Kan mijn werkgever me verplichten thuis te mailen?

Geplaatst op in Informatiemaatschappij, Ondernemingsvrijheid, 35 reacties

outlook-webmailEen lezer vroeg me:

Sinds we webmail hebben, gaat mijn manager er voor het gemak maar vanuit dat ik ook ’s avonds en op mijn vrije dag mijn mail bijhoud. Ik werd er laatst op aangesproken dat ik een mail niet had gezien die op mijn vrije dag was verstuurd. Kan hij dat werkelijk van me eisen?

Nou nee, niet zomaar.

Er is een Arbeidstijdenwet maar die regelt niet expliciet hoe het zit met overwerk. Verder dan een dagmaximum van 12 uur per dag en 60 uur per week en “een onafgebroken rusttijd van ten minste 11 uren in elke aaneengesloten periode van 24 uren” plus regels over een half uur pauze als je werkdag meer is dan 5,5 uur gaat het niet. Hoe je binnen die kaders het werk inricht, is aan werkgever en werknemer.

In een CAO of arbeidsovereenkomst kunnen specifiekere regels worden opgenomen, bijvoorbeeld dat je nooit hoeft over te werken of juist dat men een X aantal uren overwerk per maand mag verlangen. Dat is dan in principe bindend.

Je bent als werknemer in principe niet verplicht om over te werken, maar het is ook weer niet zo dat je nooit hoeft over te werken. Een werknemer moet zich ‘goed’ gedragen (en een werkgever trouwens ook), en als vanuit die open norm overwerk nodig is dan moet je dat doen. Omgekeerd moet die goed werkgever wel rekening houden met jouw werk/privé balans en daarbij hoort ook mensen niet structureel overwerk opdringen. Zeker niet als ze een parttime contract hebben – het hele púnt is dan juist dat je die paar dagen niet werkt.

Om een of andere reden werkt dit soort dingen in de ICT net even wat anders dan elders. Waar geen bouwvakker ’s avonds nog even een muurtje gaat leggen, zit menig ICT-professional de hele avond nog mail af te handelen. Zijn dat de mores van de beroepsgroep of is het iets dat we gewoon doen omdat het zo makkelijk is, zeker met een BYOD waar toch al de webmail op zit?

Arnoud

Wat betekent ‘Dell raadt Windows aan’?

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 44 reacties

windows-recommendedEen lezer vroeg me:

Laatst heb ik een Dell Alienware laptop gekocht. Op de site staat “Alienware raadt Windows aan.”. “Ok dat mag” dacht ik. Aanraden kan altijd. Dus ik zet er Linux op en werkte tot volle tevredenheid. Na enige tijd merkte ik problemen op die waarschijnlijk met het bios te maken hebben. Gelukkig was er een bios update. Alleen: deze is als een microsoft .exe-bestand gepubliceerd. Daar kun je onder Linux niks mee. En bij navraag meldt Dell me letterlijk: “Omdat Windows wordt meegeleverd op deze systemen leveren wij ook alleen support hiervoor. De update voor het Bios wordt alleen maar uitgebracht voor Windows hierdoor.” Heb ik nu inderdaad pech?

De term “raadt Windows aan” zou ik niet opvatten als “wij leveren alleen support als u Windows afneemt”. Dat is gewoon een reclamekreet op gesponsord verzoek van Microsoft. Dat mag, en betekent niet dat als je de PC met Linux afneemt je dús nergens recht op hebt.

Wél relevant lijkt me of de laptop met Windows geléverd is. In die situatie mag Dell concluderen dat je een Windowsgebruiker bent, en als ze dan de bios update alleen als Windows-programma beschikbaar hebben dan staan ze volgens mij wel in hun recht. Ik denk niet dat zij rekening moeten houden met de mogelijkheid dat jij zelf Windows gewist hebt en daarna Linux installeerde.

Als ze zelf (ook) Linux-varianten van de laptop leveren, dan moet natuurlijk ook de bios update in een Linux-installeerbaar formaat beschikbaar zijn. En die varianten zijn er, zoals deze XPS 13 Developer Edition, hoewel ik bij het lezen van de productbeschrijvingen wel steeds het gevoel krijg van een moetje: de klant vraagt erom, wat een rare mensen maar goed dan maken we wel iets dat Linux draait. De tekst is lang niet zo’n feestje als bij de Windows 8 laptops.

Bij de Alienware laptops heb ik alleen de keuze uit diverse Windowsvarianten. Zelfs de optie “geen OS” is afwezig. Dan denk ik dat Dell wel mag zeggen, deze producten zijn per definitie Windows dus hoeven wij de updates alleen vanuit Windows te ondersteunen.

Heeft iemand een tip hoe toch zo’n .exe update toe te passen vanuit Linux?

Arnoud

Bestaat er goede trouw bij de aankoop van illegale software?

Geplaatst op in Intellectuele rechten, 11 reacties

hardware-software-computer-gollem-huh.jpgEen lezer vroeg me:

Stel dat iemand mijn fiets steelt en die doorverkoopt tegen een reële prijs. Dan is de fiets officieel van de koper en krijg ik hem niet terug. Maar hoe werkt dat nu met software? Als iemand mijn software gaat doorverkopen zonder dat dat mag, wanneer is de koper dan tóch eigenaar?

