Is dat internetreglement eigenlijk wel bindend?

Geplaatst op in Ondernemingsvrijheid, 11 reacties

modelgedragscode-internet.pngEen lezer vroeg me:

Vorige week ontving ik ineens een “Reglement Gebruik ICT-middelen en Internet” in de interne mail. Hierin worden strenge regels gesteld over wat ik wel en niet mag met de computer en internetverbinding van het werk. Zo mag ik alleen in de lunchpauze en na 17:00 nog privédingen doen, kunnen ze mijn mail screenen en mogen websites worden geblokkeerd. Ik heb meteen teruggemaild dat ik niet akkoord ben met deze wijziging van mijn arbeidscontract, maar mijn manager zegt dat ik er gewoon aan gebonden ben! Hoe zit dat nu?

Veel mensen denken dat de werkgever alleen regels mag stellen of veranderingen mag doorvoeren als de werknemers daarmee instemmen, of als het in het arbeidscontract staat. Dat is niet zo. Een internetreglement (om het zo maar even te noemen) mag de werkgever eenzijdig invoeren. De wet (art. 7:660 BW) bepaalt dat de werkgever een instructiebevoegdheid heeft: hij mag regels stellen over hoe het werk wordt uitgevoerd en hoe volgens hem de goede sfeer op de werkvloer wordt bewaard.

Op deze grond kan een werkgever bijvoorbeeld bepalen dat je van een kantoor naar een kantoortuin gaat, of dat verkopers bepaalde kledingvoorschriften moeten volgen. Een internetreglement bevat ook dergelijke regels, maar dan specifiek over internet- en ICT-gebruik. Dat is dus toegestaan om in te voeren, ook zonder overleg en ook als in de arbeidsovereenkomst niets staat over die bevoegdheid.

Wel ligt de grens bij “voorschriften omtrent het verrichten van de arbeid” en “bevordering van de goede orde in de onderneming”. Elke regel moet dus uiteindelijk tot één van deze twee grondslagen te rechtvaardigen zijn. Je kunt als werkgever dus bijvoorbeeld het luisteren naar internetradio verbieden als dat overlast op het netwerk veroorzaakt (vanwege het vele dataverkeer) maar niet het hebben van een Facebookprofiel. Dat laatste heeft niets te maken met het werk of de goede orde. Wél zou je kunnen verbieden dat men op dat Facebookprofiel roddelt over collega’s, want dát raakt de goede orde.

Wil een bedrijf verder gaan dan deze grens, dan moet het terugvallen op de open norm van goed werknemerschap (artikel 7:611 BW), waaraan werknemers gebonden zijn. Maar dat is meer iets voor concrete situaties: jij, medewerker Wim, bent in dit geval niet bezig als goed werknemer. Een algemene regel “doe X niet want dat is geen goed werknemerschap” is lastig voorstelbaar. Een alternatief is in de arbeidsovereenkomst expliciete regels op te nemen, maar dat kan dan niet eenzijdig. Denk aan het LinkedIn-opschoonbeding.

Arnoud

Downtime van Diablo 3 versus werkende mensen

Geplaatst op in Ondernemingsvrijheid, 30 reacties

diablo-down-error.jpgEen lezer vroeg me:

Zoals je misschien weet is op 15 mei Diablo 3 gereleased. Een spel om heerlijk kwaad monstertjes dood te klikken, er is toch niks mooiers! zou je zeggen. 12 jaar lang wachten werd eindelijk beloond. Welnu, het feest pakt anders uit. Want vanwege mijn fulltime baan kan ik alleen in de piekuren spelen, en precies tijdens die tijden is de online component van Diablo steeds overbelast. Bottom line: ik heb 60 euro betaald voor een spel dat ik nauwelijks kan spelen. Wat kan ik nu doen?

Het is voor de vraagsteller erg zuur dat hij veel downtime heeft omdat hij alleen ’s avonds kunt spelen, net in hun maintenance window. Maar juridisch gezien is de vraag of zij daar rekening mee moeten houden, zeker omdat hij ze dat niet vooraf verteld heeft. Ik denk dus niet dat je met dát argument heel ver komt.

