Wacht even, afgesloten internetverbinding voor 18-jarige KPN-hacker?

Geplaatst op in Ondernemingsvrijheid, Security, 24 reacties

kpn-afgeslotenDe 18-jarige jongen die vorig jaar KPN-servers heeft gehackt heeft een celstraf van 45 dagen en een taakstraf van 100 uur gekregen, meldde Webwereld. Omdat de jongen exact dat aantal dagen al in voorarrest had gezeten, hoeft hij niet meer de cel in. Het vonnis lijkt niet gepubliceerd, logisch omdat het om een minderjarige gaat (ten tijde van de inbraak). Maar ik werd geïntrigeerd door de opmerking dat zijn internetverbinding afgesloten was door KPN.

Ik las namelijk deze opmerking in het persbericht van het Openbaar Ministerie:

Vanwege ontoelaatbaar internetgedrag was de verdachte in 2010 al door KPN gewaarschuwd. Zijn internetaansluiting is toen enige tijd afgesloten. Dat heeft hem er niet van weerhouden om verder te gaan met het binnendringen in computersystemen tot letterlijk aan het moment van zijn aanhouding.

Dit is opmerkelijk, omdat dat (sinds netneutraliteit) helemaal niet meer mág, iemand afsluiten omdat hij “ontoelaatbaar internetgedrag” vertoont. Nu geldt die wet pas sinds 1 januari jongstleden, en de inbraak was vorig jaar dus echt relevant is dat niet. Maar ik weet dat het nog steeds gebeurt bij diverse providers.

De Telecommunicatiewet (art. 7.6a) is duidelijk: afsluiten van een consument mag alleen op grond van één van deze zes voorwaarden:

  1. op verzoek van de abonnee;
  2. bij een tekortkoming in de nakoming van de betalingsverplichting door de abonnee of faillissement van de abonnee;
  3. bij bedrog in de zin van artikel 3:44 van het Burgerlijk Wetboek door de abonnee;
  4. wanneer de looptijd van de overeenkomst van bepaalde duur tot levering van de internettoegangsdienst afloopt en de overeenkomst met instemming van de abonnee niet wordt verlengd of vernieuwd;
  5. ter uitvoering van een wettelijk voorschrift of rechterlijk bevel; en
  6. bij overmacht en onvoorziene omstandigheden in de zin van artikel 6:258 van het Burgerlijk Wetboek.

De eerste twee lijken me evident. Van ‘bedrog’ is sprake als de consument KPN misleid heeft, bv. door een valse naam op te geven omdat zijn echte op een zwarte lijst staat. Nummer vier is ook weer evident. Nummer zes gaat over situaties waarin de feiten zó zijn gewijzigd dat je onmogelijk nog kunt verlangen van KPN dat ze met je doorgaan.

Nummer vijf klinkt als een grond voor afsluiten wegens abuse, maar is dat niet: het gaat daar over afsluiten als in de wet staat dat dat mag, of als de rechter bepaalt dat het contract opgezegd moet worden. Dat iemand een strafbaar feit pleegt via de internetverbinding, is weliswaar een overtreding van een wetttelijk voorschrift (namelijk art. 138ab Strafrecht, computervredebreuk) maar KPN voert dat wetsartikel niet uit.

KPN mag wél tijdelijk de internetverbinding blokkeren wanneer sprake is van “een inbreuk op de integriteit of veiligheid van het netwerk of de [internettoegangs]dienst” (art. 7.4a Tw), maar de blokakde moet dan noodzakelijk zijn om die inbreuk te beëindigen. Je zou dan kunnen denken aan een computer afsluiten omdat deze een ddos-aanval uitvoert of een virus of worm verspreidt. Maar hoe een hack op een computer van een derde “de integriteit of veiligheid van het netwerk of de [internettoegangs]dienst” in gevaar brengt, ontgaat me. “Abuse on the Net is not the same as abuse of the Net”, was ooit een internetmotto, en volgens mij geldt dat in deze wet nog steeds.

Meer dan een verbinding verbreken omdat er via die verbinding iets illegaals gebeurt, kun je volgens mij niet doen op grond van netneutraliteit. Iemand afsluiten wegens abuse mag dus niet (meer).

Arnoud

Mag je OpenOffice verkopen en daarbij aanhaken bij Microsoft’s bekendheid?

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 32 reacties

Tip via Twitter: mag je software proberen te verkopen door een ander softwarepakket te imiteren? Het blijkt te gaan om Officedownloadcenter.nl waar men “populaire office software direct [kan] digitaal downloaden”. En nee, dan val ik niet over de onmogelijkheid van analoog downloaden: bekijk die site en zeg me dat je geen seconde aan een Microsoft Office-licentieverkoop dacht.

