En om nou een wet te maken die gegarandeerd compleet genegeerd gaat worden, dat is ook zo wat. Oh sorry, cookiewet.

Maar goed, wat dan? Categorisch verbieden dat televisies persoonsgegevens verzamelen? Iedereen verplicht op een cursus persoonsgegevens doen? De Wbp verplichte lesstof in de brugklas?

Update (11:22) ik lees dat LG ontkent dat de data wordt ingezet voor advertentiedoeleinden of dat men dit in het verleden zou hebben gedaan. Cynische ikke mist dan het “en zal dit ook in de toekomst niet doen”. Wel komt er een firmwarefix om het probleem met de genegeerde “doe dit niet”-optie te verhelpen. En men produceert de standaardreutel over privacy in vaandels hebben et cetera.

Arnoud

Mag ik mensen met openstaande netwerken of schijven helpen?

Geplaatst op in Regulering, Security, 26 reacties

netwerk-verkennen-kijkenEen lezer vroeg me:

Regelmatig kom ik netwerkschijven of draadloze netwerken tegen die niet goed beveiligd zijn. Je kunt met enkele simpele muisklikken gegevens zien van mensen die zelf denken dat ze goed voor de buitenwereld beveiligd zijn. Graag wil ik deze mensen helpen en ze vertellen dat ze een beveiligingsprobleem hebben. Aan de andere kant wil ik niet in de problemen komen en voorkomen dat een dag later de politie op de stoep staat. Wat zegt de wet hierover?

Antwoord: Het is helaas een feit dat veel mensen niet weten hoe zich te beveiligen, en voor mensen die dat wél weten ligt het dan nog wel eens voor de hand om die mensen dan maar even een handje te helpen. En die hulp varieert van een .txt bestandje achterlaten met “Dit is niet slim” of het SSID aanpassen tot proactief een wachtwoord op iemands netwerk zetten.

Formeel is het strafbaar om op iemand anders netwerk binnen te gaan, ook als je goede bedoelingen hebt. De wet noemt het “binnendringen” (art. 138ab Strafrecht) als je jezelf toegang verschaft tot een computer of netwerk terwijl je weet dat je daar niet mag zijn. Of de computer/het netwerk beveiligd zijn, is daarbij sinds 2008 niet meer van belang.

Heel misschien kan er hier toch een rechtvaardiging bestaan. De wet noemt namelijk in het algemeen het principe van ‘zaakwaarneming’ (art. 6:198 BW). Je mag andermans problemen gaan oplossen als daar een goede reden voor is en die persoon dat niet zelf kan doen. Als je buren op vakantie zijn en de kat zit hongerig alleen thuis, dan mag je de deur forceren en het dier naar een dierenarts of asiel brengen. (En de rekening is dan voor je buren.) Dat is dan geen inbraak maar een gerechtvaardigd binnentreden op grond van zaakwaarneming.

Als je dan zegt, het onbeveiligd zijn van het netwerk is net zo erg als het hongerig zijn van de kat, dan kun je daarmee rechtvaardigen dat je binnendringt in het onbeveiligde netwerk en dit gaat oplossen. Wel moet je dan zo min mogelijk schade toebrengen en de buurman informeren dat jij dit hebt gedaan. Ja, met je naam en 06 erbij dus want je bent geen crimineel maar een buurman met een beveiligingstip. Toch?

Arnoud

GeenStijl schendt toch geen auteursrecht door te linken naar Britt-Playboyfoto’s

Geplaatst op in Intellectuele rechten, 20 reacties

Linken naar illegale blootfoto’s is wel onrechtmatig, maar geen inbreuk op het auteursrecht, zo las ik gisteren bij Webwereld. Daarmee wordt het geruchtmakende vonnis uit september vorig jaar ongedaan gemaakt. Wel wordt de link onrechtmatig verklaard; willens en wetens linken naar iets dat niet legaal online staat, is niet netjes en dus verboden. Grmbl.

In deze zaak ging het om gelekte Playboyfoto’s, foto’s die dus nog niet met toestemming waren gepubliceerd. En gezien recente Europese rechtspraak leverde dat een moeilijke juridische vraag open: is het hyperlinken dan een vorm van publiceren, beschikbaar stellen aan het publiek? Die Europese rechtspraak bepaalde namelijk dat het gaat om de vraag of je een nieuw publiek bereikt. En een nieuw publiek bereiken kan ook met een hyperlink in tekst. De GeenStijl-lezer is een ander publiek dan de FileFactory-bezoeker.