Algemeen gezegd: een spel is een product (want software kun je kopen) en dus moet het spel voldoen aan de verwachtingen. Het spel moet dus speelbaar zijn. Nu is Diablo 3 dat op zich wel, alleen vereist elk potje (ook in single player) dat je online gaat en verbinding maakt met die online component. En als die er steeds uit ligt, dan is het spel niet speelbaar.

Voor die dienst ligt het juridisch iets lastiger, want dat is geen product en de verwachtingen die je mag hebben, zijn dus minder duidelijk. Je mag een goede inspanning verwachten van de leveranciers van Diablo, maar hoe ver gaat dat? Wanneer hebben ze hun best gedaan? Daarbij zullen allerlei factoren meespelen, zoals of het hier gaat om een kortetermijnprobleem van vlak na de lancering of een structureel probleem.

Er is gewoon geen goede wetgeving op dit gebied. Meer dan de hele algemene regel “dit voelt niet als een redelijke invulling van het contract” met dan wat zelfbedachte argumenten is er niet.

Het wordt echt tijd voor een setje consumentenwetgeving die hier duidelijker regelt waar je aan toe bent. Of op zijn minst eens een rechtszaak.

Arnoud

Ik moet mijn LinkedIn opschonen bij mijn ontslag!

Geplaatst op in Ondernemingsvrijheid, 26 reacties

linkedin-breek-connecties.pngEen lezer vroeg me:

Ik werk tot 1 juli als sales manager en daarna stap ik over naar een concurrent. Nu heb ik een relatiebeding in mijn contract, en mijn huidige werkgever zegt dat ik hierom verplicht ben om mijn LinkedIn op te schonen. Alle contacten die als relatie van het werk tellen, moet ik verbreken. Inclusief contacten die ik al hád toen ik hier kwam. Moet dat echt?

Met een relatiebeding kan een werkgever voorkomen dat werknemers gedurende een zekere tijd zijn relaties benadert met het oog op acquisitie of overname van dienstverlening. Een relatiebeding moet schriftelijk worden overeengekomen, en wel in de arbeidsovereenkomst zelf. Je hebt er dus voor getekend en dan zit je er ‘gewoon’ aan vast.

Het lijkt mij dat als je afspreekt je “oude” relaties niet meer te benaderen na ontslag, je dat ook niet via Linkedin (of Hyves of Xing of Facebook) mag doen. Het technisch middel doet er niet toe, waar het om gaat is wat jij als ex-werknemer doet: probeer je oude relaties mee te nemen naar je nieuwe werk? Zo ja, dan overtreed je het relatiebeding.

In 2011 bleek een ex-werknemer zijn relatiebeding te hebben geschonden door een relatie van zijn voormalige werkgever via LinkedIn te accepteren. Maar dat is wel wat meer dan het enkele hébben van een contact.

Of het louter hébben van het contact, of het over koetjes en kalfjes communiceren met zo’n contact ook al onder het relatiebeding valt, is dubieus. In februari bepaalde de Maastrichtse de rechter dat het enkele communiceren via sociale media met ‘verboden’ relaties nog geen overtreding was:

[Voor een overtreding zou gedaagde] bijvoorbeeld zijn contacten op die media (friends/vrienden) expliciet moeten vragen om wanneer zij bij [eiser] zijn ingeschreven, over te stappen naar zijn dansschool.

Het lijkt me dus zeker geen automatisme dat een relatiebeding dús impliceert dat de LinkedIn moet worden opgeruimd op de laatste werkdag.

Voor een paar klanten heb ik “opschoonbedingen” gemaakt die naast het relatiebeding in de arbeidsovereenkomst komen. Hierin wordt bepaald dat werkgever en werknemer op de laatste werkdag gezamenlijk het LinkedIn account doornemen en ‘verboden’ relaties zullen verwijderen. Dan is er geen discussie meer: je hebt getekend voor opschonen, dus je gáát opschonen.

