Gastpost: Privacy is dood, leve de identiteit!

Geplaatst op in Privacy, 11 reacties

identity-identiteit-kaart.pngOmdat ik met vakantie ben, blog ik het wat rustiger aan. Ter compensatie publiceer ik een aantal zeer interessante gastposts. Vandaag een intrigerend verhaal van Stas Verberkt over waar het wérkelijk om gaat in het privacydebat.

De status quo rond privacy op internet heeft er toe geleid dat privacy en de bescherming van de persoonlijke levenssfeer dogma’s zijn geworden. Men is er volledig voor (“privacy is een grondrecht”) of heeft het al afgeserveerd (“privacy is dead, get over it”), zonder dat er wordt nagedacht over de diepere noodzaak van dit grondrecht en haar toepassingen. En dat terwijl innovatie en privacy helemaal niet lijnrecht tegenover elkaar hoeven te staan.

Back to basics: het gaat om de identiteit
In het vroege liberalisme werden de vrijheid van gedachten en van persoonlijkheid fundamenteel geacht. Die tweede gaat erom dat mensen in alle vrijheid een identiteit moeten kunnen ontwikkelen. Dat betekent dat je zelf bepaald wat je interessant, leuk of afschuwelijk vindt en daaruit een identiteit opbouwt.

Voor democratieën is de vrijheid om een eigen identiteit te ontplooien van groot belang. Als de meerderheid van de mensen gevormd kan worden naar het goeddunken van de machthebber is er slechts een schijndemocratie en zijn er zeker geen vrije mensen, zelfs als deze mensen ondertussen wel gelukkig zijn zoals in Huxley’s Brave New World.

De bescherming van de persoonlijke levenssfeer is een van de afgeleide rechten van het recht op de vrije ontwikkeling van een identiteit. Als iemand alles van jou weet, wordt je makkelijk beïnvloed. Dat kan gebeuren terwijl je het door hebt, zoals bij afpersing, of onderbewust, zoals bij online advertenties vaak gebeurd.

Juist de vrije ontplooiing van de persoonlijke identiteit is van belang. De persoonlijke levenssfeer biedt een plek waar je jezelf aan het publiek kan onttrekken ” wat de Amerikanen zo mooi als ’the right to be let alone” omschrijven in hun definitie van privacy. Echter, wij zijn juist sociale wezens die onszelf willen tonen en die interactie willen hebben met andere mensen. Dus ja, we willen graag op Facebook zitten, maar we willen niet dat we daardoor in ons zelfbeeld en onze vrijheid worden aangetast.

Hoewel de persoonlijke levenssfeer deel is van de definitie van privacy in Europa, staat de expliciete benadering van “ontplooiing van identiteit” meestal niet centraal. Men focust op internet vooral op de verwerking van persoonsgegevens. De nieuwe Privacyverordening wil hier nóg strengere regels stellen. Maar regels over verwerking van persoonsgegevens moeten geen doel op zich zijn.

Overigens kent de Duitse grondwet dit recht wel. In artikel 2 lid 1 staat namelijk dat iedereen recht heeft op de vrije ontplooiing van zijn persoonlijkheid, zolang de rechten van anderen, de grondwettelijke orde of de “morele wet” niet geschaad worden. Dat laatste is overigens niet zo eng als het klinkt, maar kun je beter interpreteren als “TBS is ook een beperking op de vrije ontwikkeling”.

Het begint met transparantie<br/> Een versterking van de privacy begint met transparantie. Weten wat ze over je weten. Natuurlijk, nu staat de wet bescherming persoonsgegevens al toe om inzage in je persoonsgegevens te krijgen, maar dat gaat vaak zeer bureaucratisch en blijkt in de praktijk nog eens niet te werken ook.

Het moge duidelijk zijn dat niemand zit te wachten op vijf kilo aan papier waarvoor je drie mensen moet inhuren om te kijken of jouw rechten geschaad worden. Liever zie ik een proactief recht op inzage, waarbij ik meteen denk aan een duidelijke visuele weergave van de persoonsgegevens die een partij van mij heeft. In mijn gedachten zie ik al fantastische “identity dashboards” voorbijschieten die direct uit een SciFi film gegrepen zijn. Dan ben je pas in controle over je eigen identiteit.