Tussen de regels door is het vrij duidelijk dat men hier OpenOffice (of LibreOffice) aanbiedt: dat is het enige legitieme LGPL-gelicentieerde officepakket dat op een beetje fatsoenlijke wijze compatibel is met de Microsoft Office® suite. En ja, open source verkopen mag. Het is volstrekt legaal om geld te vragen voor het verspreiden van open source, Red Hat en vele anderen zijn er groot mee geworden.

Onderdeel van de consumentenwetgeving is een verbod op oneerlijke handelspraktijken. “Een handelaar handelt onrechtmatig jegens een consument indien hij een handelspraktijk verricht die oneerlijk is”, staat in 6:193a BW. Ik moet altijd lachen om lid 4 dat hiervan uitzondert de “gangbare en rechtmatige reclamepraktijk waarbij overdreven uitspraken worden gedaan of uitspraken die niet letterlijk dienen te worden genomen”, maar dat terzijde. Iets relevanter is namelijk artikel 193c iets verderop, dat letterlijk verbiedt dat:

a. door de marketing van het product waaronder het gebruik van vergelijkende reclame verwarring wordt geschapen ten aanzien van producten, handelsmerken, handelsnamen of andere onderscheidende kenmerken van een concurrent;

Ik zet voor de grap even twee logo’s naast elkaar, links deze verkoopsite en rechts het logo van Microsoft Office®tm©:

niet-echt-legitiem

Dat vierkant heeft exact dezelfde kleurstelling, ook het lettertype is volgens mij hetzelfde als wat Microsoft gebruikt om de titel van hun merkproduct te vermelden. Toegegeven, het woord ‘Microsoft’ ontbreekt en ‘Office’ is geen merknaam maar voor de oneerlijke handelspraktijken is het niet vereist dat je letterlijk andermans naam of logo gebruikt: het is genoeg als er “verwarring wordt geschapen”. En daar twijfel ik geen seconde aan.

Verderop staat er nog deze:

compitabel-ahem

en daar staat wél het Microsoft logo. Maar dat kan denk ik net wel: je mag van de merkenwet aangeven waar je eigen producten of diensten voor bestemd zijn of “compitabel” (ahem) mee zijn. En dat geldt ook voor logo’s. Wel geldt de eis dat je geen verwarring mag stichten over de relatie tussen jouw product en dat van de merkhouder. Met een logo zit je sneller aan verwarring dan met enkel een naam, maar een automatisme is het niet.

Ook misleidend is het om valselijk de indruk te wekken dat je bijna ‘los’ bent met je voorraad:

bedrieglijk beweren dat het product slechts gedurende een zeer beperkte tijd beschikbaar zal zijn … om de consument onmiddellijk te doen beslissen en hem geen kans of onvoldoende tijd te geven een geïnformeerd besluit te nemen;

En dan zie ik een statement dat er nog slechts “twee exemplaren beschikbaar” zijn en dat men “niet lang in staat” is een kortingsactie lang in de lucht te houden vanwege “het beperkt aantal exemplaren”. Wat dát moet betekenen in de context van software die je onbeperkt mag kopiëren (en verkopen) ontgaat me volledig. Natuurlijk, je mag best op zeker moment je prijs aanpassen en met de tijd tot dat moment kun je prima urgentie creëren maar ik zie hier toch echt een bewering in dat de goedkope licenties straks op zijn.

Detail is wel dat formeel de Wet oneerlijke handelspraktijken alleen ter bescherming van consumenten geldt. Een concurrent die last heeft van zo’n handelspraktijk kan er dus geen beroep op doen. Microsoft zou dus niet direct met deze wet een halt kunnen toeroepen aan deze site. Ze zouden het op het merkenrecht moeten gooien, of jurisprudentie moeten creëren dat indirect die wet toch óók tot onrechtmatig handelen jegens concurrenten leidt. U weet wel, de exception handler in het recht die maatschappelijke zorgvuldigheid heet.

Er is nog het meer algemene artikel over misleidende reclame (art. 6:194 BW)., dat expliciet misleiding over “de omvang van de voorraad” noemt. Daar zou je dus dat beschikbaarheidsverhaal ook onder kunnen vegen. Ook misleiding over de aard en afkomst van het product mag niet, en doen alsof je Microsoft®&#24B9; Officetm℗ bent, lijkt mij daar wel onder te vallen.

