De legaliteit van dashcams

Geplaatst op in Informatiemaatschappij, 71 reacties

dashcam-ruslandHet zal wel met die meteoriet in Rusland te maken hebben die massaal met dashcams is gefilmd, maar ik werd gisteren door drie journalisten gebeld over de vraag of dashcams in Nederland legaal zijn. Je mag toch immers niet zomaar filmen aan de openbare weg? Op mijn vraag waarom hun cameraploegen dat dan wél mogen, krijg ik nooit echt een eenduidig antwoord, maar dat terzijde. Want ja, ja mag wel degelijk zomaar filmen aan de openbare weg.

Filmen aan de openbare weg is deel van de vrije nieuwsgaring, en die geldt voor burgers met een consumentencameraatje net zo hard als voor RTL Nieuws met een twintig man sterke cameraploeg. En ja, ook als er mensen in beeld gebracht worden en ook als die zeggen dat ze dat niet willen. Bij publicatie krijg je mogelijk wél te maken met privacywetgeving.

Er is aparte wetgeving tegen aangebrachte camera’s. Kort gezegd moet bij een camera die de openbare ruimte filmt, duidelijk zijn gewaarschuwd. Vandaar al die bordjes met “Let op cameratoezicht”. Maar die regel geldt alleen voor “aangebrachte” camera’s. Of een dashcam telt als “aangebracht”, kun je je afvragen. Een camera op de vensterbank neerzetten is namelijk “aangebracht”, ook al zit ie niet nagelvast.

Afgaande op wat er bij invoering van de wet is gezegd denk ik dat een dashcam niet hieronder valt. De bedoeling was om structureel cameratoezicht aan te pakken, oftewel camera’s die men ergens ophangt of neerzet en die de hele dag die ene plek filmen. Een camera in de hand was het voorbeeld van “niet aangebracht”. Een camera op je hoofd of op je dashboard lijkt me zó vergelijkbaar daarmee.

Bij publicatie van het filmpje loop je mogelijk tegen portretrechten aan. Wie herkenbaar in beeld is, kan immers met een beroep op zijn privacy of een ander redelijk belang bezwaar maken tegen publicatie. (Niet tegen het maken zelf, alleen tegen publicatie.) Je kunt dat oplossen door mensen uit te blurren of door een betoog waarom het herkenbaar zijn belangrijker is dan de privacy. Enkel “hij beging een verkeersovertreding” is daarbij niet genoeg, dus zo’n betoog zal zelden slagen maar je kunt het proberen. Als Koos Spee je afsnijdt, kom je er wel mee weg denk ik.

Een filmpje van een auto zonder herkenbare bestuurder valt niet onder het portretrecht, want een auto is geen portret. (Ja Wim, wel als je een foto van jezelf groot op de achterruit plakt maar dan krijg je weer discussie over het zichtveld vanuit de auto.) Wél kan bij zo’n filmpje het nummerbord herkenbaar in beeld zijn, en een nummerbord is een persoonsgegeven. Daarmee kan het filmpje onderworpen zijn aan de Wet bescherming persoonsgegevens. Ja, ook als er verder geen naam bij staat en ook als er geen doorzoekbaar bestand van gemaakt is.

Onder de Wbp kun je publicatie van een nummerbord alleen rechtvaardigen met een beroep op de “dringende noodzaak”. Oftewel, sorry ik moet wel want dit tonen is belangrijker dan jouw privacy. En dat is ongeveer dezelfde discussie als bij het portretrecht, ik denk niet dat je daar snel het wint van de privacy. Tenzij je zegt, een nummerbord is een stuk anoniemer dan een portret dus de inbreuk is kleiner én de verkeersovertreding heeft een redelijke nieuwswaarde.

Beelden van dashcams zijn overigens bruikbaar als bewijs. Je mag er dus mee naar de politie om aangifte te doen. De discussie zal vooral gaan over de vraag of het wel compleet de situatie toont. Als jij eerst iemand snijdt en dan filmt hoe hij je terugpakt, zou ik het niet terecht vinden om dan uitsluitend hem te beboeten voor de overtreding. Daar zullen veel zaken op stuk gaan denk ik: hoe weten we dat dit de compléte beelden zijn?

En oh nu moet ik denken aan een oud ideetje van me: laat TNO manipulatieproof dashcams maken die gecertificeerd zijn met tijdcode en interne opslag. Lever ze in als het geheugen vol is, en voor elke verkeersovertreding die bewezen kan worden met de beelden krijgt de eigenaar 50% van de boete. Dan is het volgens mij binnen 48 uur afgelopen met verkeersovertredingen.