De echte bedreiging: profilering<br/> Digitale profilering van mensen is de grootste bedreiging voor de vrije identiteit anno 2012. Bij profilering worden grote hoeveelheden data verzameld, met behulp van websites, klantenpasjes en verkoopstatistieken. Deze data kan gebruikt worden om eigenschappen te correleren en mensen te classificeren. Op deze manier weet Google dat jij graag advertenties voor films ziet, maar zou ook een verzekeringsmaatschappij kunnen besluiten jou te weigeren. Dit soort technieken hebben direct effect op personen, zonder dat er ook maar een mens aan te pas hoeft te komen.

Als het om transparantie en profilering gaat, hebben de Duitsers het echt begrepen. In hun Datenschutzgesetz staat namelijk in artikel 34 lid 2 dat mensen het recht hebben op inzage in waarschijnlijkheidsscores, oftewel de statistische resultaten van de profilering, inclusief informatie over de gebruikte datasoorten en een algemene en begrijpbare uitleg over de totstandkoming van deze scores. Vooral dat tweede is een verademing: een bedrijf stuurt niet een statistisch rapport dat nog dikker is dan de stapel aan persoonsgegevens die Facebook van jou heeft, maar volstaat met twee kantjes waarop in begrijpbare termen uitgelegd wordt hoe ze jou geclassificeerd hebben. Bijkomend voordeel: bedrijfsgeheime statistische methoden hoeven ook niet beschermd te worden.

Iets verderop in datzelfde artikel staat vervolgens dat dit recht onverkort geldt als de berekening wordt gemaakt op basis van geanonimiseerde gegevens. Dat is een belangrijke toevoeging, want vaak draaien profileringsprogramma’s op datawarehouses vol met geanonimiseerde data, waardoor de rechten op inzage in de profileringsscores belemmerd konden worden, maar niet onder deze regel: het gaat niet om de invoer, maar om het feit dat die score invloed heeft op mensen van vlees en bloed.

In artikel 20 lid 4 van de nieuwe concept privacyverordening van de Europese Unie staat dat mensen recht hebben op inzage in de voorgestelde effecten van profilering. Hoewel dit een stuk minder gedetailleerd is dan de Duitse variant, lijkt mij dit een stap in de juiste richting. Terecht benoemt professor Hildebrandt dit als het meest revolutionaire recht van het concept.

Op naar een beschermde identiteit<br/> Als het aan mij ligt beschermen we voortaan de ontplooiing van de identiteit en passen we bestaande rechten daarbinnen. Ik vindt het veel belangrijker dat Google geen rare dingen doet met mijn data, dan of ze die wel of niet hebben. Veel liever zie ik proactieve transparantie, dan dat we uit paranoia allerlei bureaucratische procedures moeten opstarten. Verplicht bedrijven te vertellen wat ze weten en vooral wat ze daaruit concluderen.

Stas Verberkt is student MSc Computer Security aan het Kerckhoffs Institute. Hij blogt over informatiebeveiliging en digitaal liberalisme.

Nieuwe opt-in vereist voor ex-Wanadoo en Orange abonnees?

Geplaatst op in Privacy, 16 reacties

Per 1 augustus stopt internetprovider T-Mobile met het ondersteunen van de @wanadoo en @orange e-mailadressen. Vanaf dat moment werkt alleen nog een nieuw aangemaakt @online e-mailadres. Bij DDMA las ik een interessant punt daarbij: mag je die oude adressen dan hernoemen naar @online, of schend je dan de antispamwet?

Je kunt hier twee kanten mee op: (1) het is dezelfde gebruiker, en je corrigeert/actualiseert alleen zijn e-mailadres, dus het mag, of (2) het is een nieuw e-mailadres en dus geldt de eerder verkregen opt-in daar niet voor.

Pakken we de Telecommunicatiewet erbij, dan zien we dat er letterlijk staat

Het gebruik van (…) elektronische berichten voor het overbrengen van ongevraagde communicatie voor commerciële, ideële of charitatieve doeleinden aan abonnees of gebruikers is uitsluitend toegestaan, mits de verzender kan aantonen dat de desbetreffende abonnee of gebruiker daarvoor voorafgaand toestemming heeft verleend (…)

Er staat dus niet letterlijk een verwijzing naar het “nummer”; het moet de abonnee zijn die toestemming heeft verleend. Toestemming kan op zich ook voor bv. meerdere e-mailadressen tegelijk worden gegeven, dus dat is logisch. En een abonnee is een “natuurlijk persoon of rechtspersoon”, niet een e-mailadres.

Het kan wél afhangen van hoe de opt-in is geformuleerd: stond daar “schrijf dit e-mailadres in” of “schrijf mij in”? In het eerste geval kun je niet zomaar een ander e-mailadres gaan mailen vanaf nu. Maar ik vermoed dat de meeste e-mailmarketeers werken met “ja ik wil de nieuwsbrief ontvangen”, zodat de toestemming niet e-mailadresspecifiek is.

