Luchtfoto’s maken zonder vergunning wordt toegestaan (ook per drone)

Geplaatst op in Privacy, Regulering, 43 reacties

mijn-huisHet verbod van het ministerie van Defensie op het maken van foto’s en video’s vanuit de lucht wordt per 1 juni ingetrokken, meldde Nu.nl vorige week. De maatregel was bedoeld om spionage tegen te gaan, maar is door het openbaar maken van satellietfoto’s achterhaald. Het woord drone staat zowel bij mij als bij Nu.nl uitsluitend in de titel omdat je dan meer lezers krijgt; het gaat juridisch gezien om alle vormen van fotografie (en filmen).

Het Besluit luchtfotografie uit 1959 bepaalde heel simpel

Het is verboden zonder vergunning van Onze Minister van Defensie boven Nederlands rechtsgebied uit luchtvaartuigen te fotograferen of te doen fotograferen.

Dat gold voor alle luchtvaartuigen, naast vliegtuigen ook helicopters, luchtballonnen en radiografisch bestuurbare modelvliegtuigen, pardon drones. Met als uitzondering het fotograferen vanuit het raampje van een lijnvliegtuig, omdat men ook al in de jaren zestig wel inzag dat je dát volstrekt niet kon handhaven. Maar voor de rest mocht er niets zonder vergunning, die door de MIVD werd verleend. En aan die vergunning “kunnen voorschriften worden verbonden”, zoals een verbod op commerciële exploitatie of juist toestemming daarvoor. Een mooi overzicht noemt nog de Luchtopname Restrictie Kaart (volgens mij Luchtopnamerestrictiekaart maar goed) waar dan op aangegeven zou zijn waar je níet mocht fotograferen.

Omdat satellietfoto’s al zó gedetailleerd zijn en buiten het Besluit vallen, was het verbod nogal theoretisch geworden. Google en Bing lieten al veel meer zien dan welke luchtfotograaf dan ook kon vastleggen. Daarom wordt het Besluit ingetrokken, hoewel ook vanwege ‘lastenverlaging’ (=bezuiniging). Het vergunningensysteem in stand houden en handhaven bleek voor 1200 vergunninghouders niet echt rendabel.

Het is en blijft verboden om foto´s te maken van militaire infrastructuur (art. 430 Sr), ongeacht of je dat nu vanuit de lucht of vanaf de grond doet. Per satelliet mag wel: het Nederlands luchtruim houdt daar op. Hoewel ik niet kan vinden bij hoe veel meter in de atmosfeer exact onze jurisdictie eindigt – ook in de VS kennelijk een probleem, want voor een liedje opvoeren in het International Space Station moesten de auteursrechten gecleard worden.

Ik hoorde recent nog een merkwaardig verhaal: foto’s genomen met statieven van meer dan 15 meter hoog zouden “luchtfotografie” zijn en daarom onder de vergunningsplicht van dit besluit vallen. Ik kan me dat níet voorstellen; dan is een foto vanaf de Dom in Utrecht ook een luchtfoto. Heeft iemand enig idee waar dit vandaan komt?

Arnoud

Mag Equens pintransactiegegevens doorverkopen?

Geplaatst op in Ondernemingsvrijheid, Privacy, 29 reacties

hier-pinnenGrote ophef vrijdag: Pinbetaalprovider Equens wil de database van 2,2 miljard pintransacties per jaar te gelde maken, meldde onder meer Webwereld. Het zou gaan om geaggregeerde gegevens op postcodegebied, dus juridisch geen probleem en waar maakt u zich druk om. Dat kwam niet goed aan: diezelfde middag werd bekend dat men de verkoop had afgeblazen (huh, dus ze deden het al?). Maar had het nou gemogen?

De NOS meldt in een uitgebreid artikel dat ABN en Rabobank al juridische twijfels hadden. De crux zit hem in dat ‘herleidbaar’; gegevens die niet herleidbaar zijn tot een enkele persoon, vallen buiten de Wet bescherming persoonsgegevens oftewel de privacywet. Het is dus bijvoorbeeld toegestaan je bezoekerslogs te aggregeren en dan op dat niveau in het openbaar uitspraken te doen over bezoekers op je site: 94.3% van mijn bezoekers heeft een Nederlands IP-adres, bijvoorbeeld. Dat mag ik zeggen van de Wbp.