Arnoud

“Jurisdictie wordt bepaald door waar je informatie als eerste binnenkomt”, pardon?

Geplaatst op in Intellectuele rechten, Security, 10 reacties

transatlantic-cable-kabel-internetIk heb een paar arresten gemist geloof ik. In NRC Handelsblad van gisteren stond een artikel over de cloud, met daarin de intrigerende opmerking:

Ja, Softlayer is een Amerikaans bedrijf, waarvoor Amerikaanse wetten gelden. Maar alleen voor informatie die als eerste in de VS is opgeslagen: „Het Amsterdamse deel is Nederlands. Informatie die hier als eerste binnenkomt, valt dus onder Nederlandse wet.”

Nee. Néé. Gewoon níet. Hoe kóm je bij dat criterium, “als eerste opgeslagen”. Noem mij één wet of gerechtelijke uitspraak waar dit uit volgt.

Voor zover ik weet zijn de Amerikanen heel simpel: als we erbij kunnen valt het onder ons recht. En aangezien 90% van de cloud fysiek in de VS staat, is dat lekker makkelijk voor ze. (Dit even los van hoe makkelijk ze erbij mogen, patriotacttechnisch.)

Verder ken ik geen enkele uitspraak van een rechter dat jurisdictie bepaald wordt door waar data het éérst binnenkomt. Het Hof van Justitie hier houdt het bij dingen als “gericht op een land”, door bv te kijken naar wat voor telefoonnummer je hebt, welke taal, valutakeuze en bezorgmethoden. Bol.com is Nederlands want 0900-nummer, iDealbetaling, Nederlands en Post.nl. Waar de servers staan en dat de domeinnaam een .com is, maakt niet uit. En over waar de data voor het eerst binnenkwam staat er al helemáál niets in die arresten.

Nog een leuke quote:

Wij passen de capaciteit van het serverpark daarop aan: informatie die op dat moment niet nodig is, verplaatsen we binnen ons netwerk naar een plek waar iedereen slaapt, zeg aan de Oostkust van de VS.

Ik heb me altijd afgevraagd wat er gebeurt als je in de VS een Nazi-site host (die daar legaal is) die dan ’s nachts naar Duitsland drijft (waar dat heel erg verboden is). Dan ben je dus strafbaar door de acties van je cloudprovider.

Iemand enig idee waar hij dit op baseert?

Arnoud

Geen principiële uitspraak over acquisitiefraude in proefproces MKB Nederland

Geplaatst op in Iusmentis, 9 reacties

verlengen-fax-fraudeGrr. Ik begin me steeds meer te ergeren aan het onderwerp acquisitiefraude en hoe rechters daarmee omgaan. Want in een recent vonnis wordt wederom op zeer formele gronden een claim tegen acquisitiefraude afgewezen. Oké, het was een proefproces en daarin mag je best wat principiëler zijn, maar toch.

Brancheorganisatie MKB Nederland had het proefproces in 2011 gestart tegen drie online telefoongidsen waar de nodige klachten over waren gekomen. En dan denk je al snel aan acquisitiefraude: een vaag telefoontje of je je gegevens wilt controleren, een fax die met 5 punts Arial vermeldt “dit is een offerte mompelmompel 150 euro per maand mompel drie jaar” en dan ineens een factuur. MKB was het zat en besloot een principiële zaak te starten tegen deze drie gidsen.

MKB had stevig ingestoken en een verklaring voor recht geëist dat acquisitiefraude (zoals door haar op een rijtje gezet) altijd misleidend zou zijn. Met zulke jurisprudentie is het dan véél eenvoudiger om toekomstige claims aan te pakken. Maar dat wijst de rechter af, omdat het toch van de precieze omstandigheden van het geval afhangt of een telefonische acquisitie telt als misleiding. Argh. Wéér zo’n formalistische opstelling. Het zal wel aan mij liggen maar als je zo’n “bevestigingsbrief” ontvangt met in kleine lettertjes “dit is een offerte en het kost 150 euro per maand voor 3 jaar”, welke omstandigheden kunnen dát dan rechtbreien?

Ook wil de rechtbank niet in het algemeen verklaren dat de regels over oneerlijke handelspraktijken ook kleine ondernemers mogen beschermen. Reflexwerking is echter wederom iets dat per geval moet worden beoordeeld. In het algemeen verklaren dat MKB-ondernemers altijd recht hebben op dezelfde bescherming als consumenten bij misleidende handelspraktijken is niet de taak van de rechter maar die van de wetgever.