Het Hof begint haar arrest met vast te stellen dat hyperlinks normaal echt gewoon normaal zijn:

Verwijzing met een hyperlink naar een aldus op een andere locatie openbaar gemaakt werk is niet veel anders dan met een voetnoot in een boek of tijdschriftartikel verwijzen naar een reeds gepubliceerd ander werk. Een zelfstandige manier van openbaar maken of van interventie daarbij is het geven van een hyperlink in dat geval in beginsel niet.

Maar ze voegt daar wel meteen aan toe dat áls het werk nog niet openbaar gemaakt is, de hyperlink best eens cruciaal kan zijn. Het Hof noemt dit “volmaakt privé” zijn van de foto: echt niemand kon erbij tenzij ‘ie het adres wist en dat adres stond nergens. Oftewel, enkel een foto uploaden naar een website maakt de foto nog niet publiek. Het publiek moet de URL kunnen weten.

Hier pakt dat gunstig voor GS uit, want Sanoma kon niet bewijzen dat de foto volmaakt privé was. Helaas zonder de criteria te noemen wanneer een foto dan wél volmaakt privé is, of wanneer niet meer. Opname in Google? Publicatie op de homepage van de hostingsite (“Last 10 pictures”)? Een Facebooksignalering door een meneer met 20 vrienden? Een tweet met URL door mevrouw Dekkers zelf? Het voelt een beetje als een makkelijk er vanaf maken zo.

Omdat de foto dus niet volmaakt privé is, is hyperlinken ernaar niet het opentrekken van het publiek en daarmee niet auteursrechtelijk relevant. (Wél relevant was het tonen van een uitsnede/thumb van de foto, want dat was een kopie op de eigen server. En citaatrecht gaat niet op, want citeren mag alleen uit rechtmatig opengetrokken bronnen.)

Sanoma trekt vervolgens de Brein-jurisprudentie over hyperlinken uit de kast: oké, geen auteursrechtinbreuk maar stelselmatig hyperlinken naar illegale Playboyfoto’s en daarvan commercieel profiteren. Dat moet toch niet mogen? En het Hof gaat daarin mee, en rekt en passant de boel nog even een stukje op:

GS Media wist dat de publicatie van de foto’s door vorenbedoelde derde onrechtmatig was. … Uit niets blijkt dat het geenstijlpubliek de foto’s zonder hulp en bijstand van GS Media op eenvoudige wijze had kunnen vinden. Het plaatsen van de hyperlink had derhalve in hoge mate een faciliterend karakter en bovendien kunnen de teksten van de artikelen waarin de hyperlinks waren opgenomen niet anders worden begrepen dan als enthousiasmerend voor het geenstijlpubliek om de illegaal geplaatste foto’s te bekijken.

Waar voorheen de eis dus was dat je structureel en systematisch een verzameling hyperlinks moest hebben, blijkt het nu dus ook genoeg dat je wéét dat je ene hyperlink niet mag en je dat toch doet. Daar word ik toch een beetje zenuwachtig van.

Het verweer van GS dat het lekken van de foto’s toch een nieuwsfeit was, wordt verworpen. Het Hof gelooft er eigenlijk geen bal van dat GeenStijl bezig was met nieuws, getuige

Hoewel de in dit geding overgelegde uitingen van GeenStijl niet direct bijdragen tot de overtuiging dat zij op een serieuze manier maatschappelijke misstanden aan de kaak wil stellen

maar wil veronderstellenderwijs wel even aannemen dat dat wel het geval zou zijn. Helaas helpt dat niet: hoewel het lekken op zich nieuws was, en je dat ook wel mag onderbouwen met feiten, is het niet echt nodig om dan een hyperlink naar de bronfoto’s erbij te zetten. En hier loop ik even vast: je mag het lek onderbouwen met feiten, maar niet linken naar het lek en ook niet een gelekte foto laten zien. Wat dan wel?