Aggregeren moet je wel goed doen, want de kans dat er tóch nog herleidbare informatie in zit, blijft altijd aanwezig. Het beruchtste voorbeeld is dat van de AOL query logs. In 2006 publiceerde het bedrijf voor wetenschappelijk onderzoek bestemde geanonimiseerde zoekdata – dacht men. De zoekopdrachten zelf bleken toch aardig persoonsgebonden, bijvoorbeeld omdat mensen zichzelf googelden, eh, aol’den.

De vraag is dus: als Equens zo’n pakket met data gaat verkopen, zijn er dan tóch mensen individueel te herkennen? Er zijn wellicht postcodes met slechts een paar inwoners (nieuwe wijken, grote landelijke stukken, etc) dus dan zou een pintransactie op wijkniveau ineens toch maar één persoon herkenbaar maken. En patronen in het koopgedrag maken mensen ook herkenbaar. In 2012 wist Amerikaanse supermarket Target dat een meisje zwanger was puur vanwege haar veranderde koopgedrag. Iets dat haar vader nog niet wist toen de toegesneden kortingsbonnen op de mat vielen.

Het is me niet duidelijk hoe ver Equens wil gaan. Ik lees “informatie leveren over welke winkels klanten bezoeken en hoeveel ze daar uitgeven” maar ook “alleen naar de wijk waarin de klant woont te herleiden”. Maar is dat zinnig, op wijkniveau? “In wijk 5 gaan meer mensen naar de Dirk”, hoe nuttig is dat? Heb je niet liever statistieken als “mannen van 50+ uit wijk 5 kopen hun wijn bij de Gall&Gall, terwijl jonge vrouwen dit bij de Dirk doen”? Daarmee kan de G&G eens een stunt voor rosé gaan doen bijvoorbeeld. Maar als je op dát niveau van aggregatie stopt, dan loop je toch weer de kans informatie te lekken – hoe veel mannen van 50+ wónen er in die wijk, en van wie dachten we toch al dat het een drankorgel was?

We zullen het wel nooit weten want dankzij de bliksemophef is het van tafel. Maar intrigerend is het wel.

Arnoud

Welke persoonsgegevens moet ik aan mijn forumbezoeker geven?

Geplaatst op in Privacy, 22 reacties

naam-adres-persoonsgegeven-klant-relatie.pngEen lezer vroeg me:

Op mijn internetforum heb ik een gebruiker die mij vraagt om zijn persoonsgegevens toe te sturen op basis van de Wet bescherming persoonsgegevens. Prima, maar hoe ver gaat dat? Hij vraagt bijvoorbeeld om alle logs met zijn IP-adres, alle privéberichten van en naar hem, maar ook om forumberichten en privéberichten van anderen waar het over hem gaat, want dat zouden óók persoonsgegevens zijn!

Als iemand persoonsgegevens verwerkt, heeft de betrokken persoon een recht van inzage (art. 35 Wbp):

een volledig overzicht [van de gegevens] in begrijpelijke vorm, een omschrijving van het doel of de doeleinden van de verwerking, de categorieën van gegevens waarop de verwerking betrekking heeft en de ontvangers of categorieën van ontvangers, alsmede de beschikbare informatie over de herkomst van de gegevens.

Zaken als logs over iemand zijn persoonsgegevens, en hij heeft dus recht op een kopie van die logregels met zijn IP-adres of zijn gebruikersnaam. (Mits ze er nog zijn, er is géén logplicht of bewaarplicht voor forums.)

Het klopt theoretisch echter wel dat oók berichten met zijn naam erin persoonsgegevens zijn – het enkele feit dat zijn naam erin staat, maakt het bericht een persoonsgegeven. Ik zou echter zeggen dat privéberichten niet hoeven te worden overlegd aangezien niet jij maar de afzender die ‘verwerkt’, jij hebt immers geen zeggenschap op wat men in een pb schrijft.

Iemands profiel op een forum telt ook als een verzameling van persoonsgegevens, daar zal dus ook een kopie van meoten worden afgegeven. En datzelfde zou je kunnen beredeneren voor de berichten die iemand zelf heeft geplaatst. Dat is natuurlijk veel werk, maar dát is geen argument om een verzoek om inzage te weigeren. Dat blijkt uit het Dexia-arrest van de Hoge Raad, waarin men bepaalde dat deel van dit recht is het verkrijgen van kopieën en afschriften van persoonsgegevens (inclusief transcripties van opgenomen telefoongesprekken), tenzij sprake is van bijzondere omstandigheden.