De in het proefproces meeprocederende gedupeerde ondernemer krijgt echter wél reflexwerking: (a) Stichting Gilde is een kleine vrijwilligersorganisatie met een beperkt budget, terwijl Telefoongids.com een commerciële onderneming is die zich beroepshalve bezig houdt met het sluiten van overeenkomsten als de onderhavige; (b) Stichting Gilde heeft een contract gesloten buiten het eigenlijke terrein van haar werkzaamheden (vrijwillgerswerk); (c) Telefoongids.com heeft in casu het initiatief genomen tot het opnemen van telefonisch contact; (d) De overeenkomst die tussen Stichting Gilde en Telefoongids.com is gesloten betreft de vermelding in een zogenaamde online-telefoongids en is een overeenkomst die ook door een consument zou kunnen worden gesloten.

Op grond van de Wet oneerlijke handelspraktijken mag de rechter de bewijslast omkeren: het bedrijf moet bewijzen dat er volledig en juist is geïnformeerd over de prijs en wijze van contracteren. En dat vindt de rechter hier passend, want Telefoongids.com heeft het als core business om langs deze weg contracten te sluiten, dus mag je verwachten dat ze dit goed kunnen. Maar hee, wat vervelend nu, nét van het eerste gesprek is geen geluidsopname gemaakt. De fax is ook niet heel expliciet over de kosten, en in het verificatiegesprek werd “nauwelijks hoorbaar” iets over 150 euro gezegd maar níet dat de totale contractswaarde 5400 euro zou zijn.

In de beschikbare gegevens is naar het oordeel van de rechtbank onvoldoende bewijs gelegen dat Stichting Gilde juist en volledig is geïnformeerd en (dus) dat de bejegening door Telefoongids.com niet misleidend is geweest. Telefoongids.com heeft geen nader bewijs aangeboden van haar stellingen op dit punt. Daarom dient Stichting Gilde gevolgd te worden in haar standpunt dat zij voorafgaand aan de totstandkoming van de overeenkomst is misleid.

De eisen tot rectificatie van de publiciteit die MKB had gekregen nadat ze aangekondigd had juridische stappen te nemen, worden afgewezen. MKB Nederland mócht hard in actie komen tegen acquisitiefraude, mede gezien wat er in de uitzending van TROS Opgelicht?! voorbij was gekomen.

Arnoud<br/> Ja, er ging wat mis in de tekst. Excuses, ik had kennelijk de enalaatste versie livegezet.

Is het strafbaar om een geleasete telefoon door te verkopen?

Geplaatst op in Informatiemaatschappij, 34 reacties

Leuke discussie bij Tweakers: hoe zit het juridisch als je een mobiele telefoon leaset bij je abonnement en deze doorverkoopt voordat het abonnement is geëindigd? Is er dan sprake van heling, ben je strafbaar en welke plichten heeft een site als Tweakers waar je die doorverkoop kunt realiseren?

Als je een telefoon leaset, is juridisch sprake van huur met de optie van koop aan het einde van de huurperiode. Een huurder is geen eigenaar, en als je geen eigenaar bent dan kun je de zaak niet verkopen. Natuurlijk kun je een “te koop”-advertentie plaatsen, daarin verzwijgen dat het een leasetoestel is en een reële prijs vragen. Geen koper die dan zal twijfelen. Maar formeel heb je het toestel niet verkocht, want daarvoor is vereist dat je eigenaar bent. De koper is om diezelfde reden óók geen eigenaar.

Of nou ja, meestal niet. Want er is het concept derdenbescherming (art. 3:86 BW): als de koper te goeder trouw is, dan wordt hij tóch eigenaar ondanks dat de verkoper eigenlijk helemaal niets kon verkopen. De koper moet dus geen reden hebben gehad om te twijfelen aan het feit dat de verkoper mocht leveren. Staat er “leasetoestel” in de advertentie, dan kan de koper dus geen goede trouw claimen. Maar kan hij dat wel, dan wordt hij eigenaar en dan is de oude eigenaar – de telecomprovider – dus de eigendom toch kwijt. Wel ontstaat er dan natuurlijk een schadeclaim op de verkopende partij.