Ik zie nu in de DDMA E-mail Code staan dat men daar wél opt-in als adresgebonden beschouwt, dus mogelijk is het advies binnen dat kader bedacht:

De adverteerder draagt er zorg voor dat de bestandseigenaar bij het verzamelen van e-mailadressen degene wiens e-mailadres wordt verzameld duidelijk en op eenvoudig toegankelijke wijze geïnformeerd wordt over de navolgende punten: a) dat het e-mailadres voor het toezenden van reclame zal worden gebruikt;

Maar ook hier twijfel ik of het écht zo streng bedoeld is dat opt-in per mailadres is verkregen.

Het advies bij de DDMA-blog om actief navraag te doen bij de abonnee lijkt me sowieso het beste, maar ik denk dat je op zich het e-mailadres wel kunt omzetten in een uitzonderlijke situatie als deze.

Arnoud

Kopiëren van paspoorten is verboden, tenzij

Geplaatst op in Privacy, 34 reacties

Van de frase “kopietje paspoort” krijg ik jeuk, maar het is op zich wel goed dat het College Bescherming Persoonsgegevens recent richtsnoeren heeft uitgegeven over het maken van zo’n kopie. Want het begint inderdaad belachelijk te worden, hoe veel bedrijven en instellingen een kopie van je identiteitsbewijs willen maken. En nee, dat mag dus niet zomaar.

In het algemeen hebben medewerkers van bedrijven en organisaties geen wettelijke bevoegdheid om een persoon te verplichten zich te legitimeren, zo beginnen de richtsnoeren. Ze kunnen iemand dus hooguit vragen om legitimatie. Okee, maar je kunt die vraag koppelen aan “anders mag je niet naar binnen/niets kopen” dus dat lijkt me enigszins een wassen neus. Meld het vooraf (bordje bij de deur) en je komt een heel eind.

Belangrijker -ook voor een organisatie zelf- is je afvragen waaróm je wilt dat mensen zich legitimeren. En natuurlijk wat je wilt gaan doen met die legitimaties. Kun je bijvoorbeeld überhaupt vaststellen of een gepresenteerd legitimatiebewijs wel echt is? Ga je je medewerkers op cursus doen om de echtheidskenmerken van een identiteitskaart te leren herkennen?

Soms zijn er wettelijke plichten om iemands identiteit vast te leggen of gegevens vast te leggen. Zo moeten hotels bepaalde gegevens van gasten registreren en die verifiëren uit een officieel identiteitsdocument (wat trouwens wat anders is dan een identiteitsbewijs, en dat is weer wat anders dan een legitimatiebewijs). Maar het vastleggen van die gegevens hoeft niet per se te gebeuren door het hele document te kopiëren, en dat mág dus niet, aldus het Cbp.

Het maken van een kopie van een identiteitsdocument is een verwerking van persoonsgegevens. Daarmee moet die kopie gerechtvaardigd worden onder de Wet bescherming persoonsgegevens. Er moet dus een grondslag zijn. De belangrijkste is de uitdrukkelijke toestemming, en ook de grondslag “dit is nodig om een contract na te komen” of “wettelijke plicht” zal hier vaak een rol spelen. Een werkgever móet bijvoorbeeld een kopie identiteitsbewijs bewaren van werknemers.

“Uitvoering contract” als grondslag komt dus neer op wat ik net zei: je meldt het vooraf en dan hoort het er gewoon bij. Maar in de richtsnoeren trekt het Cbp hier wel een grens: je mag géén contractuele eis stellen dat je een kopie mag maken als je daarmee “bijzondere” gegevens vastlegt, zoals het BurgerServiceNummer. Verwerken daarvan mag immers alléén als daar een wettelijke bevoegdheid voor bestaat, en “we hebben het als algemene voorwaarde bepaald” schept géén bevoegdheid.

Wie dus op grond van zo’n voorwaarde een kopie wil maken, moet het BSN weglaten, net als de foto. Foto’s zijn immers óók bijzondere persoonsgegevens, zodat foto’s niet zomaar mogen worden gekopieerd. Een toegangspas voor werknemers is bijvoorbeeld toegestaan, want een foto heeft daar een duidelijke noodzaak: het tegengaan van gebruik van andermans pas. Maar een hotel heeft voor haar gasten geen reden een foto te bewaren, en mág die dus niet bewaren.