Het feit dat Dexia kosten moet maken om aan [verweerder] kopieën en transcripties te kunnen verstrekken, en het feit dat er enige tijd gemoeid is met het traceren van de telefoongesprekken met [verweerder], leveren geen bijzondere omstandigheden op als hier bedoeld, …

Ook met grote ‘administratiekosten’ mag je mensen niet proberen te ontmoedigen: een inzageverzoek mag wettelijk gezien maximaal € 5 kosten.

Privéberichten en berichten van anderen waarin iemand genoemd wordt zijn ook persoonsgegevens over die genoemde persoon. Echter, die moeten afgeven zie ik zo snel niet gebeuren. Allereerst kun je je afvragen of de forumbeheerder wel de ‘verantwoordelijke’ is in de zin van de wet – hij koos er niet voor dat die gegevens in die berichten terecht kwamen, immers. Dat was de afzender van het bericht. Dus díe is volgens mij de persoon die je om inzage moet verzoeken.

Daar komt bij dat de wet stelt dat wanneer “een derde naar verwachting bedenkingen zal hebben”, je eerst die derde moet vragen om zijn ‘zienswijze’ over het inzageverzoek. Gezien het feit dat het om privéberichten gaat lijkt het me logisch dat die zienswijze is “eh, nee, privébericht”. Hoewel het briefgeheim formeel niet geldt voor e-mail of privéberichten, zit er wel een zwaarwegend privacybelang op zulke berichten. En dat blokkeert dan het recht van inzage.

Natuurlijk, je voelt op je klompen aan dat deze bezoeker een beetje zit te stangen. Hij zal gok ik boos zijn omdat hij geband is, of hij heeft ruzie met andere forummers en wil ammunitie uit die privéberichten. Maar daar kun je niet zo veel mee als beheer. Je hoeft geen reden te hebben om inzage te krijgen, het feit dat je persoonsgegevens worden verwerkt is die reden. Pas als je onevenredig vaak om gegevens gaat vragen of andere bijzondere omstandigheden, zou er heel misschien sprake kunnen zijn van misbruik van recht. Je zult dus aan de slag moeten en die gegevens moeten verzamelen.

Als je echt zou willen terugpesten dan lever je alle informatie op papier aan, dat moet immers formeel nog steeds van de wet. Tevens eis je dan vooraf betaling van de € 5, dat mag, en verlang je kopie identiteitsbewijs want je bent verplicht de identiteit van de verzoeker te controleren. En daarna verlang je bewijs dat hij de eigenaar is van het account; ik ben héél benieuwd hoe je dat gaat bewijzen als forummer.

Arnoud

Scheiding van tafel en website

Geplaatst op in Informatiemaatschappij, Intellectuele rechten, 14 reacties

Volgens mij de eerste keer dat een website deel is van een boedelscheiding: de rechtbank Limburg oordeelde vorige week in een echtscheiding dat de vrouwelijke partner de website uit de boedel mocht hebben. Juridisch niet heel gek, hoewel het wel nogal informeel omschreven is, maar het roept wel vragen op.

Een website is juridisch geen fysiek ding zoals een tafel (of een hond, die ook moest worden toebedeeld). Wat het wél is, dat is niet met één woord te zeggen. Een site valt uiteen in content, software, domeinnaam en vast nog een aantal niet-tastbare componenten. Ik denk dat je dan al snel uitkomt bij het auteursrecht voor de content en software, en bij het algemene vermogensrecht voor de domeinnaam.

Dergelijke immateriële rechten zijn deel van een boedel als je in gemeenschap van goederen bent getrouwd. Ze zijn gemeenschappelijk eigendom (art. 3:166 BW). Dat betekent dat je ze niet los van je partner kunt exploiteren. Binnen het huwelijk geen probleem, maar ga je scheiden dan moeten ze worden verdeeld anders ontstaat een onwerkbare situatie.