Een belangrijke voorwaarde om als koper je op derdenbescherming te mogen beroepen, is dat hij in staat moet zijn om tot drie jaar na de koop de verkoper te kunnen identificeren (art. 3:87 BW). Kan hij dat niet, dan kan hij zich niet op derdenbescherming beroepen en dan moet hij de telefoon dus teruggeven. (Uiteraard heeft hij dan recht op geld terug van de verkoper, maar aangezien hij die dus niet meer kon identificeren gaat dat lastig worden.)

Strafbaar is dit niet, en heling al helemaal niet. Het toestel is niet door misdrijf verkregen, en van heling kan alleen sprake zijn bij doorverkoop van gestolen (of afgeperste of geroofde) artikelen. Aangifte doen als benadeelde koper (of telecomboer) heeft dus geen nut. Het is puur een privaatrechtelijke, contractuele discussie waarvoor je zelf naar de rechter moet om het op te lossen.

Update (27 februari) in de comments wijst Arnout erop dat dit wel degelijk strafbaar kan zijn, en wel als verduistering (art. 321 Sr). De rechtbank Utrecht bepaalde in 2011 dat

… kan het naar het oordeel van de rechtbank niet anders zijn dan dat verdachte wist dat hij de objecten niet mocht verkopen en dat hij door dat -in strijd met de uitdrukkelijke bewoordingen van de door hem ondertekende contracten- toch te doen willens en wetens de aanmerkelijke kans heeft aanvaard dat hij zich door die verkoop schuldig zou maken aan de verduistering van die objecten.

Ik denk niet dat dit betekent dat je als koper automatisch heler bent. Daarvoor is nodig dat je wist of had moeten weten dat de verkoper het toestel had verduisterd. En dat zul je maar zelden kunnen zien aan de advertentie.

Wat Tweakers hieraan kan doen? Bar weinig. En dat hóeven ze ook niet, want zij zijn als tussenpersoon slechts aansprakelijk als het evident is dat een advertentie in strijd is met de wet en ze dan niet ingrijpen. En ik denk dat een advertentie in deze categorie alleen evident in strijd kan zijn als er expliciet staat “Leasetoestel, abo nog niet afgelopen” of zoiets doms. Ik kan me dat niet voorstellen.

Arnoud

Mijn idee is gestolen!

Geplaatst op in Innovatie, 16 reacties

brievenbus-deponeren-idee.jpgEen lezer vroeg me:

Ik heb een tijd terug een bedrijf een voorstel gedaan voor een idee waar zij veel geld mee kunnen verdienen. Maar afgezien van een standaard bedankmailtje hoorde ik niets meer van ze. En vorige week zag ik ineens dat ze doodleuk met mijn idee de markt gaan betreden! Oké het is op details iets anders maar het is duidelijk van mij gestolen. Wat kan ik nu doen?

Een idee mág worden gestolen. Alleen de concrete uitwerking mag niet worden gekopieerd. Dus als men de mail heeft gelezen en toen dacht, leuk dit doen wij ook, dan is dat legaal als ze het daarna zelf hebben uitgewerkt.

Het maakt daarbij niets uit of je het idee hebt gedeponeerd als i-Depot, bij de notaris of Belastingdienst hebt laten dateren of bij een commerciële dienst ‘bescherming’ hebt aangevraagd. Zo’n depot of datering bewijst alleen dat het idee bestond, het geeft geen eigendomsrechten.

Met een geheimhoudingsverklaring sta je sterker, als ze dat tekenen dan belóven ze dat ze het idee niet hergebruiken. En dan kun je ze daarop aanspreken. (Protip: neem een boeteclausule op, dan krijg je geen discussie over hoe veel het idee waard was of hoe veel schade je hebt geleden.)

Maar het is maar zeer de vraag of een bedrijf die tekent als iemand zich zomaar meldt met “ik heb een idee en ik wil graag geld”. Waarom zou je immers betalen voor een idéé? Je moet als ontvanger van het idee nog steeds alle investeringen doen en daarbij alle risico’s nemen. En dat terwijl de ideegever achterover kan zitten en wachten tot hij geld krijgt. Dat is slechts heel zelden een faire verdeling van de verantwoordelijkheden.

Natuurlijk, als je een uitgewerkt idee hebt of al een business hebt draaien met dat idee, dan is een geldbedrag voor overname of participatie daarin gerechtvaardigd. Maar dan hebben we het allang niet meer over het “verkopen van een idee”.

Ik raak er steeds meer van overtuigd dat “verkopen van een idee” een wensdroom is, net als alle plannen om snel rijk te worden. Rijk worden als ondernemer kan wel maar is heel hard werken.