Of je voor overige gegevens (naam, adres, geboortedatum etc) wél zomaar arbitrair mag eisen dat je een kopie mag maken, laat men soort van in het midden. Men zegt:

In zeer uitzonderlijke gevallen kan sprake zijn van het overnemen van gegevens van een identiteits­document of het kopiëren of scannen ervan. Een bedrijf of organisatie moet de noodzaak daartoe dan wel gedocumenteerd kunnen onderbouwen. In de praktijk zal een dergelijke situatie zich niet vaak voordoen, omdat bij een behoefte aan legitimatie het tonen van een identiteitsdocument in beginsel voldoende is.

Dit gaat echter volgens mij over de restcategorie uit de Wbp: de eigen dringende noodzaak die zwaarder weegt dan de privacy. Maar als je het via de algemene voorwaarden aanpakt, zit je niet in deze restcategorie. Dan beroep je je op “noodzakelijk voor uitvoering overeenkomst”, oftewel “dit was afgesproken dat het mocht”.

Daarover iets eerder:

Leveranciers of verkopers staat het in beginsel vrij om aan hun dienst of product voorwaarden te ver­binden. Voordat een overeenkomst wordt aangegaan – zeker als het kostbare producten betreft, langer lopende abonnementen of een koop op afstand – zal een ondernemer (meer) zekerheid willen hebben over met wie hij zaken doet om (toekomstige) betalingen veilig te stellen. Daarvoor kan de ondernemer aanvullende informatie verlangen of voorwaarden stellen om bijvoorbeeld fraude te voorkomen of snel te laten opsporen. Dat betekent overigens niet dat het kopiëren of scannen van identiteitsdocumenten zomaar als voorwaarde gesteld kan worden.

maar men laat het bij die laatste zin, zonder onderbouwing wanneer het dan “zomaar” is en wanneer je wél de voorwaarde mag stellen. Ik zou het eerlijk gezegd niet weten waarom het niet zomaar zou mogen (minus BSN en foto en zo). Zolang er maar een redelijke grond is om die gegevens te willen hebben.

Bij internetdienstverleners wringt dit nog iets meer: je kunt je klanten niet persoonlijk spreken, dus zodra je iets wilt verifiëren dan móet je haast wel een kopie laten opsturen. Denk aan het aangaan van een hostingcontract met achterafbetaling of het indienen van een inzageverzoek onder de Wbp (haha ironie). Ik denk dat het prima is om in die gevallen een kopie te vragen, natuurlijk met weglating van BSN en foto.

Uiteraard moet je wel je beveiliging op orde hebben; gewoon kopietjes paspoort (jeuk) in een doosje doen in het magazijn is natuurlijk niet de bedoeling.

Arnoud

Mag een werkgever eisen dat een werknemer op LinkedIn gaat zitten?

Geplaatst op in Informatiemaatschappij, Ondernemingsvrijheid, 16 reacties

Een lezer vroeg me:

Ik ben sinds kort bij een ICT-bedrijf werkzaam als facilitair medewerker. Nu kreeg ik gisteren te horen dat iedereen in het bedrijf een LinkedIn account heeft, dus ik moest er ook aan. Maar dat wil ik helemaal niet! Ik stel prijs op mijn privacy, ik heb niets te maken met klanten en ik wil niet met mijn volledige naam (die redelijk uniek is) op internet vindbaar zijn. Kunnen ze dit echt eisen?

Het lijkt me dat een werkgever dat eigenlijk alleen kan eisen als men dat in het arbeidscontract zelf heeft staan, of het vooraf bij de sollicitatie heeft gemeld. Dan weet je waar je aan begint en kun je nog weigeren.

Uit de rechtspraak blijkt dat men hooguit kan eisen dat de informatie klopt, dus als je de verkeerde functie noemt op LinkedIn dan moet je dat aanpassen. In die zaak had een juridisch medewerker ten onrechte op Linkedin zowel zichzelf van een mr-titel als van de omschrijving “Advocaat, beroepsopleiding <datum” voorzien. De werkgever mocht de medewerker hierop aanspreken (maar ontslag op staande voet kun je hier niet op baseren).

Ik weet dat het in de ICT steeds gewoner wordt, zie ook de discussie over smoelenboeken en openbare profielen. Maar wat me opvalt is dat dit soort vragen veelal binnenkomen van mensen die zelf heel wat minder actief zijn in de ICT, zoals de facilitair medewerker uit deze vraag. Je gaat je dan afvragen, zijn wij alles-op-internet-likende-en-delende-ICT-ers dan zo anders dan deze, eh, gewone mensen?