Het meest logisch bij zo’n boedelverdeling is dat de rechten naar partner gaan die feitelijk de werken gemaakt heeft, maar een echt harde regel is dat niet. En als beide partners ergens hebben gewerkt aan de site, dan wordt het natuurlijk helemáál een lastige kluwen om te ontwarren.

Ik ben trouwens benieuwd wanneer er voor het eerst een Facebookprofiel moet worden opgedeeld in een echtscheiding. Van wie zijn de daar geposte berichtjes, foto’s en vrienden?

Arnoud

Mag je medische gegevens uit forumberichten gebruiken voor onderzoek?

Geplaatst op in Privacy, 9 reacties

persoonskaarten-privacy-archief.pngEen lezer vroeg me:

Voor mijn werk als onderzoeker wil ik nagaan hoe mensen over hun medicijngebruik praten op internetforums. Ik weet dat het verwerken van medische persoonsgegevens niet zomaar mag, maar hoe zit het in deze situatie? Het zijn immers openbare forums waar je zonder account op kunt. Geldt de privacywet dan ook nog?

Het is normaal inderdaad verboden om medische informatie te verwerken. De Wbp eist toestemming of een specifieke wettelijke grond (art. 21 Wbp). Dit is vanwege het karakter van deze persoonsgegevens strenger dan bij normale persoonsgegevens. Er is dus géén grond à la de “eigen dringende noodzaak” die normaal wel (bij uitzondering) kan gelden om persoonsgegevens zonder toestemming te gebruiken.

Maar als de gegevens “door de betrokkene duidelijk zelf openbaar zijn gemaakt”, dan geldt dit verbod niet (art. 23 Wbp). Als iemand dus zelf meldt diabetes te hebben, dan valt verwerking van dat gegeven dus niet meer onder dit verbod.

Dat wil echter niet zeggen dat het gegeven dus vogelvrij is. De hoofdregel van de Wbp dat er toestemming, overeenkomst of dringende noodzaak moet zijn, geldt ook nu. Wie geen toestemming heeft om medische feiten te publiceren en ook geen eigen dringende noodzaak kan aantonen, schendt alsnog de Wbp. Ik moet dus in deze blog nog steeds een reden hebben om te melden dat iemand diabetes heeft, ook al staat dat op zijn eigen openbare Facebook. (Die reden zal bij een blog de vrije meningsuiting zijn.)

Specifiek voor wetenschappelijk onderzoek of statistiek is er nog een uitzondering op dit verbod, namelijk wanneer:

a. het onderzoek een algemeen belang dient,
b. de verwerking voor het betreffende onderzoek of de betreffende statistiek noodzakelijk is,
c. het vragen van uitdrukkelijke toestemming onmogelijk blijkt of een onevenredige inspanning kost en
d. bij de uitvoering is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad.

Als een dergelijk onderzoek kan voldoen aan deze vier eisen, dan is het dus óók toegestaan. Het grote struikelblok hier zal denk ik lid c zijn: waarom kun je niet gewoon iedereen een berichtje sturen en vragen of je hun berichten mag gebruiken?

Het is overigens een misverstand dat wetenschappelijk of statistisch onderzoek altijd mag onder de privacywet. Het enige dat er over dergelijk onderzoek in de wet staat, is dat als de gegevens legaal verkregen zijn (dus toestemming, overeenkomst of noodzaak) je óók statistisch onderzoek mag doen op die gegevens (art. 9 lid 3 Wbp). Maar had je überhaupt geen grond om die gegevens te verwerken, dan is verwerken voor statistiek ook niet toegestaan.

Arnoud

ING hoeft persoonsgegevens FTD World niet aan Brein te geven

Geplaatst op in Intellectuele rechten, Privacy, 44 reacties

Nee lieve Nutechpromotende keywordscoorders: niet dat FTD maar een forum genaamd FTD World. De ING-bank hoeft in een rechtszaak met Stichting Brein rond het Nederlandse internetplatform FTD World geen persoonsgegevens te verstrekken van een rekeninghouder op wiens rekening je donaties voor het forum kon storten. Dat bepaalde de rechtbank Amsterdam vorige week. Hoewel je zeker (ook zonder gerechtelijk bevel) verplicht kunt zijn NAW-gegevens te verschaffen van je klant aan private partijen, is die plicht wel een laatste redmiddel als al het andere niet is gelukt. En in dit geval had Brein niet al het andere geprobeerd.