Arnoud

Eindelijk: Richtsnoeren voor beveiliging van persoonsgegevens van de toezichthouder

Geplaatst op in Privacy, Security, 3 reacties

Het College bescherming persoonsgegevens (CBP) heeft een richtsnoer uitgebracht voor de beveiliging van persoonsgegevens, meldde Nu.nl. Het is al jaren een lastige discussie: wat moet je doen qua beveiliging van persoonsgegevens. De wet houdt het bij “adequate” maatregelen, maar dat is inderdaad nogal vaag en multi-interpretabel. En zeker als het gaat om techniek willen mensen gewoon harde regels: dit moet, dat is verboden en als je zus doet dan moet je ook zo.

De richtsnoeren zijn geen harde set met eisen, maar vooral een pleidooi voor bedrijven en instellingen om er eens goed voor te gaan zitten en je principes op orde te krijgen. Want eisen dat je SSL gebruikt is leuk, maar helpt je geen zier tegen een aanvaller die met een handige SQL truc je database leegtrekt. En neit alleen een keertje zitten, maar continu verbeteren oftewel het bekende plan-do-check-act:

  1. Beoordeel de risico’s die de gegevens en de aard van de verwerking met zich meebrengen voor de betrokkenen en bepaal op basis daarvan het gewenste beveiligingsniveau.
  2. Maak gebruik van algemeen geaccepteerde beveiligingsstandaarden.
  3. Controleer met zekere regelmaat of de beveiligingsmaatregelen daadwerkelijk zijn getroffen en worden nageleefd.
  4. Pas waar nodig de beveiligings­maatregelen aan.

Je zou zeggen dat dit triviale kost is maar aangezien het huidige beveiligingsproces bij veel clubs neerkomt op

  1. We doen maar wat
  2. Als iemand piept klagen we hem aan
is het kennelijk nodig.

Een punt dat bij beveiliging trouwens vaak wordt vergeten is dat je ook moet streven naar zo min mogelijk gebruik van persoonsgegevens. Het is formeel een overtreding van de Wbp als je kilo’s persoonsgegevens hebt in een perfect veilige omgeving, terwijl je ook met een half ons had toegekund.

Steeds vaker wordt het verwerken van persoonsgegevens uitbesteed. Je administratie gaat via een SaaS-dienst, je CRM systeem gaat de cloud in, voor de mail gebruik je Outlook.com en de nieuwsbrieven gaan via zo’n handige dienst die ook het afmelden voor z’n rekening neemt. Heel mooi allemaal maar dan heb je wel een bewerkersovereenkomst nodig (ADV: maak er eentje met onze nieuwe bewerkersovereenkomstgenerator) want wettelijk gezien zijn al deze dienstverleners ‘bewerkers’ en dan is zo’n contract verplicht. Ja, ook als ze alleen een database met interface bieden en jij nog steeds zelf aan de knopjes moet draaien.

De verantwoordelijke is verantwoordelijk voor het bewerken door de bewerker. Ook waar het de beveiliging betreft. Lekt zo’n nieuwsbriefsysteem dus e-mailadressen, dan mogen de adreseigenaren jou daar aansprakelijk voor stellen. In die bewerkersovereenkomst kun je hier onderlinge afspraken over maken, gebaseerd op hetzelfde plan-do-check-act principe. Een recht van audit is dus vrij cruciaal.

Individuele afspraken zijn hierbij soms lastig, en bovendien zit niet iedere bewerker te wachten op een audit door elke individuele klant. Het middel van de Third Party Memorandum (wat het CBP in goed stonecoaldutch Third Party Mededeling noemt) biedt dan wellicht soelaas. De TPM biedt dan inzage in hoe de bewerker werkt, en als dat niveau van werken goed genoeg is dan kun je met die bewerker in zee.

Een ander punt dat je écht moet gaan regelen is hoe je omgaat met datalekken. Want het is niet de vraag óf dat gaat gebeuren maar wanneer. Zeker als je met zo’n handige clouddienst werkt. Wie gaat dan melden aan de betrokkenen dat dit is gebeurd, en wie draait op voor de reputatie- en andere schade?

Het blijft jammer dat het Cbp weinig meer kan doen dan richtsnoeren uitgeven en waarschuwen. Daadwerkelijk handhaven is moeilijk: ze hebben bar weinig menskracht én ze mogen niet beboeten. Ze kunnen alleen waarschuwen en dan een dwangsom opleggen voor de toekomst. Dat is frustrerend want veel bedrijven redeneren dan, ik wacht wel tot ik gewaarschuwd ben en tot die tijd loop ik lekker snel en goedkoop binnen met mijn bestandjes en lijsten. Het wordt tijd dat ze, net zoals de OPTA bij de telecommunicatieregels gewoon meteen mag beboeten. Tenminste, als je een effectieve privacywet en een goede beveiliging van persoonsgegevens wilt afdwingen.