Arnoud

Facebook scant seksconversaties van gebruikers

Geplaatst op in Ondernemingsvrijheid, 26 reacties

Opmerkelijk: Gesprekken op Facebook worden geautomatiseerd afgeluisterd en gescand op criminele inhoud, meldde Webwereld. Het bedrijf gebruikt geautomatiseerde tools om de inhoud van privéchats en -berichten te controleren op verdachte zaken, met name seksgerelateerde misdrijven. Reuters beschreef de zaak van een dertienjarig meisje dat werd lastiggevallen met berichtjes, die via de scantool aan het licht kwam.

Mag dat? Tsja, het is Amerika en daar is het genoeg als je zoiets in je algemene voorwaarden zet:

We use the information we receive about you in connection with the services and features we provide to you and other users like your friends, our partners, the advertisers that purchase ads on the site, and the developers that build the games, applications, and websites you use. For example, we may use the information we receive about you: as part of our efforts to keep Facebook products, services and integrations safe and secure;

want ja, het gaat hier om de veiligheid. Hoewel dit volgens mij eerder zou duiden op de technische veiligheid en niet zozeer de gebruikersveiligheid, maar goed.

Een apart precedent zet het wel. Het argument is namelijk altijd geweest: Facebook is niet aansprakelijk voor de inhoud of wat er gebeurt, omdat ze slechts een passief doorgeefluik is. Maar met dit soort technologieën ga je toch echt een andere kant op, je geeft aan dat je wel degelijk wilt investeren om je platform te bewaken. En dat opent de deur voor andere partijen om te eisen dat ook hun belang gediend gaat worden door de platformaanbieder.

Een tegenargument van Facebook kan zijn dat ze puur automatisch scannen, en medewerkers alleen inlichten bij evidente wetsovertredingen. Dan ben je -binnen de Europese regels dan- sowieso al aansprakelijk als je niets doet. Opmerklijk is het wel, om twee redenen: ten eerste omdat je hiermee dus aansprakelijkheidssituaties gaat zóeken en ten tweede omdat in Amerika de wet zegt dat je nérgens voor aansprakelijk bent. Notice en takedown geldt daar alleen voor auteursrechten, en voor het overige hoef je helemaal niets.

Hoewel, dat zeg ik nu wel maar mogelijk dat Facebook dit doet vanwege de COPPA wetgeving, die actieve verificatie eist als je dertienminners op je site wil toelaten. Dat is dan een wettelijk geregeld speciaal geval.

Toevallig las ik ook net dat Rapidshare moet filteren, althans ‘redelijke voorzorgsmaatregelen’ moeten nemen om piraterij te voorkomen. Ook daar zie je dus dat het idee “ik ben een platform dus nérgens voor aansprakelijkheid” steeds verder weg erodeert.

Het wordt denk ik tijd voor een nieuwe set regels over aansprakelijkheid voor tussenpersonen. Volledige aansprakelijkheid lijkt me absoluut onwenselijk, maar dat er iets van filters of blokkades gaat komen is wel duidelijk. De vraag is dan dus: waarop en waar trek je de grens? Ik zou het echt niet weten. Maar dit is wél het grote debat dat gevoerd moet gaan worden.

Arnoud

OPTA gaat met cookiemonitor sites controleren op naleven cookiewet

Geplaatst op in Ondernemingsvrijheid, 44 reacties

Er zit beweging in de handhaving van de cookiewet. Met een speciale tool, de ‘cookiemonitor’, wil de OPTA automatisch nagaan of websites zonder toestemming cookies plaatsen, zo meldde Tweakers vorige week. Sites die lastig verwijderbare cookies plaatsen, krijgen als eerste een boete. Andere sites krijgen “waarschijnlijk eerst een waarschuwing”.

De cookiewet is een van de raarste internetwetten van de afgelopen tijd. Ik moet de eerste persoon nog tegenkomen die hem in zijn huidige vorm een goed idee vind. Dat de gedachte erachter goed is, wil men nog wel beamen – maar de wet zelf is onduidelijk en véél te streng, zo lijkt de algemene gedachte.

De praktijk laat dan ook zien dat vrijwel iedereen de wet negeert. Van de top 1500 websites in Nederland vraagt 95,1% geen toestemming om cookies te mogen plaatsen, blogden wij vorige week. Onderzoek van Cookiechecker.nl liet zien dat Nederlandse sites massaal gewoon cookies zetten zonder te vragen.