Arnoud

Trijntje Oosterhuis verslikt zich voor 2 ton in Facebookpopulariteit

Geplaatst op in Informatiemaatschappij, 24 reacties

trijntje-oosterhuis-like-facebookKiezen tussen Trijntje Oosterhuis en Britt Dekkers. Hmm. Zangeres Oosterhuis beloofde voor elke like op haar Facebookbericht 1 euro over te maken naar giro 555, maar toen het aantal likes richting de 200.000 ging, verdween de oproep. Dat meldde de NOS gisteren. En dan vraag je je als jurist natuurlijk af: is die twee ton opeisbaar?

Belofte maakt schuld, heet dat dan. Ook juridisch: een overeenkomst komt tot stand door aanbod en aanvaarding, en daarna zitten beide partijen eraan vast. Dat kan via een getekend contract maar ook een mondelinge overeenkomst is rechtsgeldig. Dus waarom niet een Twitteraanbod?

Het aanbod is dan in juridische zin: als jullie X doen, betaal ik €1 aan Giro 555 voor elke keer dat dat gebeurt. Dat idee ken ik nog van de sponsorloop van vroeger: ik zou 10 km hardlopen (of zwemmen, dat weet ik niet meer) en dan kreeg ik zo veel cent per buurman per kilometer. Ja, dat was gewoon rechtsgeldig. En wat is nu principieel het verschil tussen “als jij 10km loopt” en “als jij mijn Facebook liket”?

Een eerste tegenargument zou zijn dat ze het niet serieus had bedoeld. Ik denk niet dat je dit snel als een grap kunt benoemen. De actie liep, ze deed mee – dan mogen mensen vermoeden dat je het serieus meent. En zo’n vermoeden wordt dan bindend, ook al had je het niet zo bedoeld.

De vraag is dan, had ze eerder in moeten grijpen? Je mag immers je aanbod intrekken, en likes na het intrekmoment zijn niet meer relevant. Maar had ze dat niet wat eerder kunnen doen dan na 200.000 likes?

Dus ja, in principe zou iedereen die de vindikleukknop heeft gebruikt, nu dus kunnen verlangen dat de zangeres 1 euro gaat overmaken. Ja, één euro want iedereen heeft een eigen overeenkomst “ik betaal 1 euro als jij me liket” en je kunt andermans overeenkomst niet afdwingen. Nou ja, je zou een stichting “Trijntje moet betalen” gaan oprichten en dan met 200.000 man gezamenlijk opereren, maar dat voelt wat overdreven. (Net als zelf procederen over 1 euro trouwens.)

In principe, want in het recht zijn altijd wel uitzonderingen te vinden. En deze situatie voelt wel een tikje onredelijk voor de zangeres: hoe had zij nu kunnen weten dat ze zó veel likes zou gaan krijgen? En dan komt de beperkende werking van de redelijkheid en billijkheid om de hoek kijken. Je kunt iemand niet aan een overeenkomst houden als het volstrekt onredelijke uitkomsten zou opleveren. En iemand die denkt, dat kost me een paar tientjes, en dan ineens een factuur van 2 ton krijgt, die heeft een best onredelijke uitkomst. Of moet dat voor haar rekening komen? Je kunt die teller immers met enige regelmaat checken en voor jezelf een grens afspreken. Het ging vast niet in 5 minuten van de nul naar de 200.000.

Natuurlijk is het niet zo simpel als “och hemeltjelief” tweeten en de oproep weghalen. Want ook op deze uitzondering zitten weer uitzonderingen. (Leuk he, recht?) Je kunt niet eenzijdig besluiten dat de uitkomst onredelijk is. Daarvoor moeten alle omstandigheden van het geval worden meegenomen, wat ik een rotterm vind altijd want zo kun je nooit een fatsoenlijk algemeen antwoord geven.

Praktisch gezien gaat hier natuurlijk niets mee gebeuren, juridisch dan. Want niemand gaat procederen over dit bedrag. Misschien maakt ze nog een bedrag over vanuit haar persoonlijk gevoel.

Maar waar ik nog het meest mee zit, is dat deze actie een bevestiging is van al die kettingbriefflauwekul van de afgelopen 20 jaar: stuur deze mail door en Bill Gates doneert 1 dollar aan het kinderfonds in Afrika. Trijntje gaat de komende jaren in héél wat mutaties geld doneren als mensen maar foto’s tweeten, dingen pinnen, ergens inchecken of krabbelen of wat maar de hype du jour is op dat moment.

Arnoud

Mijn werk wordt gelivecaptured en dat wil ik niet!