Als een zaak (een ding, zoals een fiets) door diefstal wordt verkregen, dan kan de dief deze juridisch gezien niet doorverkopen. Hij is immers geen eigenaar. Echter, wat nu als de koper te goeder trouw meende echt een legale fiets te kopen? Dan zou het wel zuur zijn als hij die vervolgens moest inleveren omdat deze tóch gestolen blijkt. Daarom bepaalt de wet dat een particulier die koopt bij een winkel (en tegen een normale prijs) beschermd wordt: hij wordt eigenaar, ook als de fiets gestolen was. (Oké, dit is óók zuur want de bestolen eerste eigenaar heeft nu het nakijken. Maar je moet íets.)

Bij software ligt dit anders. Software is geen zaak en kan niet worden gestolen. Bovenstaande regel geldt dus niet, behalve als we het hebben over standaardsoftware tegen een reële prijs (die kon je immers wél kopen) en deze dus in een winkel wordt doorverkocht. Maar een website is geen winkel. En bovendien is “doorverkoop van een licentie buiten de grenzen van de Usedsoft-uitspraak” niet hetzelfde als diefstal, maar alleen auteursrechtinbreuk.

Meestal zal er bij softwareverkrijging sprake zijn van licentieverlening. (Ik hoor nu hAl tussendoor: “Nee hoor, meestal is er sprake van welbewuste piraterij.” En ja, oké, maar daar ging deze blog even niet over.) In die situatie kan er ook sprake zijn van een vorm van goede trouw. Wat je dan namelijk aan de hand hebt, is een beweerdelijke vertegenwoordiging: de ‘doorverkoper’ van de software (de licentienemer) doet alsof hij bevoegd is namens jou een licentie te verlenen aan zijn wederpartij (de doorkoper?). En daar is een wetsartikel voor:

Is een rechtshandeling in naam van een ander verricht, dan kan tegen de wederpartij, indien zij op grond van een verklaring of gedraging van die ander heeft aangenomen en onder de gegeven omstandigheden redelijkerwijze mocht aannemen dat een toereikende volmacht was verleend, op de onjuistheid van deze veronderstelling geen beroep worden gedaan.

De vraag is dus of de rechthebbende de indruk heeft gewekt dat de licentienemer de licentie mocht doorverhandelen of nieuwe licenties mocht uitdelen. Bij gewoon doorgeven van een verkregen licentie zal daar geen sprake van zijn, maar wanneer iemand op de site van de rechthebbende als ‘certified partner’ of iets dergelijks vermeld staat dan zou ik die indruk wel durven aannemen. De rechthebbende zit dan vast aan die licentie, ook al mocht die eigenlijk niet worden verleend.

Ik vraag me af hoe vaak dit voorkomt. Vaker dan je denkt, denk ik (ahem). Wie durft er te zeggen dat ‘ie écht de licentiestructuren van de bekende softwarereuzen doorgrondt?

Arnoud

Mag een school zijn informatiesystemen wel uitbesteden?

Geplaatst op in Privacy, 20 reacties

Een lezer vroeg me:

De school van mijn dochter gaat gebruik maken van het leerlingvolgsysteem ParnasSys. Dit is een SaaS-dienst, waarbij persoonsgegevens worden verzameld. Maar ik kan nergens vinden dat het bedrijf dit heeft aangemeld bij het College bescherming persoonsgegevens! Mag dit dan wel?

Hoofdregel bij de Wet bescherming persoonsgegevens is dat je je verwerking moet melden bij de toezichthouder. Ja, altijd. Maar omdat je dan inderdaad helemáál knettergek wordt van die wet, is er een serie vrijstellingen opgenomen. Zo hoef je een intranet niet (meer) te melden, mits je maar binnen de regels van de vrijstelling blijft.

Misverstand daarbij is trouwens dat “onder de vrijstelling vallen” betekent dat je legaal bent. Je hebt echter nog stééds adequate toestemming of een andere grondslag nodig.

Er is een vrijstelling voor leerlingen, deelnemers en studenten aan een onderwijsinstelling waar een school gebruik van kan maken. Ze mogen de gegevens dan bv. alleen gebruiken voor het onderwijs, beschikbaar stellen van leermiddelen, innen van lesgeld, het doen uitoefenen van accountantscontrole, het publiceren op de eigen website en zo nog een paar. Wil een school een Facebookpagina maken met leerlingfoto’s erop, dan vallen ze daarmee buiten de vrijstelling. Die pagina moet dan worden aangemeld.

Nu is het bedrijf achter ParnasSys geen school, dus zij mogen zich niet op de vrijstelling beroepen. Maar in deze situatie maakt men gebruik van de ‘bewerker’ constructie. Wanneer een school iemand inhuurt die in hun opdracht persoonsgegevens verwerkt, en de school bepaalt met welk doel, dan is het nog steeds de school die verantwoordelijk is. En dat is precies wat er bij SaaS-dienstverlening gebeurt. De school bepaalt dat ze een leerlingvolgsysteem wil en kiest welke functionaliteit ze daarvoor wil inzetten. ParnasSys doet zelf niets – als het goed is.

De wet schrijft voor dat je dan een bewerkersovereenkomst moet sluiten met de bewerker. Hierin leg je vast wat hij wel en niet mag doen, welke beveiligingsmaatregelen hij moet nemen, of je mag auditten en hoe je om wilt gaan met schadeclaims van benadeelde ouders of leerlingen. Dit gebeurt echter maar zelden bij SaaS-diensten.