Nadat de FTD dienst in 2011 zijn deuren moest sluiten (waar ik nog steeds van baal), gingen diverse partijen zelf vervangers, opvolgers en alternatieven opzetten. Eentje daarvan is FTD World, dat volgens de Whois uit Litouwen komt maar dat een Nederlands Postbanknummer op de site vermeldde waar donaties naartoe konden.

Brein stapte daarop met het Lycos/Pessers arrest naar de ING bank en eiste alle NAW-gegevens van de accounthouder. De naam van deze mevrouw stond op de site (“ten name van”) en de bank bevestigde dat zij houder was, plus dat zij iemand had gemachtigd – maar niet hoe die gemachtigde zou heten. En dat was voor Brein reden om de NAW-gegevens bij de rechter op te gaan eisen.

De rechtbank gaat daar niet in mee. Vereist voor afgifte is namelijk dat de tussenpersoon (provider) een essentiële rol inneemt:

Naar het oordeel van de voorzieningenrechter miskent Brein hiermee dat de rol van een internet service provider of hostingprovider wezenlijkanders is dan die van een bank als ING Bank. Een“piratenwebsite” kan niet bestaan zonder een provider. Er is geen sprake van onrechtmatigheid als de provider zijn diensten niet verricht. ING Bank verzorgt “slechts” het bankverkeer, hetgeen niet als conditio sine qua non heeft te gelden met betrekking tot (mogelijke) auteursrechtinbreuk.

Daar zit ergens wel wat in, een bank kan moeilijker bepalen of handelen van zijn klant onrechtmatig is als de enige link tussen bank en handelen is dat het bankrekeningnummer ergens op staat. Tegelijkertijd: in andere omstandigheden lijkt dat minder een probleem: XS4All heeft bar weinig te maken met de informatie op de site van TPB, dus waarom moet XS4All dan tóch overgaan tot een blokkade? En als je zegt, XS4All kan zó zien dat die informatie onrechtmatig is, waarom kan de ING Bank dan niet even snel zien dat de informatie op dat FTD World onrechtmatig is?

Brein gaat in hoger beroep. En ik vraag me af wat dit zou betekenen voor partijen die oplichters via de bank willen identificeren. Bij die transactie is de bank wél essentieel: zonder bankrekening geen betaling. Dus in die situatie zou de rol vergelijkbaar zijn met die van een ISP of hostingprovider, en dan zou de bank dus wél gegevens moeten afgeven?

Update (20 juli 2015) het Hof van Justitie zegt in een Duitse merkenzaak dat een bank zich niet op bankgeheim mag beroepen als de klant IE-inbreuk pleegt. Er moet een afweging van belangen komen. Dat lijkt op de Lycos/Pessers-toets die wij hebben.

Arnoud

Mag de politie je volgen op Twitter?

Geplaatst op in Regulering, 64 reacties

twitter-politieIntrigerend bericht bij Ouders Online: Mag de politie jongeren volgen op Twitter? Het lijkt een gekke vraag – Twitter is bedóeld om mensen te volgen, dus wat maakt het beroep van de volger nu uit? Maar voor de politie is dit toch niet zo’n heel gekke vraag, aangezien het “volgen of stelselmatig diens aanwezigheid of gedrag waarnemen” van een burger volgens de wet alleen mag bij verdenking van een misdrijf en op bevel van de officier van justitie. En die frase is letterlijk wat je bij Twitter doet.

Het idee achter dit wetsartikel (art. 126g Sv) is dat stelselmatig volgen of registeren van gedrag van burgers door de politie een ernstige inbreuk op de privacy is. Kernwoord is ‘stelselmatig’: dat een agent vijf minuten achter je aanrijdt of toevallig ziet dat je een winkel in gaat, is niet verboden. Maar zou hij datzelfde de gehele dag doen, of met een opschrijfboekje voor je deur zitten om vast te leggen wanneer je naar binnen en buiten gaat, dan wordt het een ander verhaal.

Je kunt je echter afvragen of volgen op Twitter valt onder het soort volgen of ‘gedrag waarnemen’ waar dit artikel op doelt. Het artikel is immers geschreven voor fysiek volgen en fysiek waarnemen, hoewel ook het aanwenden van een technisch hulpmiddel wordt genoemd “voor zover daarmee geen vertrouwelijke communicatie wordt opgenomen”. Dit zou een GPS-beacon kunnen zijn, maar volgens de letter is een browser met Twitter ook zo’n hulpmiddel. Het neemt immers geen vertrouwelijke communicatie op.