Mogelijk dat deze sites denken dat hun informatiebalk boven- of onderaan de site genoeg is. Met teksten als “Deze site gebruikt cookies, door de site te gebruiken gaat u daarmee akkoord” doet men een poging de wet na te leven. Maar het is niet genoeg; toestemming onder de cookiewet kan niet stilzwijgend worden verkregen. Er is meer nodig dan alleen “u kwam op mijn site dus bent u akkoord met de cookies”.

Dit gaat dus nog leuk worden bij de cookiemonitor van OPTA. Die leest immers ook niet zulke informatiebalken maar kijkt of er cookies gezet worden bij het eerste paginabezoek. En al die sites met alleen een balkje worden vervolgens dus aangesproken op hun niet-handhaving.

Je kunt natuurlijk zeggen: stomme wet, waarom steek je energie in handhaving. Maar op dit moment is er een hele scheve situatie aan het ontstaan: mensen die het goed willen doen met de wet, zien hun bezoekersaantallen teruglopen omdat er nauwelijks een werkbare manier is om cookietoestemming te vragen. En ondertussen zien ze geïrriteerd hoe hun collega’s die bezoekers oppikken met alleen een “hoi wij gebruiken cookies”-balkje. Dan heb ik liever harde handhaving zodat we erachter aan komen hóe onhoudbaar die wet is.

Arnoud
PS: over cookies gesproken, ons boek Cookies: Deskundig en praktisch juridisch advies is bijna uit, u kunt nog voorintekenen! Slechts 9,95 en geen verzendkosten.

Wanneer is een algemene voorwaarde ongeldig?

Geplaatst op in Informatiemaatschappij, 21 reacties

Een lezer vroeg me:

Kun je eens uitleggen hoe dat nu precies zit met algemene voorwaarden en wanneer ze ongeldig zijn? Hoe ver gaat dat? Als er bijvoorbeeld één foute bepaling in de AV staat, is dan het hele artikel of het hele document ongeldig?

Het concept van algemene voorwaarden blijft fascineren. Niemand die ze leest, totdat het te laat is. En er doen allerlei mythes de ronde, zoals de mythe dat algemene voorwaarden niet tegen de wet mogen zijn of dat online voorwaarden (EULA’s) per definitie ongeldig zijn.

Algemene voorwaarden zijn in het algemeen (haha) rechtsgeldig. Als ze in strijd zijn met een dwingende wetsbepaling, of onredelijk bezwarend zijn, dan kan de wederpartij ze ongeldig verklaren (“vernietigen”) maar hij moet dat wel expliciet even doen. Dat kan met een simpele verklaring naar de partij die die voorwaarden hanteert.

Het is niet zo dat één ongeldige voorwaarde meteen het hele document ongeldig verklaart. De hele AV ongeldig verklaren lukt eigenlijk alleen als deze niet op de goede manier ter hand gesteld zijn. Bij strijd met de wet gaat alleen de voorwaarde in kwestie onderuit.

De vraag wat dan precies een voorwaarde is, is een hele leuke. De wet gaat niet verder dan “een voorwaarde is een algemene als deze bestemd is in meerdere contracten te worden gebruikt”. Hij hoeft dus niet eens in een document te staan dat Algemene Voorwaarden héét – een voorgedrukte zin op je briefpapier of een standaardfrase uit je offertes is ook een algemene voorwaarde.

Maar stel nu dat je een artikel hebt dat bestaat uit drie leden, waarvan lid 3 vijf zinnen bevat. En de derde zin daaruit vermeldt iets dat tegen de wet is, bijvoorbeeld dat je opzegtermijn drie maanden is. Gaat dan heel lid 3 onderuit? Alle zinnen vanáf zin 3? De zinnen tot en mét zin 3?

Waarschijnlijk moet je dit opvatten als “elke zin die als een zelfstandig recht of plicht te construeren is” maar je zou ook kunnen zeggen “elke alinea die bedóeld is als een aparte voorwaarde”. In dat laatste geval zou zo’n alinea die meerdere dingen in één keer wil regelen dus in de gevarenzone komen.

Arnoud

Uw intranet hoeft niet meer bij het College bescherming persoonsgegevens aangemeld

Geplaatst op in Privacy, 2 reacties

vraag-de-diskette-aan.pngMinder administratieve lasten en kosten voor verantwoordelijken, meldde het College bescherming persoonsgegevens (via) onlangs. Door een uitbreiding van het Vrijstellingsbesluit hoeven “inmiddels algemeen gebruikelijke ICT-toepassingen als intranet en persoonlijke websites en weblogs” niet langer te worden aangemeld. Niet dat iemand dat deed, maar goed.