Dat de domeinnaam achter een proxy zit, en ook alle informatieplichten voor internetdienstverleners schendt, wekt ook al weinig vertrouwen. Het niet noemen van je naam, adres en contactgegevens als online handelaar is trouwens óók een oneerlijke handelspraktijk (art. 6:193f BW) en zelfs formeel een strafbaar feit (economisch delict).

Oh, er staat ook nog een groot plaatje van een typische Microsoft-Officeverpakking met daarin de tekst “legale office pakketten” en de URL OrangeOffice.eu, waar men zich enige tijd geleden bij het TROS Radar-forum over opwond. Ook bij Klacht.nl lees ik alleen maar verhalen van mensen die dachten MS Office te krijgen en tot hun verrassing Open Office ontvingen.

Zien jullie nog meer?

Update (12 juni): bij Webwereld hebben ze Microsoft gebeld, en die zijn MS Boos®:

“De algehele indruk die gewekt wordt op de site is op zijn minst misleidend”, reageert Microsoft Nederland dinsdagnamiddag op vragen van Webwereld. “Deze kwestie is dan ook direct aan het hoofdkantoor van Microsoft gerapporteerd. Zij zullen deze kwestie verder oppakken.”

Ondertussen is de site enigszins aangepast.

Arnoud

Seksfilmpje versturen via WhatsApp is geen smaad of belediging

Geplaatst op in Regulering, Uitingsvrijheid, 34 reacties

webcamHet versturen van een seksfilmpje via WhatsApp naar één persoon maakt je niet schuldig aan smaad, ook niet als die persoon het vervolgens doorstuurt. Dat bepaalde de rechtbank Overijssel deze week. Van smaad kan pas sprake zijn als “het publiek” kennisneemt van die berichten, en daarvan is bij een WhatsApp bericht geen sprake. Daarbij is de bedoeling immers dat alleen de ontvanger het bericht leest. Hoe juridisch om te gaan met ongewenst naakt blijft dus een lastige.

De verdachte had een seksfilm met hem en zijn partner (gemaakt tijdens zijn relatie) verspreid naar een gezamenlijke vriendin, en daarbij aangegeven dat deze het niet verder mocht verspreiden. En dan, eh, “bevestigt [zij] dat en verklaart dat zij dat desondanks tóch heeft gedaan. Vanaf dat moment is het filmpje verder verspreid en naar verluidt ook op internet beland.”

(Waarom dat filmpje nu zo nodig moest worden verspreid, wordt niet echt duidelijk. De verdachte was ‘boos’ dat zijn ex-vriendin een ander had, maar hoe je die situatie verbetert door iemand anders een naaktfilm te whatsappen ontgaat me.)

De politie kwam vervolgens bij hem aan met de strafbare feiten smaadschrift en belediging. Beiden komen kort gezegd neer op iemands eer en goede naam aantasten, hoewel het bij smaad vooral gaat om een specifiek feit (“Henk is een oplichter”) en bij belediging meer om gewoon nare taal (“Henk is een eikel”). Beiden zijn prima met een afbeelding te plegen – juridisch gezien heet zo’n afbeelding een geschrift, ook als het elektronisch is, en dat maakt het bij smaad in ieder geval erger want op smaadschrift staat een zwaardere straf.

Wel is bij beiden vereist dat sprake is van een uiting in het “openbaar”, althans “waaraan ruchtbaarheid wordt gegeven” bij smaad dan. Anderen moeten het gehoord of gezien hebben. Logisch ook wel: je kunt iemands reputatie moeilijk aantasten als niemand merkt dat dat gebeurt. Als niemand deze blog kan lezen, heeft Henk nergens last van.

Dat je iemands reputatie of goede naam kunt aantasten door een naaktfoto of -filmpje te verspreiden, lijkt me vrij duidelijk. Al in 2008 werd een man veroordeeld voor het publiceren van dergelijke foto’s van zijn ex. Wel moet je intentie erop gericht zijn om die goede naam aan te tasten. In de Manon Thomas-zaak was er geen sprake van smaad of belediging, hoewel me nog steeds niet duidelijk is waarom. Is het een compliment als iemand je foto’s online zet?

Hoe dan ook, een ander vereiste is dus dat de foto’s wel openbaar moeten zijn. En daarvan was hier geen sprake:

kan het versturen van één ‘WhatsApp’ naar één persoon, met de opdracht dit niet verder te sturen, niet gelden als in het openbaar gedaan. Evenmin kan bewezen worden dat verdachte, zoals ook is tenlastegelegd, heeft beledigd door via de ‘social media’ het filmpje naar derden te sturen. Hij heeft het filmpje immers naar slechts één persoon, anders dan het slachtoffer, verstuurd.