Het opnemen van telefoongesprekken of aanbrengen van afluisterapparatuur is elders geregeld, net als het vorderen van digitale communicatiegegevens of opgeslagen privégegevens bij de provider. Zo regelt artikel 126m het opnemen van “niet voor het publiek bestemde communicatie die plaatsvindt met gebruikmaking van de diensten van een aanbieder van een communicatiedienst”. Dat lijkt wetssystematisch beter passen bij het opvragen van Twitterberichten – hoewel daarbij natuurlijk sprake is van wél voor het publiek bestemde communicatie, mits de twitterstream niet op slot zit.

Maar eigenlijk is de vraag of het hóórt te mogen, interessanter dan of het wetstechnisch mag. Enerzijds lijkt er niets op tegen, want je vertelt vrijwillig de hele wereld wat je doet dus wat is het probleem dat een agent meeleest. Anderzijds heeft het wel degelijk z’n weerslag als je wéét dat een agent meeleest. Net zoals er niets op tegen is dat een agent aan het verkeer deelneemt maar je tóch anders auto rijdt als er een politiewagen achter je zit. Zeker als dat tien minuten lang het geval is. En bij deze blog tripelcheck ik ook mijn juridische bronnen want ik wéét dat er politie en Justitie meeleest (hoi Lodewijk).

Maar goed, dat is de echte wereld. Een agent in je nek is een stuk indringender dan in je logfile of Twittervolgerlijst. Plus, het is niet zo dat je Twitter op móet, terwijl je de straat wél op moet als je iets te eten wil krijgen. En je kunt bij online media genoeg maatregelen nemen om oom agent te ontlopen.

Een sterker tegenargument vind ik dat het zo wel érg makkelijk wordt om massaal iedereen te volgen en te zien wat men uitspookt. Volg heel Nederland, hang er een leuke logging en keyworddetectie aan en je hebt een prachtig systeem ter bestrijding van allerlei misdrijven. Dat kan toch ook weer niet de bedoeling zijn.

Of is het niet meer dan gewenning? Ik zou echt niet meer weten welke agenten nu meelezen hier, hoewel ik dat aan IP-adressen best kan zien (en er van opkeek toen ik het voor het eerst zag).

Arnoud

Mag een site je verplichten om je via Facebook aan te melden?

Geplaatst op in Privacy, 12 reacties

face-book.pngEen lezer vroeg me:

Ik was op zoek naar een studentenkamer en kwam Kamers in Nederland tegen. Daar staat letterlijk: “KamersInNederland.nl is bewust een afgesloten platform. Alleen door in te loggen met je Facebook-account kun je kamers bekijken en plaatsen. Op deze manier houden we oplichters buiten de deur.” Maar is dat wel legaal? Mag je bezoekers verplichten zich via Facebook aan te melden?

Bij commerciële diensten heb ik het nog niet vaak gezien, maar bij steeds meer forums en blogs zie ik de eis om je aan te melden via Facebook, Twitter en dergelijke diensten van derden.

Op zich is dat legaal. Je mag je dienstverlening aanbieden zoals jij dat wil, en als je wil dat mensen lid zijn van Facebook dan mag je dat als voorwaarde stellen. Het doet gek aan, want in het normale leven heb je zoiets eigenlijk nooit. Maar ik kan er niet echt een regel tegen bedenken.

De enige regel die in de buurt komt, is dit artikel op de grijze lijst:

dat de wederpartij verplicht tot het sluiten van een overeenkomst met de gebruiker of met een derde, tenzij dit, mede gelet op het verband van die overeenkomst met de in dit artikel bedoelde overeenkomst, redelijkerwijze van de wederpartij kan worden gevergd;

Het is dus verdacht om te eisen dat je klanten ook met iemand anders een contract moeten sluiten. Maar de grijze lijst is niet dwingend; je mag tegenbewijs leveren waarom het wél redelijk is. En de hint staat er al: er moet een redelijk verband zijn tussen de twee overeenkomsten. Bij kamerverhuur speelt het probleem van oplichters en malafide huurders en verhuurders. Door te eisen dat je je identiteit onthult, schrik je die partijen af. En verder kost het je weinig, behalve je privacy dan maar die is juridisch gezien toch nul euro waard.