De Wet bescherming persoonsgegevens (“privacywet”) is erg streng en formalistisch. En je gaat denken dat ie door IT-ers is gemaakt, want bij de IT geldt: ongeacht het probleem, de oplossing is een database. In dit geval een database met meldingen, waarin partijen die persoonsgegevens verzamelen en gebruiken moeten uitleggen wat ze precies doen en waartoe en waarom. Mocht u zich vervelen: lees eens een paar meldingen en kijk of u kunt zeggen wat ze nu precies doen.

Werkelijk niemand heeft me nog kunnen uitleggen wat vandaag de dag het praktisch nut is van die melding. Maar goed, het moet. Ook voor triviale verwerkingen zoals het smoelenboek op intranet. Vrijstellingen zijn namelijk beperkt opgeschreven: val je er ook maar één letter buiten, dan moet je alsnog gaan aanmelden.

Zo vermeldt de vrijstelling voor intranetten dat je alleen deze personalia mag vermelden:

naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens;
Mijn eerste gedachte is dan, waar is het e-mailadres? En de link naar LinkedIn? Zijn die “soortgelijk”? En trouwens, waarom wél de geboortedatum maar niet mijn Twitteraccount?

Individuele personen met een website hebben ook een vrijstelling. Dat is de kortste uit het besluit, en meteen ook de onduidelijkste wat mij betreft. Wat mag een individueel persoon op zijn website zetten?

  • gegevens van persoonlijke of familiaire aard de verantwoordelijke betreffende;
  • meningen en standpunten over gebeurtenissen, feiten en omstandigheden;
  • foto’s, videobeelden met of zonder geluid.
Dit lijkt me tamelijk onzinnig, al is het maar omdat een verwerking voor persoonlijke omstandigheden sowieso buiten de Wbp valt (artikel 2 lid 2a). En de tweede bullet, die naar journalistiek verwijst, betreft een handeling die buiten de meldplicht valt. Journalistiek valt wel onder de privacywet, maar journalisten hoeven hun artikelen niet aan te melden als ‘verwerking’ van persoonsgegevens. Bloggers dus ook niet.

Kennelijk moet je trouwens dan weer wél je blog aanmelden als er mensen reageren, want de namen en eventuele homepages van reageerders staan niet genoemd in deze vrijstellingslijst. Maar geen zorgen: jullie zijn allemaal journalistiek bezig.

Wie niet onder een vrijstelling valt, moet zijn verwerking aanmelden bij het college.

En tot voor vrij kort stond daar nog de mogelijkheid een diskette aan te vragen, zie het plaatje rechtsboven. Dat kan nu (eindelijk) niet meer.

Arnoud

Mogen gedownloade boeken en films ook worden doorverkocht?

Geplaatst op in Intellectuele rechten, 26 reacties

Gedownloade gekochte software mag worden doorverkocht, blogde ik vorige week. Kopers van tweedehands software hebben namelijk een wettelijk gebruiksrecht, zo bepaalde de hoogste Europese rechter. En dan komt meteen de vraag: geldt dat dan ook voor andere gedownloade producten, zoals boeken, films of muziek?

Software is een ietwat apart beestje in het auteursrecht. Toen men in de jaren zeventig doorkreeg dat iets van bescherming misschien wel handig kon zijn, leek de voorkeur uit te gaan naar een apart recht (“sui generis”) omdat het in het auteursrecht niet echt zou passen. Octrooibescherming was het alternatief, maar dan zou 98% van de software niet beschermd zijn en dat leek ook weer niet handig. Uiteindelijk werd het dan toch maar auteursrecht, en de problematiek van het niet-passen werd opgelost door bij wet vast te leggen dat het wél paste. Ook een manier.

Bij software geldt dat elk gebruik een inbreuk op het auteursrecht is. Dit omdat je software niet kunt gebruiken zonder het te laden/kopiëren, en een stel techno-juristen bij de Europese wetgever had daaruit gemeend te moeten concluderen dat er dús sprake is van een auteursrechtelijk relevante handeling. Daarom zitten al die gekke uitzonderingen in de Auteurswet als het gaat om software, maar staat nergens dat het toegestaan is om een boek via lichtreflectie op je netvlies te verveelvoudigen.

Toch denk ik dat deze uitspraak breder is dan alleen het software-auteursrecht. De basis voor het arrest is immers de algemene regel van de uitputting van het auteursrecht uit de Auteursrecht-richtlijn (2001/29) en niet een software-specifieke richtlijn. En men spreekt vervolgens wel van het distributierecht zoals dat volgt uit de softwarerichtlijn (2009/24, de opvolger van 91/250) maar ik kan daar weinig écht softwarespecifieks aan ontwaren.