Update (20:32) het bedrijf achter ParnasSys reageerde in de comments:

ParnasSys heeft een bewerkersovereenkomst met de gebruikers en die voldoet ook aan de richtlijnen van OC&W met betrekking tot de leerlingadministratie en het leerlingvolgsysteem.

Verder hebben wij een speciale demo-school met niet-bestaande voorbeeldleerlingen, maar wel met realistische data. Je ziet dus mooie grafieken en gewone namen, maar die namen zijn compleet gefingeerd. Niemand van onze medewerkers presenteert vanuit gegevens van een bestaande school, als we daar al bij zouden kunnen. Je koopt toch geen pakket waar bij de presentatie al privacy-grenzen overschreden worden?

Het echte probleem zit hem volgens mij meer in de mogelijkheden, waar veel scholen niet goed bij stilstaan. Er zijn systemen waarbij ouders de geboortedata van álle klasgenoten kunnen zien. Is dat erg, is dat wenselijk? Ik weet het niet, maar zelden is dit een actieve beslissing, dit “doet het systeem gewoon” en dan wordt er achteraf een reden verzonnen waarom het oké is (“dat weten ze toch allang van elkaar”). Of er komen online cijferlijstinzagedingen, waar we ooit een aardige discussie over hadden. Wil je wel dat ouders alles kunnen zien wat er op school gebeurt?

Arnoud

Wanneer is een gerechtelijke uitspraak nu jurisprudentie?

Geplaatst op in Informatiemaatschappij, 11 reacties

us-supreme-court-rechtbank.jpgMet enige regelmaat krijg ik vragen over wanneer iets nu jurisprudentie is. Daarmee bedoelen ze dan meestal, wanneer is een vonnis bindend en mag ik erop vertrouwen dat de uitspraak ook voor mij geldt. Dat is een moeilijke vraag, maar dat komt met name omdat in vonnissen zelden zúlke harde lijnen staan dat ze eenvoudig naar elke andere situatie door te trekken zijn.

“Rechtspraak” is de meest algemene term om aan te geven wat ze op de rechtbank allemaal doen. De rechtbank hoort de partijen en beslist dan over de zaak, dat is het vonnis. Een vonnis noemt de feiten die de rechtbank heeft vastgesteld en de wetsartikelen die daarmee zijn overtreden, plus de straf (of schadevergoeding of andere consequentie) die daarop staat. Zo kan in een vonnis worden bepaald of iemand eigenaar is geworden, een schade moet vergoeden of iets anders moet doen (of juist nalaten).

De term ‘vonnis’ wordt in de gewone spreektaal gebruikt voor elke uitspraak van een rechter, maar juristen spreken alleen van een ‘vonnis’ bij een rechtbank. Uitspraken van hoger-beroepsrechters heten arresten. En in sommige procedures wordt gesproken van een ‘beschikking’, met name in het familierecht zie je dat vaak.

In theorie is een latere rechter niet verplicht vonnissen of arresten van eerdere rechters na te volgen. (Dit geldt in common-law landen zoals Engeland en de VS wel, vandaar de rechtbankserie-trope van de hele nacht in een juridische bieb zoeken naar die ene zaak uit 1881 waar in jouw voordeel werd beslist over iets vergelijkbaars. Dat is daar instant win maar bij ons niet. Een rechter mág afwijken, hoewel hij dat niet vaak zal doen, zeker niet bij een uitspraak van de Hoge Raad. De truc daarbij is dat er altijd wel een gaatje te vinden is waarom deze zaak anders is dan die uitspraak uit 1881.

De term ‘jurisprudentie’ kan worden gebruikt voor “alle gerechtelijke uitspraken”, maar meestal zie je de term bij uitspraken waarin iets belangwekkends wordt bepaald, en wel op een juridisch goed doordachte manier. Zeg maar als er een regel wordt geformuleerd waar je in de praktijk mee kunt werken, die helderheid brengt op een punt waar we dat nog niet hadden. Het arrest van de Hoge Raad over virtuele goederen, maar dat recente vonnis over het hacken van de mailbox van je werkgever is zó specifiek dat dat geen jurisprudentie te noemen is. Die uitspraak over tweeten als verwerken zóu jurisprudentie kunnen zijn, het is een principiële regel die wordt geformuleerd maar omdat de impact nogal verstrekkend is, zou ik daar wat huiverig voor zijn. En soms vinden we uitspraken zó gek dat we er maar liever niet meer over praten, zoals dit Europese arrest waar je uit kunt halen dat je op grond van de privacy nooit gefotografeerd mag worden.

Vaak komt bij jurisprudentie het erop aan hoe een bepaald onduidelijk stukje wet moet worden ingevuld, of hoe een wet moet worden toegepast op een situatie die niet bestond toen de wet werd gemaakt. Daar hebben rechters een aantal hulpmiddelen voor.

Hoofdregel is natuurlijk wat de wet zelf zegt, eventueel met een (juridisch) woordenboek erbij om te kijken wat een term betekent. Juristen noemen dit de grammaticale methode, hoewel je meestal niet echt naar de grammatica zelf kijkt. Een voorbeeld van deze methode is dat 4chan-arrest, waarbij het Gerechtshof bepaalde dat je geen computervredebreuk op een router kunt plegen omdat dat geen ‘computer’ is.