Enige nadeel hiervan is dat je de discussie of dit wel passend is, nu moet voeren bij je net-nieuwe werkgever. Of nog niet eens echt werkgever: je moet het contract nog tekenen, dus hij kán je zomaar eruit zetten als je nu gaat piepen. Liever zou ik dus zien dat een werkgever dit soort bedingen in het onderhandelingstraject meldt en niet op de dag voor de eerste werkdag waar je de formele handtekening komt zetten.

Arnoud

Spionagemalware Duqu schendt GPL

Geplaatst op in Intellectuele rechten, Iusmentis, 25 reacties

duqu-gpl.pngSjongejongejonge, wat zullen de Duqu-makers daar wakker van liggen: de beruchte spionagemalware Duqu bevat open source-code die onder de ‘virale’ licentie GPL vallen, las ik bij Webwereld. Duqu blijkt open source blokken te bevatten van derden en die licentie te negeren.

Tsja, wat moet je met zo’n berichtje? Ik noem het maar ‘grappig’, wanthet is ergens wel grappig om te denken dat malwaremakers die economische spionage en mogelijk zelfs hardwarevernielingen gaan veroorzaken een opensourcelicentie zullen respecteren. Gelukkig dus maar dat er “This post is for fun, don’t take it too seriously,” bij staat.

En dan maar doorpakken op een stukje irritatie van mij: je kunt in situaties als deze de GPL niet schenden, want de GPL is niet bindend als je je er niet aan houdt. Je pleegt auteursrechtinbreuk, natuurlijk, maar eisen dat iemand de GPL naleeft is onmogelijk. Tenzij iemand gezégd heeft de GPL te willen naleven en vervolgens dat blijkt niet te doen.

In maart hadden we nog een discussie over GPL bij tablets, waarbij de discussie was of je als koper de GPL kon afdwingen. Dat kan (via een derde-begunstigde discussie) maar wél moet dan eerst vaststaan dat de verkoper zich aan de GPL heeft gebonden.

Het enkele feit dat iemand GPL-licensed code verspreidt, is nog geen bewijs dat hij zich aan de GPL heeft geconformeerd.

Arnoud

Werkelijk niemand heeft trek in de cookiewet

Geplaatst op in Ondernemingsvrijheid, Privacy, 133 reacties

Er viel niet aan te ontkomen gisteren: de cookiewet is van kracht. Vanaf gisteren is het verboden cookies te plaatsen zonder toestemming (behalve voor “functionele cookies”, maar dat is hooguit 1% van de cookies). En prompt gaat iedereen als kip zonder kop rondrennen alsof ze niet al twee jaar hadden kunnen weten dat dit eraan zat te komen en ze nú acuut failliet gaan omdat het fundamenteel onmogelijk is om aan die wet te voldoen.

Maar toegegeven, het ís ook een rare wet. Het idee is leuk (bescherming tegen nare spionagebestandjes en meer algemeen het “wat moet dat op mijn pc”-gevoel), maar een uitwerking die gebaseerd is op het idee dat de gemiddelde internetter een zorgvuldige studie maakt van een cookieverklaring en daarna een weloverwogen beslissing maakt om al dan niet het cookie te accepteren, is gedoemd te falen. Op internet geldt: leg mensen een vraag voor in een popup en ze klikken “ja”. Oh sorry, ben ik nu weer te cynisch?

Weinig sites – tot en met de overheid zelf aan toe – lijken daadwerkelijk van plan iets te gaan doen met de cookiewet. Bij Opta.nl krijg je cookies zonder dat daarom gevraagd is, Rijksoverheid.nl idem, en ook de commerciële jongens en meisjes zetten gewoon vrolijk cookies alsof het niets kost. De enige opmerkelijke uitspringer was Fok!.nl, dat je een buitengewoon lompe tussenpagina geef en eist dat je toestemming voor hun cookies geeft.