Het voelt wel gek om zo expliciet Facebook aan oplichting te koppelen. De indruk lijkt een beetje te zijn “heb je geen Facebook, dan ben je een oplichter”. En dit vond ik wel dubieus:

We controleren Facebook profielen automatisch én handmatig. Bovendien helpen onze gebruikers een handje mee.

Dit vereist – net als het googelen van sollicitanten – apart toestemming. Die zou dus op de loginpagina geëist moeten worden, verstoppen op een pagina waar men niet per se langs komt is juridisch niet genoeg.

Verder kon ik het als jurist niet nalaten de Privacy Policy te lezen. Alleen, dat bleek naar de algemene voorwaarden te gaan waar niks over privacy in staat. Maar waar wél in staat dat er € 9.50 per maand plus bemiddelingsloon verschuldigd is, terwijl de dienst volgens de site gratis is (“omdat het kan“). Gevalletje copypasten bij de concurrent?

Arnoud

Zwaar verdeeld gerechtshof VS ondermijnt softwarepatenten met anti-abstractieuitspraak

Geplaatst op in Intellectuele rechten, 10 reacties

hardware-software-computer-gollem-huh.jpgSoftwarepatenten staan onder druk door een gerechtelijke uitspraak in de VS, las ik bij Webwereld. In de recente CLS Bank vs. Alice Corp-uitspraak bepaalde het Court of Appeals for the Federal circuit, de octrooihogerberoepsrechter, dat patenten “niet te abstract” mogen zijn. Volgens een van de dissenting judges betekent dit “the death of hundreds of thousands of patents, including all business method, financial system, and software patents”. Whoa.

Softwarepatenten hebben in de VS altijd een wat merkwaardige status gehad. De wet noemt ze nergens expliciet, maar in de rechtspraak is er een soort-van mogelijkheid gecreërd voor octrooi op softwarezaken. (In Europa is er een verbod op “patent op software als zodanig”, bij mij nog steeds hoofdpijnoorzaak nummer 1.) En die mogelijkheid werd gigántisch uitgebuit tegen het einde van de jaren negentig, toen internet opkwam en ditzelfde Hof bepaalde dat óók business methods “software” waren. Toen veel van die internetbedrijfjes failliet gingen, kochten handige jongens de octrooien uit hun boedel en begonnen daarmee het patenttrollen, maar dat terzijde.

In principe is alles patenteerbaar, aldus de Supreme Court, behalve abstracte ideeën, natuurwetten en dergelijke. Het moet gaan om een nuttig en concreet ding of praktisch proces dat je patenteert. Dus niet “water kookt bij 100 graden” maar wel een stoommachine die hier gebruik van maakt. In de Mayo-uitspraak werd dit nog eens onderstreept.

Wat betekent dat nu voor software? Alle software is uiteindelijk wiskunde, dus je kunt zeggen dat alle software niet-patenteerbaar moet zijn. Maar het gaat in tegen het rechtsgevoel bij rechters om IE-houders al te makkelijk hun aanspraken te ontzeggen. In individuele gevallen een octrooi ongeldig verklaren oké, maar categorisch zeggen dat iets niet patenteerbaar is? Voor je het weet heb je het octrooisysteem afgeschaft, en dat moeten we niet willen, lijkt de gedachte een beetje te zijn. (Je ziet dat ook bij andere IE-rechten: afwijken van het principe “IE is goed, IE is nuttig, en mensen die IE beperken zijn éigenlijk gewoon piraten en dieven” gaat maar zeer moeizaam.)

De discussie komt al snel neer op, neem een bestaand apparaat en programmeer het met nieuwe software. Heb je dan een nieuw apparaat? Een discussie die in Nederland in de jaren tachtig al eens gevoerd is. Als je netwerkapparatuur voorziet van nieuwe firmware waardoor het netwerk beter functioneert, heb je dan een nieuw netwerkapparaat? Ja, vond onze Octrooiraad in 1985. Het moet niet uitmaken of je die verbetering realiseert met firmware of met een schakeling puur in hardware in een chip uitgevoerd.