Daarnaast is er nog de wetsgeschiedenis: wat was de bedoeling van de wetgever toen hij dit schreef. Met die interpretatiemethode bepaalde het Gerechtshof Arnhem ooit dat bedrijven zich nooit mogen beroepen op reflexwerking bij colportage: bij invoering van de Colportagewet was expliciet bepaald dat deze alleen voor consumenten bedoeld was. Bij internetrecht wordt vaak gekeken naar de wetsgeschiedenis, omdat er weinig anders is. (Als ik een euro had voor elke keer dat ik die bijzin over een toezichthouder op een chatbox voorbij heb zien komen in discussies rond aansprakelijkheid van allerlei partijen, dan had ik nu een dag minder kunnen werken.)

Een variant hierop is de richtlijnconforme uitleg: dan ga je de Nederlandse wet zo uitleggen dat hij klopt met de Europese Richtlijnen. Richtlijnen zijn geen wet maar een instructie aan de wetgever: pas uw wet aan zodat ‘ie hierop neerkomt. Laat de wetgever dat na, dan moet de rechter dit proberen te repareren door de wet te gaan oprekken of masseren totdat er iets uitkomt dat wél matcht met de Richtlijn. Voorbeeld is het doodverklaren van de persexceptie: in onze wet staat dat overnemen van “nieuws- en gemengde berichten” door de pers altijd mag, maar de Europese Auteursrechtrichtlijn bepaalt dat zo’n overname altijd geblokkeerd moet kunnen worden met een voorbehoud. Dus kwam het Hof met de interpretatie van de wet dat die zin alleen ging over berichten waar geen auteursrecht op rust. Ehm. Tsja.

(Als een wet letterlijk in strijd is met een Richtlijn dan is richtlijnconforme uitleg onmogelijk. Dan heb je pech en geldt gewoon de Nederlandse wet. Wel kun je de Staat aanklagen als je dan schade hebt geleden omdat je eigenlijk de aangepaste wet had moeten hebben.)

Ook kan een rechter bij een wet die uit een Europese richtlijn komt, of die elders in Europa ook bestaat, kijken wat andere Europese rechters al hebben gezegd. Dan kan een Duits arrest dus jurisprudentie zijn. Wel moet je daarbij altijd goed oppassen of het werkelijk dezelfde wet is en of er geen rare typisch buitenlandse dingen in zitten waardoor het bij ons anders uit zou pakken. Zo vinden ze in Duitsland een particulier geen tussenpersoon met beperkte aansprakelijkheid.

Een beetje vergelijkbaar is de anticiperende methode, waarbij je gaat invullen op basis van wat de wet gaat worden. Zo is er momenteel in de Wet koop op afstand geen uitzondering voor ‘hygiëne’, dus je mag een onderbroek passen en daarna terugsturen als ‘ie niet bevalt. De nieuwe Europese richtlijn hierover kent wél zo’n uitzondering, en de rechter kan dus bij een rechtszaak vandaag bepalen dat het retourneren van ondergoed niet toegestaan is. Uiteraard moet de wet dat wel toestaan: stel de wet rond verjaring wordt strenger, dan mag de rechter niet nu alvast de termijnen uit de nieuwe wet toepassen om te bepalen dat vandaag iets verjaard is.

Met de systematische methode ga je na wat de bedoeling is gezien de context van de wet: waar staat hij in het wetboek, wat voor functie hebben de naburige artikelen. Je kunt ook vergelijken wat de wet in andere situaties bepaalt. Zo werd het stelen van software onmogelijk verklaard in de jurisprudentie, omdat we hierover al in de Auteurswet iets geregeld hebben. Het is een beetje gek als iets tegelijkertijd inbreuk op het auteursrecht is en daarnaast ook nog eens diefstal.

Juristen kennen daarnaast ook de rechtshistorische interpretatiemethode: dan ga je niet alleen kijken naar wat er bij deze wet bedoeld was, maar ook hoe de wet binnen de maatschappij en andere wetgeving past. Virtuele goederen steelbaar verklaren is hiermee verdedigbaar, want diefstal van goederen is niet de bedoeling binnen de historie van de wetgeving rond eigendom.

Tevens is er nog de de teleologische methode, waarbij je kijkt naar het doel van de wet. Daarmee kun je randgevallen er al of niet onder laten vallen. Zo werd ooit beslist dat een cashback-constructie voor boekenkopers geen strijd met de vaste boekenprijs opleverde, want zó breed was die wet niet bedoeld.

Uiteindelijk is er echter nooit één methode die per definitie juist is. De eiser kan menen dat de wetshistorie duidelijk in zijn voordeel is, en de gedaagde kan wijzen op de systematiek die pleit voor zijn standpunt, plus er is ondertussen een Europese richtlijn die óók zijn standpunt onderstreept. En als al het andere faalt, is er altijd nog de redelijkheid en billijkheid, oftewel “ja maar nou kom óp zeg” en zijn broertje “dit kan toch niet wáár zijn”.

Wie nog meer leuke voorbeelden kan vinden van jurisprudentie die bij deze voorbeelden past: ik hoor het graag!

Arnoud

Je beroepen op je auteursrecht als vrijwilliger bij een vereniging, kan dat?