Geplaatst op in Ondernemingsvrijheid, Privacy, Security, 23 reacties

screen-captureEen lezer vroeg me:

Op ons werk beheren wij servers van klanten, die bij ons in het datacenter gehost staan. Natuurlijk wordt er uitgebreid gelogd wat wij doen op die servers. Maar nu is er een nieuw systeem: zodra ik de server van een klant benader vanaf mijn terminal, wordt mijn gehele sessie via een live-capturing tool opgenomen en ergens opgeslagen. Zo is er precies bewijs van wat ik heb gedaan, is het argument. Dat is beter dan loggen en onze klanten willen die zekerheid dat álles gemonitord wordt. Maar echt álles wordt gemonitord nu, ook wat ik privé tussendoor doe terwijl ik een server open heb staan. Mag dat zo wel?

Dit is een moeilijke. Enerzijds heb je recht op privacy op het werk, anderzijds hebben klanten recht op informatie over wie er aan hun systemen zit. Zeker als daar persoonsgegevens of bedrijfsgeheimen in zitten. Hier moet de werkgever dus een balans in vinden.

Logging lijkt mij een prima middel om de klant tegemoet te komen. Er kan dan worden gewerkt met een geanonimiseerde aanduiding, die bij een vermoeden van fouten of misbruik door een manager kan worden gekoppeld aan een persoon. Dan weet de klant dat persoon 123 iets deed, maar pas na een onderzoek kan dan blijken dat dit de vraagsteller was.

Alleen, dan moet de klant (of de IT-dienstverlener) wel álles weten te loggen. En dan zul je net zien dat je iets vergeten was. Dus vanuit die optiek snap ik het wel om gewoon maar alles te filmen en achteraf te zien wat je nodig hebt. Met een complete screencapture van de gehele sessie zul je niet snel meer iets missen.

Maar ja, dan loop je weer tegen privacygevoelige dingen aan: een werknemer kan tussendoor even z’n privémail checken terwijl de server nieuwe software staat te compileren, of een Skypeberichtje van zijn partner krijgen. En dat komt dan óók mee met zo’n opname. HEt liefst zou die opname dan beperkt moeten zijn tot het window waarmee de verbinding met die server wordt gelegd. Ik heb alleen geen idee of zulke software bestaat.

En hm. Menig datacenter hanteert ook cameratoezicht in de serverruimtes naast logging van activiteiten op hun server. Dan film je ook een neuspeuterende werknemer of een privételefoontje. Is dit wezenlijk anders?

Arnoud

Een contractuele boete tegen negatieve uitlatingen over een bedrijf

Geplaatst op in Uitingsvrijheid, 11 reacties

megafoonEen boete van drieduizend euro als je negatief over een bedrijf schrijft. Kan dat zomaar? Bij Techdirt las ik over een Amerikaans bedrijf dat dit daadwerkelijk doet. En dan niet in de vorm van aangifte van smaad of zo, nee gezellig een zelfbedachte boete in de algemene voorwaarden voor iedere negatieve uitlating die je over het bedrijf doet. Eh, wacht, wat?

Het is in theorie mogelijk om zelf boetes uit te delen voor dingen die je niet wilt dat je wederpartij doet. De wet biedt de constructie van de contractuele boete. Spreek je samen af dat X niet mag op straffe van €1000, dan moet je €1000 betalen als je X doet. Dat is op zich vrij logisch, afspraak is afspraak.

Dubieuzer wordt het als je het niet echt na onderhandeling afspreekt maar eenzijdig in de algemene voorwaarden stopt. En in dit geval is het me een partij eenzijdig:

In an effort to ensure fair and honest public feedback, and to prevent the publishing of libelous content in any form, your acceptance of this sales contract prohibits you from taking any action that negatively impacts KlearGear.com, its reputation, products, services, management or employees.

Should you violate this clause, as determined by KlearGear.com in its sole discretion, you will be provided a seventy-two (72) hour opportunity to retract the content in question. If the content remains, in whole or in part, you will immediately be billed $3,500.00 USD for legal fees and court costs until such complete costs are determined in litigation. Should these charges remain unpaid for 30 calendar days from the billing date, your unpaid invoice will be forwarded to our third party collection firm and will be reported to consumer credit reporting agencies until paid.