Dat vervolgens die andere persoon het verspreidde, valt hem niet aan te rekenen. Dat voelt wel een beetje gek aan, maar dat zat hem erin dat de verdachte het duidelijk had gemaakt dat het niet mocht. Eigenlijk had die andere persoon dus vervolgd moeten worden, maar dat was niet gebeurd. Onbevredigend voelt het wel.

Arnoud

Antiplagiaattool Ephorus bruikbaar als bewijs bij examenopstel

Geplaatst op in Ondernemingsvrijheid, 20 reacties

detectie-ephorusEen één voor plagiaat toekennen nadat met Ephorus een match van 93% was vastgesteld, mag. Dat bepaalde de Raad van State onlangs in een rechtszaak van een scholier die bij een examenopdracht met deze tool betrapt was. Natuurlijk ging het niet alléén om Ephorus, de rector had nader onderzoek uitgevoerd. Ik ben heel benieuwd of meelezende forensisch experts een geloofwaardig weerwoord kunnen produceren op de bevindingen daarvan.

De scholier had een opstel ingeleverd (“Vettaks onzin!”) dat door het antiplagiaatprogramma Ephorus was gescand met een score van 93% overeenstemming met een opstel dat op 23 februari 2012 door een andere eindexamenkandidaat was ingeleverd. Dat is een stevige aanwijzing voor plagiaat, maar je kunt niet een besluit (zoals uitsluiting of een cijfer) opleggen uitsluitend op basis van wat een computerprogramma zegt.

Verder onderzoek dus. Stap 1: wat staat er in de bestandseigenschappen van meneers opstel? De naam van de eerdere mevrouw. Eh, oeps. En inhoudelijk was het ook vrij snel klaar:

Vergelijking van de twee opstellen wijst uit dat het door [de scholier] ingeleverde opstel, afgezien van de titel, een beperkt aantal woorden en de laatste paar zinnen, identiek is aan het opstel van een eindexamenkandidate, die haar opstel twee weken eerder heeft ingeleverd. Zelfs een taalfout komt overeen.

De scholier had nog aangedragen dat hij echt de auteur was, omdat hij het al in februari 2012 op internet had gezet, dus een week voor het inleveren van die collega-scholiere. Daar was alleen geen bewijs van (en, vraag ik me dan af, waarom zóu je). Bovendien is het dan bepaald onlogisch dat de naam van een ander in de bestandseigenschappen terechtkomen, lijkt mij.

Goed, in theorie zou iemand anders na het inleveren die eigenschap hebben kunnen wijzigen, maar een dergelijke theorie klinkt nogal onwaarschijnlijk en vereist dus stevig bewijs. Het recht werkt niet met mathematische zekerheden maar met waarschijnlijkheden – en zaken die onwaarschijnlijk zijn op het niveau “kóm nou” mag je gewoon negeren.

Meneer mag nog wel door met zijn examens, de 1 telt voor 12% mee en het is dus mogelijk dat hij alsnog slaagt.

Arnoud

Marktplaatsoplichting is geen oplichting???

Geplaatst op in Ondernemingsvrijheid, Regulering, 27 reacties

Het niet leveren van spullen via Marktplaats terwijl daarvoor door slachtoffers wel is betaald, is niet altijd oplichting, las ik bij Webwereld. En dat terwijl de man met voorbedachten rade niet van plan was te leveren. Willens en wetens adverteren en mensen laten betalen terwijl je de spullen niet hebt, lijkt mij vrij evident oplichting maar dat is dus niet de Nederlandse wet. Je moet een “listige kunstgreep” of “valse hoedanigheid” aannemen, en “hoi ik heb een iPhone te koop” zeggen terwijl je die niet hebt, is niet listig en niet vals. U mag nu allemaal even hardop dafuq zeggen, dat doe ik ook.

Dit is niet een gekke rechter die internet niet begrijpt, maar een op zich gebruikelijke toepassing van de vaste rechtspraak van de Hoge Raad: wie niet levert, pleegt wanprestatie en dat moet de koper dus maar bij de burgerlijke rechter oplossen. En dat je niet weet wie je verkoper is, tsja dat is jouw probleem:

[Consumenten] kunnen immers het risico op moedwillige wanprestatie afwenden door hun aankoop te doen bij een (web)winkel waarvan de betrouwbaarheid is gebleken en/of die de mogelijkheid biedt tot betaling bij levering of op een later tijdstip.