Geplaatst op in Intellectuele rechten, 22 reacties

Een lezer vroeg me:

Bij onze vereniging stapt de webmaster met grote ruzie op een geeft te kennen dat hij de huidige site van de vereniging die hij ontwikkeld heeft, binnen een termijn van 3 weken offline zal halen. Hij beroept zich op het auteursrecht. Nu is er nooit iets op papier geregeld maar kan dit zomaar? Wij zijn dan behoorlijk onthand!

Dit soort ruzies lijken met enige regelmaat in vele verenigingen zich voor te doen, ik schat dat ik elke maand wel een mail van deze strekking krijg.

Natuurlijk, het beste is om expliciet af te spreken wat de vereniging wel en niet mag en wat het lid wel en niet moet maar lang niet iedereen denkt daaraan. Of, de klassieker, je bent lid omdat je de vereniging een warm hart toedraagt en dan ga je toch geen kil-zakelijke voorwaarden stellen? Tsja.

Gelukkig werkt de wet niet zó keihard dat als je weggaat je zomaar al je werk ongedaan mag maken. Samenwerkende partijen moeten zich in het rechtsverkeer gedragen naar redelijkheid en billijkheid, zo staat in de wet. En als er dan niet expliciet iets is afgesproken, dan moet je naar diezelfde redelijkheid en billijkheid kijken om te bepalen wat er dan impliciet afgesproken zou kunnen zijn.

Je beroepen op auteursrecht klinkt natuurlijk heel stoer maar ook dát valt onder die redelijkheid en billijkheid. Als je een vereniging toestaat je werk te gebruiken, en je wéét dat ze sterk afhankelijk zijn van jouw code, dan mág je eenvoudigweg niet zomaar die toestemming intrekken. Dat is niet redelijk, punt. Ook ineens een licentievergoeding gaan vragen mag niet. Dat had je dan vooraf moeten melden. (Natuurlijk mag je wél gaan piepen als de vereniging ineens iets heel anders met je code doet, bijvoorbeeld het als commercieel pakket gaat verkopen aan andere verenigingen.) discussies

Bij social media accounts van de vereniging geldt een vergelijkbare situatie.

Verder kan een vereniging zich mogelijk beroepen op artikel 8 Auteurswet:

Indien eene openbare instelling, eene vereeniging, stichting of vennootschap, een werk als van haar afkomstig openbaar maakt, zonder daarbij eenig natuurlijk persoon als maker er van te vermelden, wordt zij, tenzij bewezen wordt, dat de openbaarmaking onder de bedoelde omstandigheden onrechtmatig was, als de maker van dat werk aangemerkt.

Als dus op de site staat “© 2013 Vereniging X” dan is de vereniging de auteursrechthebbende, ondanks dat een vrijwilliger het werk maakte. Staat de naam van de vrijwilliger erbij, dan geldt deze regeling niet. En ook als de vereniging dit vermeldt terwijl uitdrukkelijk was afgesproken dat ze dit níet mogen vermelden, dan geldt deze regeling niet.

Arnoud

Moet een forumbeheerder foto’s weggooien als een gebruiker daarom vraagt?

Geplaatst op in Privacy, Uitingsvrijheid, 23 reacties

Een jaar geleden blogde ik over de vraag wat een forumbeheerder weg moet gooien als een (ex-)lid daarom vraagt. In de comments vroeg een lezer zich af wat dat nu specifiek voor foto’s betekent. Hij had een lid van zijn forum geband, en die eist nu dat al zijn foto’s van het forum verwijderd worden. Mag het forum dit laten staan, moeten ze de foto’s anonimiseren of is verwijdering nu geboden?

Op grond van de Wet bescherming persoonsgegevens (de “privacywet”) heb je het recht om te verzoeken dat je naam en andere persoonsgegevens uit bestanden worden verwijderd, als deze niet meer “ter zake dienen” zoals de wet dat noemt. Forumberichten en foto’s die daaraan hangen zijn ook persoonsgegevens, omdat ze gekoppeld zijn aan je account. Ook als je echte naam er niet bij staat en ook als je een vaag Hotmailaccount hebt gebruikt en een proxy zodat niemand je IP-adres weet.

De algemene regel die ik vorig jaar blogde, geldt bij foto’s net zo goed als bij tekstuele bijdragen. Een bijdrage moet weg, tenzij er een aantoonbare noodzaak is die zwaarder weegt dan de privacy. Dat zal bij forums de vrijheid van meningsuiting zijn, meer specifiek het belang om een compleet en begrijpelijk archief te kunnen publiceren. Kort gezegd betekent dit dat je niet kunt zeggen “mijn privacy, weghalen”, maar trouwens ook niet dat de beheerder altijd mag zeggen “vrijheid van meningsuiting, het blijft staan”. Er moet een balans worden gevonden tussen de belangen van beide partijen.

Bij forumbijdragen betekent dat in de praktijk dat je berichten moet anonimiseren maar ze niet hoeft te verwijderen. Uitzondering zou een bericht zijn dat inhoudelijk van alles vertelt over de plaatser, bijvoorbeeld een voorstelbericht of een persoonlijke onthulling of berichten over iemands medische situatie bijvoorbeeld. Dergelijke berichten moeten weg op verzoek, behalve in héél uitzonderlijke gevallen waarin de nieuwswaarde zó groot is dat weghalen objectief gezien echt onacceptabel zou zijn. (Ik ben daar nog geen voorbeelden van tegengekomen.)

Anonimiseren van een foto is moeilijker. Moet je dan iemand onherkenbaar maken met een balkje of blurcirkel rond zijn gezicht? Moet je hem eraf knippen?