Waar te beginnen. “Niets doen dat negatieve gevolgen voor ons heeft”, “wij bepalen of er een overtreding is”, “u moet binnen 72 uur de content weghalen”, “factuur volgt direct”, “advocaatkosten er bovenop” en “wij melden u meteen aan bij het Amerikaanse BKR” (wat daar serieuze gevolgen heeft want een kapotte credit rating kan het verschil zijn tussen de huur betalen en onder een brug slapen).

In Nederland zou je niet heel ver komen als bedrijf met zo’n clausule, zeker niet naar consumenten toe en ook nog eens in de algemene voorwaarden gestopt. Op zich zijn boetes in algemene voorwaarden niet verboden. Er zijn echter wel grenzen, met name uit de blauwe lijst die naast de zwarte en de grijze wat te zeggen heeft over onredelijke algemene voorwaarden. Het anti-boetebedinglijstpunt is een verbod op

de consument die zijn verbintenissen niet nakomt, een onevenredig hoge schadevergoeding op te leggen

Hoewel hier “schadevergoeding” staat, worden hier ook boetebedingen onder gerekend (die niet als schade tellen). Een boete moet dus redelijk en evenredig zijn gezien de niet-nakoming. Een boete voor te laat betalen of voor het twee maal moeten langskomen om te bezorgen zou wellicht mogelijk zijn. (Overigens staat er ook wat over boetes op de grijze lijst: vermoedelijk onredelijk is een beding waarmee een consument een bedrag moet betalen bij tekortschietne dat meer is dan “een redelijke vergoeding voor door de gebruiker geleden verlies of gederfde winst”.

Echter, hier gaat het niet zozeer om een boete op overtreding van de overeenkomst an sich, maar om een eigenlijk ongerelateerd ding – je mening geven óver de nakoming van de overeenkomst. En dat is dan ook nog eens een inperking van je grondrecht van vrije meningsuiting. Dan zal er wel een héél duidelijke en zwaarwegende grond gevonden moeten worden. Die zou ik hier werkelijk niet weten. Het kan wel – denk aan een geheimhoudingscontract (NDA) waarin je een boete afspreekt als je iets onthult dat je onder geheimhouding te horen krijgt.

Maar het redelijk belang is dan het (tijdelijk) beschermen van een bedrijfsgeheim. Dat weegt voor mij toch iets zwaarder dan het beschermen van de reputatie van een bedrijf. Dus nee, ik zie dit niet werken. Jullie wel?

Arnoud

Ik wil niet in Apples adresboekcloud!

Geplaatst op in Privacy, Security, 18 reacties

adresboek-apple-icloudBij ict7 las ik over de nieuwe manier van adresboekbeheer van Apple in hun OS Mavericks:

[Het oude adresboek] was veilig, daar kwam geen ander tussen. Maar het nieuwe OS Mavericks heeft die mogelijkheid geschrapt. Nu kunnen adresgegevens en dergelijke alleen nog via iCloud naar een ander apparaat worden overgezet. Dat is natuurlijk niet zonder reden. Technisch was het geen enkel probleem geweest de ‘kabelmogelijkheid’ te handhaven. Dat Apple nu alleen nog maar de mogelijkheid biedt om dergelijke privédata via de servers van Apple over te zetten geeft te denken.

En dan dus de hamvraag: mag dat?

Een digitaal adresboek is hoe je het wendt of keert een verwerking van persoonsgegevens, en eentje die via de privacyschendende VS loopt ook nog. Dus daar heb je eigenlijk best wel een probleem.

Er is echter in de Wet bescherming persoonsgegevens een uitzondering die ik altijd de adresboekuitzondering noem, om precies deze reden:

Deze wet is niet van toepassing op verwerking van persoonsgegevens… ten behoeve van activiteiten met uitsluitend persoonlijke of huishoudelijke doeleinden.

Het argument is dan dat een privéadresboek een “uitsluitend persoonlijk of huishoudelijk doel” dient, immers het is voor jou om je adressen bij te houden. Niemand anders leest het (de NSA daargelaten) en dan is het dus alleen voor jezelf. En daarmee ben je van álle regels uit de Wbp af. Je hoeft mensen neit te vertellen dat ze in je adresboek staan, en zelfs het enge exporteren naar de VS is geen probleem.