Kortom, het is juridisch gewoon je eigen domme schuld dat je niet koopt bij een betrouwbare webwinkel en/of dat je vooruit betaalt terwijl dat wettelijk gezien helemaal niet hoeft. Dat je niet of nauwelijks kúnt weten of een webwinkel betrouwbaar is en dat je in de praktijk vrijwel altijd vooruit móet betalen, tsja luister eens dáar kunnen we geen rekening mee houden in de rechtspraak.

Er is echt meer nodig, want de wet eist een listige kunstgreep (een oplichtingstruc) of een valse hoedanigheid. Nou zou ik dus zeggen, het is evident listig en vals om dingen aan te bieden terwijl je volstrekt niet van plan bent ze te leveren – sterker nog terwijl je van plan bent virtueel hard weg te rennen zodra je het geld hebt. Maar nee, aldus ons hoogste rechtscollege:

De enkele omstandigheid dat iemand zich in strijd met de waarheid voordoet als een bonafide huurder die in staat en voornemens is het gehuurde goed na ommekomstvan de overeengekomen huurperiode terug te geven aan de verhuurder, levert niet op het aannemen van een valse hoedanigheid noch een listige kunstgreep in de zin van art. 326 Sr.

Ja, ik ben sarcastisch maar ik kan me dus écht kwaad maken over dit soort dingen. Iedereen wéét wat het probleem is, je voelt op je klompen aan dat de handelaar niet bona fide is maar toch willen we dat gewoon niet strafbaar maken. Die lagere rechters kan ik het niet verwijten: als ze wél zouden veroordelen dan gaat men gegarandeerd in hoger beroep en volgt alsnog vrijspraak. Tijd dus om hiermee opnieuw naar de Hoge Raad te gaan – of beter nog, naar de wetgever zodat die de definitie van ‘oplichting’ kan aanpassen. Want het loopt echt de spuigaten uit op dit moment.

Arnoud

Mag ik opzeggen bij een prijsverhoging?

Geplaatst op in Informatiemaatschappij, 13 reacties

sale-afgeprijsd-uitverkoop.pngMet enige regelmaat krijg ik de vraag: mijn abonnementsprijs is verhoogd, mag ik nu opzeggen? Dat kan zijn bij abonnementen op kranten en tijdschriften, bij betaalde internetdiensten of bij iedere andere vorm van dienstverlening waarbij er periodiek wordt betaald.

Het antwoord is eigenlijk simpel: Nee. Er is géén wettelijke regel dat je mag opzeggen als de wederpartij een prijs wil aanpassen. Juridisch is het andersom: de prijs mag niet worden aangepast! Afspraak is afspraak, heet dat juridisch. (Er is een soort-van uitzondering bij BTW-verhogingen.)

Maar natuurlijk gaan we het nu complexer maken, want het is immers juridisch en op alles zijn uitzonderingen (ja, ook op deze zin zelf). De truc die je namelijk gebruikt als dienstverlener is dat je in je algemene voorwaarden opneemt dat je de prijs wél mag verhogen. En omdat die voorwaarden dan deel van de afspraak zijn, is dus afgesproken dat het mag en dan mag het.

In zakelijke contracten is zo’n afspraak zonder meer legaal; bij consumenten ligt dit wat moeilijker. Een consument kan immers niet onderhandelen, dus een afspraak “ik mag op elk moment elke prijs aanpakken” zou een leverancier er gewoon doorheen kunnen drukken. Om de consument tegen zulke onredelijke situaties te beschermen, is er de regel dat algemene voorwaarden niet onredelijk bezwarend mogen zijn. Er is een grijze en zwarte lijst gemaakt met voorwaarden die meestal (grijs) en altijd (zwart) onredelijk bezwarend zijn.

Gek genoeg is er geen vermelding op die lijsten over prijsverhogingen bij een langlopend abonnement. Er is alleen het verbod op een beding

dat de gebruiker de bevoegdheid geeft de door hem bedongen prijs binnen drie maanden na het sluiten van de overeenkomst te verhogen, tenzij de wederpartij bevoegd is in dat geval de overeenkomst te ontbinden;

Dit gaat over een prijsverhoging binnen drie maanden na contractsluiting, wat natuurlijk lang niet hetzelfde is als jaarlijks. Specifiek bij het kopen van producten is er een strenger artikel (7:35 BW):

Indien de verkoper bij een consumentenkoop krachtens een bij die overeenkomst gemaakt beding de koopprijs na het sluiten van de koop verhoogt, is de koper bevoegd de koop door een schriftelijke verklaring te ontbinden, tenzij bedongen is dat de aflevering langer dan drie maanden na de koop zal plaatsvinden.