Bij foto’s roept iedereen natuurlijk ook “auteursrecht”. En ja, dat heeft de plaatser op zijn foto’s. Maar dat heeft hij óók op zijn tekstuele berichten. Door deze te plaatsen heeft hij een licentie (gebruiksrecht, toestemming) gegeven aan de forumbeheerder, en die licentie is niet zomaar in te trekken. Niet bij teksten en niet bij foto’s.

Als in de gebruiksvoorwaarden* komt te staan dat de licentie eeuwigdurend is, dan is die discussie eigenlijk meteen gepareerd. Eeuwigdurend is eeuwigdurend. Maar ook als het er niet staat, is niet gezegd dat de foto’s weg moeten bij beëindiging van de gebruiksovereenkomst. Volgens de Hoge Raad

Als wet en overeenkomst niet voorzien in een regeling voor opzegging, dan is een duurovereenkomst voor onbepaalde tijd in beginsel opzegbaar. De eisen van redelijkheid en billijkheid kunnen meebrengen dat opzegging slechts mogelijk is indien daarvoor een voldoende zwaarwegende grond bestaat.
En die zwaarwegende grond is dan de vrijheid van meningsuiting, waarbij je dan een zelfde soort afweging moet maken als bij de privacywet hierboven. Maar de afweging is dan tussen de auteursrechtelijke belangen van de fotograaf en het belang bij de licentie van het forum. En ik kan me eigenlijk geen auteursrechtelijke belangen voorstellen. Heel misschien als de fotograaf intussen de rechten verkocht heeft of een exclusieve licentie aan iemand heeft beloofd, maar zelfs dan zou ik zeggen, dat is dan zíjn probleem dat hij nu in de knoop komt.

Arnoud<br/> PS: ik durf geen advertentielink meer te zetten naar de generator want de vorige keer dat ik een ADV in de tekst opnam, wilde bijna niemand meer reageren. Was het zó vervelend om die link te zien? Of was het gewoon een saai onderwerp?

Hacken van mailboxen tijdens een arbeidsconflict

Geplaatst op in Ondernemingsvrijheid, Privacy, 21 reacties

Het zijn geen zinnen die je als werknemer over jezelf wil lezen: “Hierbij even een paar ideeën over een mogelijke ontslag procedure/tactiek.”, “Ik denk wel dat het verstandig is … of wij dit goed kunnen uitmelken ….”, :”nuclere optie. De bonnen waar contant geld is verdwenen uitspitten en tegen haar gebruiken.”, “haar houding met de verhuizing uitbuiten om haar demotivatie aan te tonen.”, “Wij moeten een pestcampagne opzetten als zij weer komt werken.”, “nieuwe werkuren, … Hierdoor komt ze flink in de file te staan, als ze pas om vijf uur gaat.”. Ja, gezellige boel bij inkoopcentrum Artel. Maar hoe kwam deze werkneemster dit te weten? Eh, door het privémailaccount van de directeur te hacken. Nee, dat is óók niet erg gezellig. Dus, eh, oef, ga er maar aanstaan als kantonrechter.

Uit het vonnis blijkt dat er nogal wat mis was in de arbeidsverhouding, ahem. De directe aanleiding voor het ontslag op staande voet was een accountantsrapport waaruit bleek dat er 10 contante betalingen voor totaal zo’n 2800 euro niet goed geadministreerd waren. De ondertoon daarbij was dat het geld in eigen zak gestoken zou zijn, maar de formele grond was een rommelige administratie en dát is toch echt niet genoeg voor een staandevoetje.

De tweede reden was het hacken van zowel de privé als zakelijke mailbox van de directeur. De werkneemster had namelijk enkele mailcorresponenties van die directeur over haarzelf als bewijs bij de dagvaarding gevoegd, en gaf desgevraagd ook toe dat ze die via hacken te pakken had gekregen. Maar zij vond dat dat mocht, omdat de inhoud relevant was voor de rechtszaak. De inhoud was immers niet echt fris, zie de citaten uit de eerste alinea. En als je weet dat je directie dát over je zegt, dan moet je dat toch als bewijs kunnen inbrengen dat je ontslag onterecht is.

De rechter wil echter de privémails niet meenemen, omdat die privé zijn. Tot de zakelijke mails had de werkneemster op zich toegang vanuit haar functie, dus dat hij die dan inbrengt in een rechtszaak is nog wel te rechtvaardigen. Maar bij een privémailbox, ook die van de directeur, gaat dat niet op:

Het handelen van [verweerster] in deze kan worden bestempeld als een inbreuk op de privacy van de heren [X en Y], danwel een schending van het briefgeheim en wordt niet alleen in strijd geacht met hetgeen van een goed werknemer mag worden verwacht, maar ook met de algemeen gangbare fatsoensnormen.

(Nee, er zit geen briefgeheim op e-mail. Laten we maar doen of de rechter bedoelde op de equivalente fatsoensnorm die geldt voor e-mail.)

Als derde waren er nog wat bestellingen gedaan door de werknemer die dubieus overkomen: een computer die zo te zien op de zaak was besteld en toen privé doorgekocht, en een televisie/internet/telefonie-abonnement waarvan de werkneemster stelde dat dit nodig was om thuis te kunnen werken. Omdat dat enige tijd geleden was gebeurtgebeurd, ziet de rechter niet echt meer mogelijkheden om nu snel uit te zoeken hoe dat zit. En bij een kort geding blijven zulke zaken dan buiten beschouwing.