Arnoud

Gemeente mag geen leges heffen voor Wob-verzoek

Geplaatst op in Uitingsvrijheid, 26 reacties

wobGemeentes mogen geen leges heffen voor het leveren van informatie naar aanleiding van een Wob-verzoek, bepaalde de Hoge Raad gisteren. Bij De Nieuwe Reporter spreken ze van “uit handen slaan van een belangrijk wapen uit om Wob-verzoeken van journalisten te traineren”.

Op grond van de Wet openbaarheid van bestuur mag iedereen overheidsstukken opvragen (behalve in een paar categorieën uitzonderingen). Journalisten maken hier graag gebruik van, en met name bij gemeenten wordt dat nogal eens als een last ervaren. Om gevis naar stapels documenten onder de Wob binnen de perken te houden, of afhankelijk van je frame om de vrije nieuwsgaring te belemmeren, werd onder meer vaak leges geheven. Brenno ‘Bigwobber’ de Winter kreeg 30.000 euro aan leges voor de kiezen, bijvoorbeeld.

Nu zijn leges op zich legitiem wanneer de burger een dienst wil van de overheid. Maar bij diensten die primair om een algemeen belang gaan, mag dat niet. U herinnert zich wellicht nog de uitspraak uit 2011 over het paspoort dat gratis werd, dit ging over dezelfde redenering. (Daarna werd snel een reparatiewetje doorgevoerd dat expliciet zei dat gemeentes wél geld mogen vragen voor paspoorten, wat door de rechter bevestigd werd.)

De Hoge Raad trekt die lijn nu door naar leges voor Wob-verzoeken:

[Uit de wettekst] moet worden afgeleid dat de openbaarmaking van informatie naar aanleiding van een Wob-verzoek, behoudens de hierna in onderdeel 3.3.7 genoemde werkzaamheden, niet in overheersende mate verband houdt met dienstverlening ten behoeve van een individualiseerbaar belang.
Uitgezonderd zijn de in 3.3.7 van het arrest genoemde zaken: kopieën van documenten en uittreksels of samenvattingen van de inhoud daarvan. Dat is wél een “individualiseerbaar belang”, iets dat de Wobber specifiek vraagt en niet een dienst van algemeen nut.

Is het probleem daarmee van tafel? Nou nee, niet bepaald. Want gemeentes zullen nu niet ineens Wob-fan worden, noch zullen journalisten ineens minder Wobverzoeken gaan indienen. Dus er zullen hordes opgeworpen blijven worden tegen wat gemeentes zien als excessief gewob, en journalisten zullen daartegen blijven ageren.

De IT-er in mij ziet (zoals bij elk probleem) de oplossing in een database: waarom zetten gemeentes niet standaard zo veel mogelijk informatie online? Het lijkt me dat als je een document maakt je snel kunt inschatten of het openbaar moet zijn of niet. En als er privédetails in zitten dan kun je dat beter tijdens het opstellen van het document weglaten of redigeren dan achteraf. Of mis ik iets?

Arnoud

Wanneer is overnemen plagiaat?

Geplaatst op in Intellectuele rechten, 12 reacties

twee-boekenIs het heruitgeven van een bewerking van een studieboek met alleen je eigen naam erop een vorm van plagiaat? Nee, oordeelde het College van Bestuur van de Universiteit van Amsterdam in een zaak over een basisboek rechten. Een hoogleraar had een leerboek, samengesteld door zijn voorganger, grotendeels overgenomen, onder een andere titel uitgegeven met alleen zijn eigen naam als auteur erop. Dat was “onzorgvuldig handelen” maar geen plagiaat. Of sprake van inbreuk op auteursrechten is, blijft in het midden. En dat is niet zo gek, want plagiaat heeft niets te maken met inbreuk op auteursrechten.

Het ging in deze kwestie over het boek Inleiding in de rechtswetenschap, waarvan twee derde letterlijk, zin voor zin, woord voor woord, terug te vinden is in het eerder verschenen leerboek Recht, een introductie. (Héé, dat boek heb ik ook nog gebruikt toen ik rechten studeerde.) Dat eerdere boek was aan een update toe, en het plan om er een reader van te maken met losse aanvullingen liep een beetje uit de hand, waarop de hoogleraar besloot -na overleg met de uitgever van het oude boek- in eigen beheer het werk als boek uit te geven.