Ik denk dat dit ook nog wel opgaat bij een abonnement waarbij je wekelijks of maandelijks een product geleverd krijgt (zoals de Donald Duck). Maar een abonnement op bv. een betaalde internetsite (zoals een krantenpaywall) is echt geen consumentenkoop, dus ook hiermee kom je er niet.

Bij consumentencontracten voor telecom (internet, mobiele telefonie) is er wél een regel dat je mag opzeggen als men de prijs aanpast (art. 7.2 Telecomwet). Je hebt daarvoor een maand vanaf de melding van de prijsaanpassing.

Er is altijd nog de algemene norm van “niet onredelijk bezwarend zijn”: als jij als consument kunt uitleggen waarom het onredelijk is dat de dienstverlener op elk moment z’n prijzen arbitrair mag verhogen, dan kun je het prijsverhogingsbeding toch laten schrappen. En die uitleg ligt nogal voor de hand bij zo’n volstrekt arbitrair en op-elkmoment beding (meer dan “kóm nou toch” is volgens mij niet nodig).

Vandaar dat veel dienstverleners zichzelf toch íets inperken: slechts eens per jaar verhogen, niet met meer dan een inflatiecorrectie of met maximaal X procent – en eigenlijk altijd met “de consument mag opzeggen als hij het er niet mee eens is”. Maar strikt gesproken móet dat dus niet – als je de discussie aandurft met je klant waarom je prijsverhoging gewoon redelijk is.

Arnoud

Zweden gaan fotograferen van iemands privé verbieden

Geplaatst op in Privacy, 15 reacties

foto_prive.jpgRare jongens, die Zweden. Eerst ongoogelbaar uit het woordenboek laten, nu fotograferen in de privésfeer verbieden. Schrijft althans Nu.nl. Het werkelijke wetsvoorstel gaat iets verder dan “je mag geen foto’s meer maken zonder toestemming”, maar toch.

De Zweden worstelen al een tijd met gluurderfotografie: upskirts, kleedkamerfotografie, doucheopnames en andere creepshots. Met dit wetsvoorstel wil men een strafrechtelijk verbod daarop instellen. Nadat een eerder voorstel een paar jaar terug al sneuvelde, probeert men het nu opnieuw met een verbod op fotografie die

irrespective of place, occurs in a way which is obtrusive, intrusive, or hidden and that is meant to be a serious violation of a person’s privacy as an individual.

Samengevat: als je opdringerig of stiekem fotografeert met de inténtie iemands privacy te schenden, dan val je onder de strafwet. Fotografeer je daarentegen niet stiekem of zijn je intenties oprecht, dan is er niets aan de hand.

Testcase: zijn de verborgencameraopnames van Peter R. de Vries’s Joram-uitzending nu legaal of niet?

Of wat te denken van het Zweedse voorbeeld van een vrouwelijke adviseur van de ministerpresident die zoent met een politiek verslaggever, dat The Local noemt. Soort van vergelijkbaar met onze beroemde foto van (toen ook) prinses Beatrix met haar vriendje Claus in de achtertuin van het ouderlijk huis. Behoorlijk intieme momenten en die persmuskieten zaten écht met een telelens te wachten tot ze die privacy eens lekker kon schenden. Maar wél gewoon nieuws.

Ja ik kan me goed voorstellen dat de Journalistsförbundet (de Zweedse NVJ) begint te stuiteren over het aan de ketting leggen van de persvrijheid.

En nee, ik weet ook niet hoe je dit beter zou kunnen oplossen. het ís gewoon een probleem dat je met een beetje spycam of telefoon alles van iedereen kunt vastleggen en op Youtube kunt knallen, hoe privé het ook is en hoe pesterig dat plaatsen ook uitpakt. Maar dat probleem oplossen met een verbod lijkt me zo goed als onmogelijk omdat er geen definitie te verzinnen is van creepshots die legitieme fotografie uitsluit.

Eigenlijk is dit het moment dat je over fatsoen begint, maar juridisch gezien bestaat fatsoen niet. (En cynische ikke denkt nu, in de praktijk ook niet.)

Arnoud

Een brakke beveiliging hebben, waarom is dat niet strafbaar?

Geplaatst op in Regulering, Security, 28 reacties

brakke-beveiligingRecent was ik bij het responsible-disclosure event van hackerclub Revspace. Bij die avond kwam nog een intrigerend puntje langs: het is strafbaar om een brakke beveiliging te kraken, maar het is niet strafbaar om een brakke beveiliging te hébben. Althans, wij konden geen wetsartikel bedenken tijdens de discussie. Heel merkwaardig.