Alles bij elkaar was het gedrag van de werkneemster “ernstig verwijtbaar” maar “anderzijds heeft Artel zich als werkgever ook niet onbetuigd gelaten in deze kwestie.” En dat mag best meewegen, óók als dat bewijs alleen volgt uit gestolen e-mails. Want bij een rechtszaak zoals deze is álles bruikbaar als bewijs, ook door diefstal of inbraak verkregen dingen. Een eventuele aangifte en strafvervolging wegens computervredebreuk kan natuurlijk nog volgen maar staat los van de bruikbaarheid van het bewijs. Het is hier geen Amerikaanse rechtbankserie.

Desgevraagd gaf de directeur aan een en ander te betreuren, hij had het anders moeten formuleren allemaal. Waarop de rechter droogjes opmerkt:

Niet duidelijk is geworden of [Y] de inhoud van de e-mailberichten betreurt, of de commotie die naar aanleiding van die e-mailberichten is ontstaan.

Omdat ook de werkgever het nodige te verwijten is, en de werkgever bovendien bij het disfunctioneren geen verbetertraject is opgestart, krijgt de werkneemster uiteindelijk € 10.000 mee als ontslagvergoeding. Maar het bedrijf mag er ook voor kiezen haar aan te houden. Nee, dat zal de boel er niet gezelliger op maken.

Arnoud

Tweeten of hyperlinken naar persoonsgegevens is verwerking

Geplaatst op in Privacy, 16 reacties

verkeerslicht.jpgIk mag het weer zeggen: OMGWTFWBP. Het publiceren van een tweet of het versturen van een e-mail met daarin een hyperlink naar een pagina waar de naam en kenteken van een auto-eigenaar worden vermeld, is verwerking van die persoonsgegevens, zo meldde Webwereld. In een beschikking over een inzageverzoek bepaalt de rechtbank in Den Bosch dat de site Veilingdeurwaarder inzageverzoeken onder de Wbp moet honoreren, óók voor de mails en tweets over advertenties met daarin persoonsgegevens.

Op Veilingdeurwaarder kunnen deurwaarders advertenties plaatsen ter aankondiging van de executoriale verkopen waarmee zij zijn belast. Per e-mail of op Twitter kun je zien wat er zoal bij komt. Bij verkopen van auto’s worden automatisch de RDW gegevens opgehaald. Plus, naam en nummerbord van de eigenaar worden erbij vermeld in de advertentie. Dat maakt de advertentie een persoonsgegeven inderdaad.

Op grond van de Wbp had de eigenaar van een daar te koop staande advertentie inzage gevraagd in wat Veilingdeurwaarder deed met zijn persoonsgegevens. Met name wilde hij weten wie allemaal die mail had ontvangen en wie de tweet zou hebben gelezen, want ook dat valt onder het wettelijk inzagerecht – dat je altijd hebt als iemand gegevens over je verwerkt (behalve bij journalistieke verwerkingen).

Veilingdeurwaarder verwees naar de deurwaarder die de advertentie had aangeleverd, maar de rechter wijst ze terecht: zíj publiceren dus zíj zijn de verantwoordelijke, in de zin van de Wbp. Dit mede omdat men zelf gegevens verrijkte met RDW-data. Niet als verweer werd gevoerd dat zij slechts een platform zijn, en dus ex 6:196c BW niet aansprakelijk zijn voor wat gebruikers (deurwaarders) plaatsen. Ik weet niet of dat opzettelijk was, maar eerder is bepaald dat die beperking van aansprakelijkheid niet geldt bij publicatie van persoonsgegevens.

En hier is dan de omgwtfwbp:

De rechtbank is tevens van oordeel dat het verzenden van een e-mail of tweet met daarin een directe link naar de advertentie waarin de persoonsgegevens zijn vermeld het verwerken van persoonsgegevens oplevert.

En dat omdat de Wbp ‘verwerken’ definieert als “elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens”. Zeggen “ze staan dáár” valt er in een brede interpretatie inderdaad onder. En de Wbp ís zo breed bedoeld. Alles, echt alles, over persoonsgegevens moet eronder vallen. Dus het is niet zo gek dat die rechter tot deze interpretatie komt.

Het levert wel héél veel praktische problemen op. Want wat houdt dat eigenlijk in, inzage in een tweet? Het recht van correctie op een mailinglijst? Moet ik bijhouden wie die tweets leest, hoe dóe ik dat eigenlijk?

Er zit echter een veiligheidsklep in de Wbp: je hoeft geen gedetailleerde inzage te geven wanneer dat juist ándermans privacy zou schenden:

De rechtbank is met Veilingdeurwaarder van oordeel dat Veilingdeurwaarder niet gehouden is naam- en adresgegevens te verstrekken van alle ontvangers van de nieuwsbrief omdat daarmee immers een verregaande inbreuk op de privacy van die ontvangers zou worden gemaakt. Naar het oordeel van de rechtbank kan Veilingdeurwaarder volstaan met het verstrekken van categorieën van ontvangers, welke mogelijkheid uitdrukkelijk is toegestaan op grond van artikel 35.