Toegegeven, in de Auteursrecht-richtlijn zeggen ze expliciet

Het vraagstuk van de uitputting rijst niet in het geval van diensten en in het bijzonder on-linediensten. Dit geldt eveneens voor een materiële kopie van een werk of een andere zaak, die door een gebruiker van een dergelijke dienst met de toestemming van de rechthebbende wordt vervaardigd.

maar dat werd in de Oracle-zaak ook gebruikt als argument, en afgewezen met:

Bovenstaande bepalingen tonen duidelijk aan dat de wetgever van de Unie voor de door richtlijn 2009/24 geboden bescherming materiële en immateriële kopieën van een computerprogramma heeft willen gelijkstellen.

In die omstandigheden moet worden geconstateerd dat (…) uitputting van het distributierecht zowel geldt voor materiële als immateriële kopieën van een computerprogramma, en dus mede voor kopieën van een computerprogramma die bij de eerste verkoop ervan van internet op de computer van de eerste verkrijger zijn gedownload.

Er is volgens mij geen enkel verschil tussen de koop van een e-book (immateriële kopie) en de koop van een fysiek boek (materiële kopie). Tenminste, als je koop definieert als “eeuwig gebruiksrecht tegen éénmalige prijs die matcht met de economische waarde” zoals het Hof in deze uitspraak doet.

Natuurlijk is het wél anders bij streaming en dergelijke: daar is het bedrag veel lager en het gebruiksrecht ook duidelijk beperkter. Dat zou ik dan eerder verhuur/uitlenen noemen en daarbij staat vast dat er geen sprake is van uitputting. En dat verklaart dan ook wat ze bedoelden met de on-line diensten: wie een video streamt, en daar een kopie van maakt, kan geen uitputting claimen.

Helaas vermoed ik dat geen rechthebbende het met me eens gaat zijn. Cynisch verwacht ik dat de softwaremannen überhaupt dit arrest gaan negeren zolang ze kunnen en gaan dreigen met rechtszaken tegen wie toch zijn licenties doorverkoopt. Maar een uitputtingsregel bij downloadbare content lijkt me minstens zo belangrijk als een uitputtingsregel bij downloadbare software.

Arnoud

Hoe vind ik de maker van een foto?

Geplaatst op in Intellectuele rechten, 29 reacties

Vele lezers vragen me:

Ik heb een foto op internet gevonden die ik wil gebruiken voor een campagne. Hoe kom ik achter de naam van de rechthebbende / fotograaf en het bestand in hoge resolutie? Bestaat er een firma die dat voor me uit kan zoeken?

Om claims te voorkomen is het heel verstandig om de rechten van elke foto te verifiëren. De Getty-draad ontplofte niet voor niets, en er zijn meer fotografen (en advocaten) die graag claims indienen.

Gelukkig is het niet zó moeilijk om na te gaan van wie een foto is, althans bij populair aanbod. De simpelste manier is naar Google Afbeeldingen gaan en daar de afbeelding uploaden. Google zoekt dan naar vergelijkbare afbeeldingen, en als het goed is zit de originele site er dan bij. Klik op het cameraatje in het zoekvenster.

TinEye.com biedt dezelfde mogelijkheid. De databanken overlappen niet helemaal, dus beide sites gebruiken is aan te bevelen.

Ziet de foto eruit als een nieuwsfoto, dan kun je ook nog de ANP Beeldbank proberen. Hier moet je dan op trefwoorden zoeken en hopen dat je de foto aantreft.

Kom je er echt niet uit, neem dan contact op met stichting Foto Anoniem. Zij hebben veel kennis van foto’s en kunnen vaak bepalen wie de rechten heeft. En lukt dat ook hen niet, dan kun je een verzekering bij ze sluiten: je betaalt een eenmalig bedrag en zij vrijwaren je dan van eventuele claims van de fotograaf, mocht die opduiken.

Het is natuurlijk ook een optie om de foto gewoon niet te gebruiken en bij een legale site opnieuw te gaan zoeken. Mijn favorieten zijn SXC.HU en www.rgbstock.com voor gratis legaal werk, en op Flickr.com/creativecommons vind je ook vele foto’s met gebruiksrechten. Wel even opletten welke categorie je neemt, want soms mag je niet bewerken en soms mag je niet commercieel gebruiken.

Hebben jullie nog tips of aanvullingen?

Arnoud