Bij een zakelijk adresboek gaat dit echter vrijwel meteen mank: ís dat wel “persoonlijk of huishoudelijk”? Een bedrijf is geen persoon en geen huishouden.

Als je dat zegt, dan mag een bedrijf dus niet haar klantenbestand in de iCloud stoppen. Maar óók niet zomaar in een eigenbeheeradresboek. Dat moeten ze dan rechtvaardigen bínnen de kaders van de Wbp. Dus: toestemming, uitvoering overeenkomst of dringende noodzaak als grondslag; informeren via een privacyverklaring of iets dergelijks dat men een adresboek heeft; inzage- en correctierecht op de adresgegevens en niet te vergeten een bewerkersovereenkomst met Apple sluiten zodat juridisch geregeld is dat zij netjes met je gegevens omgaan.

En nee dat werkt voor geen meter maar daarom wordt het dus de hoogste tijd voor een nieuwe privacywet. Helaas is de Privacyverordening een eindje uitgesteld, werking op zijn vroegst in 2016.

Arnoud

Mag Wikipedia beschermde bronnen overtypen?

Geplaatst op in Intellectuele rechten, 18 reacties

wikipedia-recht.pngEen lezer vroeg me:

Ik zat laatst te bedenken hoe er heel veel informatie op wikipedia wordt samengesteld uit andere bronnen en deze vervolgens op wikipedia worden gepubliceerd onder een “Creative Commons Attribution-ShareAlike License”. Een voorbeeld is de landencodelijst ISO 3166 die zomaar op Wikipedia staat. Mag dat zomaar, integraal zo’n lijst overnemen als je denkt aan op auteursrechten en databankrechten die bij de ISO-origanisatie liggen?

Niemand mag een beschermde bron overnemen en die onder zijn eigen licentie publiceren, tenzij daar toestemming voor is. Binnen het citaatrecht mag je natuurlijk wél dingen overnemen zonder toestemming, maar dat wil niet zeggen dat het citaat dan automatisch onder jouw licentie valt. Het citaat wordt krachtens wettelijk recht gebruikt, maar is niet herbruikbaar buiten de context waarin wordt geciteerd.

Dit verklaart waarom de Nederlandse Wikipedia veel minder citaten of afbeeldingen heeft dan de Amerikaanse. De Amerikanen redeneren, wij mogen op basis van fair use allerlei content gebruiken. Zolang we maar duidelijk maken dát iets op grond van fair use is gebruikt, is dat prima. In Nederland is besloten dat men alléén open en vrije bronnen wil gebruiken, omdat heel nl.wikipedia 100% vrij moet zijn (CC-BY-SA). Dan is het dus onmogelijk om bv. een albumcover op te nemen. Hoewel dat mag als citaat bij een lemma van dat album, is daarmee de albumcover niet vrij herbruikbaar.

Auteursrecht op een standaard is mogelijk en het is zelfs toegestaan dan geld te vragen voor toegang tot die standaard als die standaard bij wet voorgeschreven is. Dit is buitengewoon ergerlijk maar wordt gerechtvaardigd met het argument dat het maken van die standard nu eenmaal creatief nadenken en geld kost. Dat moet worden terugverdiend, en het is eerlijker om die kosten neer te leggen bij de partijen die de standaard nodig hebben.

Bij een landenlijst met afkortingen kun je je afvragen óf daar wel auteursrecht op zit. Hoe creatief is het om te bedenken dat Nederland NL moet zijn en Spanje ES? Is dat werkelijk creatieve arbeid van de ISO mensen? Zo niet, dan is de lijst vrij van rechten en mag ook Wikipedia deze overnemen. (Natuurlijk mag jij die dan ook weer uit Wikipedia overnemen en hoef je hun CC licentie niet te respecteren. Waar geen auteursrechten op zitten, kan ook geen licentie van toepassing zijn.)

Databankenrecht op een standaard zou kunnen, als de standaard een bak gestructureerde data bevat waar je in kunt zoeken én er substantieel is geïnvesteerd in het opbouwen van die structuur. Bij een landenlijst zie ik dat niet zo, maar bij een complexe verzameling data in onderlinge verbanden, wie weet. Ik hou me aanbevolen voor voorbeelden.