Om de reden (update inmiddels aangepast, zie ook de reactie van Fok!-directeur Roodbol in de comments) moest ik erg hard lachen:

De reden dat FOK.nl alleen bezocht kan worden als je aangeeft alle cookies te accepteren, is dat het voor ons onmogelijk is te garanderen dat er geen cookies geplaatst worden. Onze bezoekers kunnen bijvoorbeeld zelf reacties plaatsen waarin plaatjes opgenomen kunnen zijn. Zelfs via die plaatjes kunnen er cookies op jouw computer terechtkomen.

Van alle redenen waarom je mensen zou willen weren die geen cookies accepteren, is dit zo ongeveer de enige die gewoon écht nergens op slaat. Ten eerste: Fok! is niet aansprakelijk voor zulke cookies, omdat zij geen kennis daarvan heeft of hoeft te hebben. Net zoals ze niet auteursrechtelijk aansprakelijk is voor de plaatjes zelf.

Ten tweede: het is juridisch volstrekt onmogelijk om toestemming te geven voor “alle cookies”, zeker als je daar ook cookies onder rekent die mogelijk gezet gaan worden door vage plaatjeshostingsites die je bezoekers uitzoeken. Toestemming moet namelijk specifiek zijn, en “ik wil alles” is niet specifiek.

Ik ben eerlijk gezegd vooral benieuwd hoe lang ze het volhouden – en of andere sites ze gaan volgen. Want ergens zie ik het nog wel werken bij een communitysite (behalve dan bij nieuwe leden), maar bij een nieuwssite is het commerciële zelfmoord. Vandaar dat Telegraaf.nl niet verder gaat dan een banner aan de bovenkant van de site, overigens met een impliciete toestemming die volgens mij niet geldig is in Nederland. En Nu.nl heeft alleen een opt-outmelding in haar privacy- en cookiebeleid (“Je hebt op dit moment één actief cookie, klik op opt-out om jouw keuze te wijzigen.”).

En de oplettend klikkende lezer is het wellicht al opgevallen: ja, we hebben een nieuwe site – Cookierecht.nl. Met zo ongeveer alles dat we de afgelopen tijd hebben geschreven over cookies, en heel wat meer ook.

Arnoud Arnoud

Twitters nieuwe privacybeleid

Geplaatst op in Privacy, 3 reacties

Twitter heeft een nieuw privacybeleid, las ik bij de EFF. Zowel EFF als Twitter zelf beschreven enkele nieuwe mogelijkheden voor het bedrijf, zoals het kunnen doen van gepersonaliseerde volgsuggesties. Dat wilde ik graag even bij de bron nazien, maar hoewel Twitter netjes de oude privacybeleiden (privacybeleids? Ruud H, help!) is er geen track changes te vinden. Dan maar even zelf door de documentvergelijker gehaald. Het blijft irritant.

De meeste wijzigingen zijn cosmetisch: zinnetjes zijn herschreven, bijvoorbeeld van “we use your information to provide and measure use of our Services and improve them over time” naar “use your information below to provide our Services and to measure and improve them over time.” Daar zie ik het nut niet van, maar soms levert het een verduidelijking op, dus nou ja.

Inhoudelijk zijn er een paar nieuwe dingen, met name de “Log Data” clausule:

Log Data: Our servers automatically record information (“Log Data”) created by your use of theThird Party Services. Log Data may include information such as your IP address, browser type, operating system, the referring web page, pages visited, location, your mobile carrier, device and application IDs, search terms, and cookie information. We receive Log Data when you interact with our Services, for example, when you visit our websites, sign into our Services, interact with our email notifications, use your Twitter account to authenticate to a third-party website or application, or visit a third-party website that includes a Twitter button or widget. Twitter uses Log Data to provide our Services and to measure, customize, and improve them. If not already done earlier, for example, as provided below for Widget Data, we will either delete Log Data or remove any common account identifiers, such as your username, full IP address, or email address, after 18 months.

Kortom, wat verzamelen wij en wanneer gooien we dat weer weg. Dit is erg netjes en hoort eigenlijk in ieders privacyverklaring te staan. Widget data wordt daar nog eens apart bij uitgewerkt. Die tekst laat ik even weg want het ís al zo’n lap. En dat is eigenlijk meteen het nadeel aan privacyverklaringen: je moet heel veel uitleggen waar eigenlijk de bezoeker niet op zit te wachten.