Het is strafbaar om binnen te dringen in een geautomatiseerd werk, zoals een computer of een netwerk. Daarbij hóef je geen beveiliging te doorbreken; het is genoeg dat je weet dat je niet mocht zijn op de plek in dat werk waar je bent. Net zoals je bij erfvredebreuk in overtreding bent zodra je een bordje “Verboden toegang art. 461 WvSr” passeert, ook al sloop je geen slot. Maar toelaten dat er wordt binnengedrongen is niet strafbaar.

Daarnaast is het strafbaar om gegevens te vernielen (=veranderen, wissen, onbruikbaar of ontoegankelijk maken, of gegevens eraan toevoegen). Hiervan is ook wat juristen noemen een culpose variant: “Hij aan wiens schuld te wijten is dat” er gegevens worden vernield, oftewel hij die nalatig was in het voorkomen van vernieling is ook strafbaar. Maar gegevensovername of gegevensdiefstal wordt hier niet genoemd.

Dus stel ik zet mijn klantenbestand online zonder adequate beveiliging en een Chinees kopieert de hele boel na het raden van het wachtwoord. De Chinees schendt 138ab, maar is niet te vervolgen. Maar wat valt mij te verwijten? Er is niets “veranderd, gewist, onbruikbaar of ontoegankelijk gemaakt” en ik heb geen beveiliging doorbroken. Ik was ook niet op onbevoegd terrein.

Ook in andere wetgeving kom ik geen regels over beveiligingsplichten tegen. Ja, artikel 13 Wbp eist “adequate beveiliging” als het gaat om persoonsgegevens. Maar dat is formeel bestuursrecht: het Cbp kan bij overtreding een last onder dwangsom opleggen, maar overigens geen boetes (art. 61 Wbp). Strafbaar is het niet, want artikel 75 Wbp (dat bepaalt wat er persoonsgegevenstechnisch strafbaar is) noemt artikel 13 niet. Heel merkwaardig.

Sinds enige tijd hebben telecomproviders een meldplicht bij datalekken waarbij persoonsgegevens op straat komen (art. 11.3a Tw). Maar ook dat is bestuursrecht, hoewel de OPTA wel boetes kan opleggen bij overtreding. Alleen, denk ik dan pietluttig: er staat “een inbreuk op de beveiliging die nadelige gevolgen heeft voor de bescherming van persoonsgegevens” en wat nou als ik geen beveiliging héb?

Heel merkwaardig dus.

Misschien dat het te maken heeft met de moeilijkheid een adequate definitie te vinden? Of dat er onbedoelde bijeffecten optreden als je bv. zegt “hij aan wiens nalatigheid/schuld het te wijten is dat persoonsgegevens worden verkregen/misbruikt”?

Arnoud

Als je bij een webshop gestolen waar koopt, moet je het dan teruggeven aan de eigenaar?

Geplaatst op in Ondernemingsvrijheid, Regulering, 16 reacties

diefstal-theft-politie.jpgIntrigerende vraag via Twitter: als je iets koopt via een webshop dat gestolen blijkt, moet je het dan teruggeven als de bestolen eigenaar opduikt?

Wanneer een zaak gestolen wordt, wordt deze vaak doorverhandeld (heling). Dat is verboden, en terecht dan ook dat de wet bepaalt dat de werkelijke eigenaar het gestolene mag terugeisen van de partij die het onder zich heeft. Juridisch heet dat recht van terugeisen revindicatie (art. 5:2 BW), en bij diefstal moet dit binnen drie jaar na de diefstal worden uitgeoefend. De koper moet dan maar zien of en hoe hij zijn geld terugkrijgt van de verkoper. Wel kan hij soms een vergoeding eisen van de eigenaar (art. 3:120 BW).

Frustrerend daarbij is echter dat je het niet zomaar weer mee mag nemen bij wijze van eigenrichting. Er worden soms zelfs mensen gearresteerd wegens diefstal omdat ze hun gestolen fiets weer meepakken. Een expliciete wettelijke basis daarvoor heb ik nog niet kunnen vinden; verder dan “het zou kunnen dat de huidige houder deze legaal onder zich heeft dus we moeten de civiele rechter het laten uitzoeken” kom ik niet.