Maar mocht dat wel? Hij meende van wel: de uitgever had in zijn visie toestemming gegeven, zodat hij er vanuit mocht gaan dat hij vrijelijk kon beschikken over de teksten. Maar het College wijst erop dat de man had moeten weten dat de uitgever dat helemaal niet mócht toezeggen. In het contract stond dat alleen al voor hergebruik van onderdelen aparte toestemming nodig was van de auteurs, dus voor integraal hergebruik dan helemaal. Daarmee zou het nieuwe boek best eens inbreuk op de auteursrechten van de oude auteurs kunnen zijn, hoewel de meesten daarvan werknemer zijn bij de UvA en het dus niet gezegd is dat zij nog auteursrechten hébben.

De vraag of iets plagiaat is, staat echter helemaal los van auteursrechten. Je kunt plagiëren zonder auteursrechten te schenden (en andersom). Plagiaat is vooral een wetenschappelijke doodzonde – een handelen in strijd met de mores van de beroepsgroep. (Net zoals er verschil is tussen ‘spam’ in de zin van de netiquette en ongevraagde elektronische communicatie in de zin van de Telecommunicatiewet.)

Volgens NRC heeft de actie geen verdere consequenties, maar wordt wel een goed gesprek ingepland met de hoogleraar. En wat mij betreft mag dat beginnen met de vraag: wat was u dénkende toen u dacht, ik haal al die auteurs eraf? Zó moeilijk voorstelbaar is het toch niet dat die mensen dat niet leuk gaan vinden?

Arnoud

Henk Krol krijgt pluim en boete voor journalistieke hack EPD

Geplaatst op in Security, 38 reacties

Henk Krol is schuldig bevonden aan computervredebreuk en krijgt een boete van 750 euro, meldde Webwereld vrijdag. De rechtbank vindt wel dat hij zorgvuldig te werk ging bij het in kaart brengen van het lek. Vorig jaar had de politicus van een tipgever gehoord dat patiëntgegevens eenvoudig in te zien waren: er bleken accounts te zijn waarvan usernaam en wachtwoord hetzelfde (en vijf tekens lang) waren. Die misstand aan de kaak stellen was gepast, maar hij had niet zo veel dossiers mogen opvragen als hij had gedaan. En meteen naar de media rennen was ook niet helemaal zoals het hoorde.

De beveiliging van een gevoelig medisch systeem zoals een EPD is natuurlijk al snel nieuwswaardig. En bij beginnersfouten zoals gelijkluidende gebruikersnamen en wachtwoorden (of wachtwoorden van vijf tekens) is het dan ook al snel goed om aan de bel te trekken. Maar, een beetje ethisch hacker seint éérst de dienstverlener in en geeft deze een kans het probleem te herstellen. En dat is waar Krol een beetje te snel ging: na één afpoeiertelefoontje al naar de pers stappen is niet hoe het hoort. En dat de telefoniste hem niet wilde doorverbinden met een verantwoordelijke maar zei dat hij maar een brief moest sturen, maakte daarbij niet uit. Hij had op zijn minst kunnen wáárschuwen dat hij journalist was en dat het hem ernst was.

Ook het feit dat er geen technisch probleem met de beveiliging was, maar enkel één gebruiker met een dom wachtwoord, maakte dat de actie nogal overtrokken was, aldus de rechtbank. Er was geen aanwijzing dat die zwakke wachtwoorden een epidemie (haha, hij zei epidemie en het is bij een EPD) waren. En bij één dom wachtwoord al de pers bellen, gaat wat snel. Daar heb ik dan weer moeite mee: dat één zo’n zwak wachtwoord kan, bewijst dat er geen adequate checks op wachtwoorden zitten. En dan durf ik wel te zeggen dat er meer henk/henk userpasswordcombinaties zijn.

En zoals verwacht maakt de rechtbank er ook een stevig punt van dat Krol in aanwezigheid van de cameraploeg van Omroep Brabant diverse dossiers had opgevraagd, in plaats van alleen de strikt noodzakelijke. “Mede gezien het feit dat het hier om uiterst gevoelige, medische gegevens gaat van patiënten”, heet het dan. Maar, eh, is niet juist het nieuws dát er zo veel dossiers op te vragen zijn met zo’n zwak wachtwoord? Kun je dat nieuwsfeit wel onderbouwen met één opvraging van één dossier? Maar oké, hij had een paar vrienden kunnen vragen of hij hun dossier mocht lichten als bewijs, in plaats van random users.