Echter, ISO als Zwitserse organisatie krijgt per definitie geen databankrechten. Alleen bedrijven en instellingen in de Europese Unie hebben recht op databankenrecht, zo staat in art. 11 Databankrichtlijn. Wie daar buiten woont, mg alleen databankrechten claimen als zijn lokale wetgeving deze óók erkent, op hetzelfde niveau als de Europese regels. Dit is juridische pesterij: het idee is de rest van de wereld over te halen óók databankenrechten in te voeren.

Arnoud

Overheid spoort onlinekopers zwaar vuurwerk op

Geplaatst op in Regulering, 56 reacties

taskforce-vuurwerkbommenDe Taskforce Opsporing Vuurwerkbommenmakers spoort de bestellers van zwaar, illegaal vuurwerk op om ze te waarschuwen. Dat meldde Tweakers gisteren. Hoe die kopers worden opgespoord, is niet duidelijk, maar volgens de taskforce wordt er in ieder geval niets onderschept of afgetapt.

In 2011 had deze Taskforce ook al een creatieve videoaanpak: vuurwerkbommenfilmers kregen op Youtube een responsvideo met een streng pratende agent (met de grootste flaporen die ik ooit in uniform heb gezien) dat wat zij lieten zien, een misdrijf was. En dat scheen nog best te helpen ook.

Deze keer gaat men nog wat verder: kopers van illegaal vuurwerk worden geïdentificeerd en per e-mail aangeschreven dat wat zij doen een misdrijf is, hetgeen in een videoboodschap wordt toegelicht. Ook krijgt men per post een brief waarin een en ander nog eens wordt toegelicht.

Oké, goeie actie in principe want illegaal vuurwerk is elk jaar weer goed voor vele ongelukken en gedoe, om van de geluidsoverlast nog maar niet te spreken. Maar eh hoe wéten ze dat? Volgens Tweakers kent men alle details van de bestellingen en bij welke webwinkel dit is gebeurd. Er wordt bezworen dat men geen e-mails aftapt, wat ik nog geloof ook want dan moet je dus van iedere Nederlander de mails lezen op zoek naar de term “vuurwerk” en dan onderzoeken of dat illegaal is. Ja, de NSA en de AIVD kan dat vast maar dat ga je niet onthullen voor een wetsovertreding van deze orde. Plus, het werkt niet als ik via een formulier op een site bestel want daar zit niet per se een e-mail aan vast.

Ik zie dan vier opties:

  1. Die webwinkels zijn gevorderd gegevens van Nederlandse klanten af te geven. Dat kan, en verklaart hoe men aan alle gegevens komt, maar die shops zitten in het buitenland denk ik dan dus hoe ga je daar vorderen?
  2. Nederlandse webwinkels die illegaal vuurwerk aanbieden zijn gevorderd. Vermijdt het jurisdictieprobleem. Maar als je weet dat er zo’n webwinkel is, moet je die dan niet gewoon sluiten ipv de transactie door te laten gaan en dan Agent Flapoor een boze video te laten inspreken?
  3. Nederlandse banken zijn gevorderd gegevens van transacties naar zulke webwinkels af te geven. Geen buitenlandsejurisdictieproblemen daar, maar hoe weet je dan de besteldetails?
  4. De Nederlandse douane onderschept vuurwerkpakketjes (er zijn vast wel snuffelhonden die dat kunnen ruiken), opent die en geeft de klantgegevens aan de TaskForce.

Allemaal voelen nogal raar aan. Optie 2 lijkt me de meest logische gezien de feiten, maar kennelijk is de bestelling vervolgens niet tegengehouden. Dat doet dan weer gek aan. En waarom zou die winkelier zwijgen hierover? Optie 4 kan ook maar waarom dan niet meteen ook het pakket tegenhouden?

Een nepwebshop door de taskforce lijkt ook nog een optie. Dan heb je zelf alle gegevens. Maar dat riekt naar uitlokking, hoewel dat afhangt van hoe de site opgezet zou zijn. Het is niet verboden mensen gelegenheid te geven een misdrijf te plegen, zolang je ze maar niet óverhaalt om dat te doen. Dus zochten ze toch al illegaal vuurwerk, dan mag je je voordoen als een illegaalvuurwerkverkoper, maar wie gewoon vuurwerk zoekt mag je geen illegale Cobra’s voorhouden als lokkertje.

Hoe zouden jullie als Taskforcedirecteur deze uitdaging realiseren?

Arnoud