Je mag dus volstaan met melden dát je het naar je volgers hebt getweet en dat je mailinglijst met 3000 ontvangers ook een link heeft gekregen. Maar dat antwoord moet je wel geven als er naar wordt gevraagd. Ik ben benieuwd hoe veel organisaties niet in staat zijn dat antwoord te produceren. Zou een profielensite weten op welke manier mijn profiel bekeken is en/of hoe de link daarnaar is gedeeld door derden?

Intrigerende vraag nog: moet je nu je tweets beveiligen tegen misbruik? Ook beveiliging moet immers onder de privacywet.

Arnoud

Argh, wéér een popup – “D66 wil bijsluiter voor datagraaien in de cloud”

Geplaatst op in Privacy, Security, 15 reacties

waarschuwing-webwereldHier krijg ik búitengewoon veel jeuk van. Aanbieders van clouddiensten die niet gevestigd zijn in Europa moeten verplicht en compleet duidelijk maken dat data toegankelijk kan zijn voor geheime diensten en onderworpen aan surveillance door buitenlandse autoriteiten, meldde Webwereld gisteren. NEE. Gewoon NIET. Het wérkt niet, mensen om toestemming vragen nadat je ze een door een jurist opgestelde tekst hebt geïnformeerd over de mogelijke risico’s.

Ja, de cloud is eng en de Amerikaanse al helemaal. De NSA tapt het hele internet, en de FBI kan met geheime gag orders en zonder gerechtelijk bevel een heel datacenter leegtrekken op het moment dat je derde voornaam twee letters gemeen heeft met iemand uit een terroristendatabank. Dus als je als politicus zegt, hier gaan we wat aan doen, dit kan zo niet langer: helemaal prima. (Of de angst reëel is, is een andere discussie.)

Maar als je zegt, de VS doen dingen met persoonsgegevens die in strijd zijn met de wetgeving rond persoonsgegevens en de fundamentele grondrechten die wij in de Europese Unie respecteren, dan moet je dus zeggen: blijf met je rotpoten van onze persoonsgegevens af. Oftewel dan verbied je Europese hosters/dienstverleners om met de Amerikaanse cloud te werken.

Vind je dat dat óók weer wat te ver gaat, dan ga je met de Amerikanen bakkeleien dat die hun wetten moeten aanpassen. Of je zegt, het gaat in de praktijk prima dus we draaien lekker totdat we horen dat het misgaan en dán gaan we de boel verbieden. En dat signaal kun je eventueel ook naar Washington sturen.

Wat je alleen vooral NIET moet gaan doen is op dat moment zeggen: weet je wat, we gaan de burger opvoeden dat ze moeten beseffen dat buitenlandse veiligheidsdiensten mogelijk meekijken en dat de FBI niet gebonden is aan onze Grondwet. En al helemáál niet met een popup. Want dat wérkt eenvoudig niet – zie de cookiewet.

Iets juridischer komt het erop neer dat ze in de Privacyverordening wil opnemen dat doorgifte aan een buitenlandse (lees: niet-EU) cloudprovider alleen mag met aparte toestemming van de betrokkene (argh, popup) en dan ook nog eens

after having been informed in clear, unambiguous and warning language through a separate and prominently visible reference to:
– the possibility of the personal data being subject to intelligence gathering or surveillance by third-country authorities; and
– the risk that the protection of personal data and fundamental rights provided by Union and Member State law cannot be guaranteed, despite the legal basis of the transfer

Het idee van “leg mensen uit hoe het juridisch zit en dan maken ze een geïnformeerde keuze” is een idealistisch maar buitengewoon irreëel denkbeeld als we het hebben over de gemiddelde internetter. Hoe kan ik nu vrijwillig en zinnig de afweging maken, ja, dat is prima dat de CIA en de NSA mij gaan profilen en de FBI mijn data besnuffelt? Wat betékent dat? Ga ik op de No Fly lijst als ik blogs als deze plaats op WordPress?

Ik snap hier wérkelijk helemaal niets van. Als er iets is dat de privacywetgeving en het concept “privacy is belangrijk” kapot maakt dan is het wel het idee “als we maar verplicht stellen dat iedereen het mensen maar uitlegt, dan komt het goed”. Nee. Mensen zijn niet bezig met privacy, wíllen daar niet mee bezig zijn; zij vertrouwen erop dat bedrijven zich netjes gedragen en dat anders de overheid optreedt.

In heel uitzonderlijke gevallen waarin een gemiddelde(!) burger redelijkerwijs zowel ja als nee zou kunnen zeggen, kan ik me nog iets voorstellen bij een aparte opt-in. Maar dat behoort echt een uitzondering te zijn en te blijven, en niet de hoofdregel die ie in de privacywetgeving is geworden. Net als bij cookies. Of je zegt, cookies en tracking zijn te eng voor woorden, verbieden die hap. Of je zegt, de technologie werkt maar er is ruimte voor misbruik – en dan verbied je het misbruik. Maar je gaat niet zeggen “dat misbruik is eigenlijk wel oké als mensen op ja klikken”.

“U gaat dood van deze sigaret” werkt al maar nauwelijks. Dus waarom zou “Mogelijk dat uw fundamentele rechten zoals gegarandeerd door het EU Handvest niet gewaarborgd worden ondanks dat de overdracht legaal is” dat dan wel zijn? (En ja dat gaat de tekst zijn, laat dat maar aan de nu-cookieverklaring-schrijvende juristen over.)

Argh. Echt.

Arnoud