Ook in Europa wordt ongeveer die lijn gevoerd, maar deze wordt daar wel doorgetrokken naar “de software op zich is óók patenteerbaar” en daar krijg ik dus hoofdpijn van want in de wet stáát gewoon “software als zodanig is niet patenteerbaar”. Het verschil tussen “op zich” en “als zodanig” heeft nog niemand me kunnen uitleggen.

Het Amerikaanse gerechtshof zegt nu dat software als zodanig niet patenteerbaar is. Een werkwijze die je met software uitvoert, wordt niet patenteerbaar enkel omdat je het met software doet. Ook de bekende truc om er “uitgevoerd op een computer met een monitor, muis, en andere dingen die pijn doen als ze op je tenen vallenhardware” bij te zetten, wordt nu verboden. En een patent op een computerprogramma op een opslagmedium (diezelfde truc) mag ook niet – als de originele methode zelf niet technisch is.

Wanneer dát nu het geval is, daar wordt het Hof niet helemaal wijs uit. En hoewel ze de claims uit deze specifieke patenten vrij eenvoudig afschieten als abstract, kan ik er niet uithalen wat voor criteria ze daar nu in abstracto (haha) voor hanteren. Wie maakt hier chocola van?

The concept of reducing settlement risk by facilitating a trade through third-party intermediation is an abstract idea because it is a “disembodied” concept, (…), a basic building block of human ingenuity, untethered from any real-world application. Standing alone, that abstract idea is not patent-eligible subject matter.

Iets is abstract omdat het niet concreet is, losgekoppeld van de echte wereld. Dat is volgens mij de definitie van ‘abstract’, dus dit is geen argumentatie waarmee je iets ongeldig mag verklaren.

Ja, softwarepatenten in de VS zijn een probleem – je krijgt ze te makkelijk, er wordt niet goed genoeg getoetst op inventiviteit en dat trollen begint écht vervelend te worden ondertussen. Maar met zo’n vage uitspraak als deze kom je ook niet verder. Geen octrooihouder die zich hierdoor laat weerhouden – eerst maar eens zien wat de Supreme Court zal zeggen, plus de meeste zaken worden tóch geschikt.

Arnoud

Mag je de inhoud van een verloren portemonnee twitteren?

Geplaatst op in Privacy, 23 reacties

creditcard-facebookEen lezer vroeg me:

Als ik een portemonnee vind met bankpasjes en dergelijke erin, mag ik dan foto’s daarvan op Twitter (of Facebook) zetten met de vraag wie deze persoon kent? Zo hoop ik dat de portemonnee snel terugkomt bij de originele eigenaar.

Dit lijkt me niet echt verstandig. Door kaartnummers en dergelijke te publiceren, wordt identiteitsfraude wel een stuk gemakkelijker. Zeker in combinatie met een identiteitskaart, waar zelfs iemands BSN op staat.

Welke wet je ermee overtreedt, weet ik niet precies. Aanzetten tot identiteitsfraude (dus medeplichtigheid) lijkt het me niet, daarvoor is vereist dat je opzettelijk handelt. Door nalatigheid kun je geen medeplichtige zijn. Dit nog los van het feit dat het érg moeilijk te bewijzen zal zijn dat een oplichter met juist de gegevens uit die tweet de valse aankoop heeft gedaan.

Een schadeclaim van de betrokkene lijkt me om dezelfde reden moeilijk. Bewijs maar dat de schade door die tweet is veroorzaakt – en daarna graag ook even hoe hoog die schade was.

Heel formeel is het een verwerking van persoonsgegevens, je publiceert immers gegevens gerelateerd aan een persoon in een geautomatiseerd en doorzoekbaar systeem. Die publicatie rechtvaardigen moet dan met een beroep op de eigen dringende noodzaak, namelijk de betrokkene helpen zijn portemonnee terug te krijgen. Dat mag, maar dan mag je niet meer publiceren dan noodzakelijk is voor dat doel.

Praktisch gezien zou ik zeggen, houd het bij een voor- en achternaam en iets bijzonders (visakte, foto van kind met paarse krokodil) waar mensen zichzelf in kunnen herkennen. En je kunt zelfs de overige gegevens gebruiken ter controle dat degene die zich meldt, écht de eigenaar is.

Arnoud