Een houder van gestolen goed kán namelijk deze legaal hebben verkregen. De wet (art. 3:86 BW) noemt namelijk als uitzondering op het opeisingsprincipe de situatie dat:

de zaak door een natuurlijke persoon die niet in de uitoefening van een beroep of bedrijf handelde, is verkregen van een vervreemder die van het verhandelen aan het publiek van soortgelijke zaken anders dan als veilinghouder zijn bedrijf maakt in een daartoe bestemde bedrijfsruimte, zijnde een gebouwde onroerende zaak of een gedeelte daarvan met de bij het een en ander behorende grond, en in de normale uitoefening van dat bedrijf handelde

In normaal Nederlands: als een consument de zaak heeft gekocht bij een professioneel winkelier die handelde vanuit een winkel. Die nogal expliciete definitie van wat een winkel is, staat daar om verkoop op de markt of vanuit een rondrijdend busje er buiten te laten vallen. Het idee is dat de consument moet kunnen vertrouwen op koop bij ‘bakstenen’ winkels, dat zijn immers geen snel weer weg wezende schimmige handelaren.

Als onbedoeld bijeffect van die baksteenvereisende definitie zijn webwinkels nu óók uitgesloten van deze uitzondering. Het lijkt me redelijk dat een beetje webwinkel hier toch echt ook onder moet vallen, mits vergelijkbaar met zo’n bakstenen bedrijfsruimte. Ik kan er werkelijk niet bij dat een koop bij een winkeltje om de hoek wél en een koop bij Bol.com niet beschermd zou zijn.

Alleen: hoe definieer je dan een webwinkel, zonder marktkramen en busjes mee te nemen?

Arnoud

Europa wil cookiewet wijzigen met pseudo-anonieme cookies

Geplaatst op in Privacy, 36 reacties

analytics-cookie.pngZelfs de makers van de cookiewet zijn er niet meer blij mee. Europarlementariërs pleiten ervoor cookies in te zetten die niet tot de persoon herleidbaar zijn, maar wel interessant zijn voor adverteerders, las ik bij Nu.nl. Concreet: Europarlementariër Seán Kelly presenteerde een voorstel voor “pseudo-anonieme cookies”, meldde Emerce. Data moet niet aan een persoon maar aan een activiteit gekoppeld worden, zodat je wel getarget kunt adverteren maar niet weet over wie het gaat.

De cookiewet is op zijn zachtst gezegd nogal een tegenvaller. Waar de wet bedoeld was om mensen de controle terug te geven over hun PC, werd hij uitgevoerd als “laat overal een irritante popup zien én dwing mensen ja te zeggen”. En dat terwijl er niet eens aan cookies was gedácht bij de eerste wetsvoorstellen: het ging over browserbalken, add-ons en spyware die niet meer stiekem mocht worden geïnstalleerd.

Op zeker moment is ook cookies deel geworden van die wet, en toen ging het ineens ook over privacy – hoewel de cookiewet zelf niet over privacy gaat. Waarschijnlijk dacht er ergens iemand, cookies gaan over privacy, privacy gaat over controle, dus laten we cookies in die wet frommelen dan hebben we dat óók geregeld. Plus, dan kun je meteen dat enge targeten en profilen reguleren.

Het concept van Kelly pakt het anders aan. Cookies moeten niet tot de persoon herleidbaar zijn, maar wel interesseprofielen samenstellen. Hoe ik me dat precies technisch moet voorstellen, weet ik niet. Ik vermoed dat het idee is dat een cookie alleen interesses vastlegt (roddelnieuws=0&tech=9&politiek=4 bij een nieuwssite) en dat er getarget wordt op basis van die interesses. Zo weten ze niet dat ík die techlovin’, politiekvolgende en roddelhatende nieuwslezer ben.

Hoe nieuw is dat? Cookies wérken min of meer zo, alleen zit het profiel dan in een database en bevat het cookie de sleutel om dat profiel te vinden (visitorid=123 in het cookie en 123:roddelnieuws=0&tech=9&politiek=4 op de server). Volgens mij is dat functioneel hetzelfde en hoe het eerste dan minder de privacy schendt, ontgaat me.

In Nederland wordt al een hele tijd gewerkt aan een geplande wijziging van de cookiewet, waarbij met name analyticscookies moeten worden uitgesloten van het toestemmingsvereiste. Er ligt nu een wetsvoorstel voor internetconsultatie, maar of dit het haalt én of dit standhoudt bij de Europese rechter, valt nog te bezien.

De insteek van Kelly lijkt me véél beter. Leg vast tot hoe ver bedrijven mogen gaan, verbied de rest en leg er stevige boetes op. Mensen kúnnen geen fatsoenlijke privacytoestemming geven, zeker niet bij het internetten waarbij je gewoon op dingen klikt enkel omdat je die pagina met kattenfilmpjes wil zien.

Arnoud