Daarbij woog ook nog mee dat Krol bepaalde gegevens meermalen opvroeg. Dat bewijst volgens de rechtbank dat hij niet zorgvuldig te werk ging. Hm. Ik zou denken, als ik in zo’n systeem zit dan ga ik ook eerst op knoppen drukken om te zien of het écht is, en pas als ik van de schrik bekomen ben, zou ik m’n printscreenknop te voorschijn halen. En ja, dan sta je dus dingen twee keer op te vragen.

De rechtbank twijfelt bij dit alles niet aan de goede bedoelingen van verdachte, aldus de rechtbank. Daarom wordt de geëiste boete naar €750 euro gezet.

De meer dan een ton aan schadeclaim van het zwakkewachtwoordentoelatende DvU wordt teruggebracht tot € 1.000afgewezen. De rechtbank kan niet vaststellen of sprake is van voldoende causaal verband tussen de hack en de geclaimde schade, want die is maar matigjes onderbouwd. Ook is niet duidelijk in hoeverre de schade als “eigen schuld” aan te merken is, en dat is toch echt een grond om een schadevergoeding te verlagen.

Ik ben nu wel aan het twijfelen: was het nu echt zo overtrokken wat Krol deed? Moet je bij een zwak wachtwoord op een EPD-account inderdaad maar een brief sturen en na de mededeling “dank u, het wachtwoord is gewijzigd” het erbij laten? Ligt het nou aan mij of ís het gewoon nieuws dat dit kon gebeuren?

Arnoud

Geen uitspraak over IP-bevriesbevel, dat schiet niet op natuurlijk

Geplaatst op in Security, 20 reacties

Grmbl. Weet u nog, die zaak uit 2011 waarin IP-beheersclub RIPE een rechtszaak begon tegen het OM vanwege een IP-adresbevriesbevel? Het vonnis is er, maar wat een teleurstelling: géén inhoudelijke uitspraak of het mag maar een afwijzing op de formele grond dat RIPE “onvoldoende belang” heeft bij de ingestelde eis.

In 2011 werd RIPE bevolen een aantal IP-adressen te “bevriezen”, omdat deze gebruikt zouden worden bij een crimineel botnet. Klinkt nobel, alleen: waar staat in het wetboek dat de politie zo’n bevel mag geven? Een specifiek artikel dat hierover gaat, is er niet, dus de byte_fightende officier van Justitie gooide het op artikel 2 Politiewet. Dit artikel omschrijft in algemene bewoordingen de taak van de politie: zorgen voor de daadwerkelijke handhaving van de rechtsorde.

Ja, dat is heel generiek en het was dan ook terecht dat RIPE zich afvroeg of daarmee wel een rechtsgeldig bevel gegeven kan worden om IP-adressen te blokkeren. We hebben immers voor iets andere categorieën van data bevriezen hele specifieke regelingen (artikel 126ni Strafvordering en nog een paar). En zo’n specifieke regeling is belangrijk, omdat de politie (waar het gaat om grondrechten) alléén dingen mag bevelen met zo’n specifieke regeling. Dus hoezo kan het dan juist voor IP-adressen zonder regeling, gewoon met de kapstok van artikel 2?

De rechtbank wijst de eis af vanwege een formeel argument: je moet als eiser wel “voldoende belang” hebben bij je eis, een theoretisch interessante maar niet direct dringende kwestie is niet genoeg. RIPE had op zeker moment de bevriezing eraf gehaald, en hoewel de officier enige boze piepgeluiden had gemaakt, werd er niet daadwerkelijk vervolgd noch was daar een reële dreiging voor. Zonder zo’n dreiging kun je niet preventief naar de rechter rennen en vragen of deze wil verklaren of de officier je wel mág vervolgen. En omdat er dus geen reële, concrete aanleiding (meer) is dat de officier iets gaat doen dat hij misschien niet mag, wil de rechter niet nader ingaan op de vragen van RIPE.

Buitengewoon frustrerend dit. En nee, het betekent niet dat de officier dit soort bevelen dus wél mag geven (of dat het niet mag) maar alleen dat de rechtbank het een té theoretisch verhaal vindt. De volgende keer moet RIPE dus bij de eerste wapper met zo’n bevel de agent in kwestie de deur wijzen, hopen dat de officier dan concreet gaat dreigen met dwangmiddelen en dán snel opnieuw de procedure opstarten.

Arnoud