Twitter verklaart nu ook als nieuw item dat ze zich houden aan de US Safe Harbor, oftewel Europeanen kunnen nu persoonsgegevens laten verwerken door Twitter zonder zich grote zorgen te maken over de Amerikaanse privacywetgeving.

Het stukje over de suggesties staat er inderdaad ook:

We may use your contact information to help others find your Twitter account, including through third-party services and client applications. Your account settings control whether others can find you by your email address or cell phone number. You may choose to upload your address book so that we can help you find Twitter users you know. We may later suggest people to follow on Twitter based on your imported address book contacts, which you can delete from Twitter at any time.

Heel spannend lijkt het mij allemaal niet, dergelijke suggesties zijn voor mij niet een reden om Twitter niet meer te gaan gebruiken. Of mis ik nu een ernstige privacy-invasie?

De EFF meldde dat Twitter nu Do Not Track gaat ondersteunen, maar dat staat niet echt duidelijk in het privacybeleid. Ik dénk dat dit het is:

You can instruct your browser, by changingediting its settingsoptions, to stop accepting cookies or to prompt you before accepting a cookie from the websites you visit. However, some Services may not function properly if you disable cookies.

Ik vind “editing settings” wel een érg vage verwijzing naar “do not track”, hoewel ik niet weet hoe ik het beter kon omschrijven als ik niet expliciet “do not track setting of your browser” mocht schrijven. Want ik gok dat Twitter niet zó specifiek wilde zijn in een juridisch document.

Overigens is het eigenlijk fout om nieuwe bevoegdheden op te eisen in een privacybeleid. Een privacystatement, privacy policy, privacybeleid of hoe je het maar wilt noemen is een beschrijving van wat je doet, verplicht op grond van de Wet bescherming persoonsgegevens. Maar zeggen wat je doet betekent niet dat je het mág doen. Je zult apart moeten kunnen aantonen dat je die bevoegdheid hebt, het liefst doordat er apart toestemming voor gegeven is.

Arnoud

Verboden te hyperlinken naar de UEFA

Geplaatst op in Iusmentis, 24 reacties

uefa-tc.pngIk heb het onder “Grappig” gerubriceerd maar het is natuurlijk om te huilen: het is verboden te linken naar de website van de UEFA zonder hun voorafgaande schriftelijke toestemming. De gebruiksvoorwaarden van de site zijn daar heel duidelijk in. Duidelijk, maar ook dom: hoe kan ik me akkoord verklaren met voorwaarden waarvan ik het bestaan helemaal niet wist?

Het is volstrekt legaal om te hyperlinken naar eender welke URL op internet, bepaalde de Hoge Raad al in 2003. Er zijn uitzonderingssituaties, maar dan moet je denken aan het dieplinken naar streams of downloads waardoor je overlast (datapieken) veroorzaakt, of aan linkverzamelingen waarvan je weet dat ze structureel en systematisch verwijzen naar illegale uploads. Bovendien, websitedisclaimers zijn niet bindend dus die tekst voegt niets toe.

Pas als je je registreert, en daarmee expliciet akkoord gaat met de voorwaarden, zou men eventueel naleving van deze voorwaarde kunnen afdwingen. Alleen kan ik eigenlijk geen situatie bedenken waarin de UEFA redelijkerwijs zou kunnen willen dat mensen níet naar hen linken én zo’n belang zwaarder zou wegen dan de vrije meningsuiting van die mensen.

Ik kan me echter niet voorstellen dat de betrokken UEFA-jurist ook maar één seconde hierover nagedacht heeft. Ik weet zeker dat dit een kwestie “maak even een disclaimertje” was, waarbij men gewoon wat stoer-juridisch bedoelde teksten bij elkaar plakte. Dat schijnen mensen belangrijk te vinden; niet voor niets draait onze disclaimergenerator elke dag nog steeds overuren terwijl de teksten eigenlijk juridisch nul waarde hebben. Disclaimers juridisch masturberen noemen is vast té grof voor de maandagochtend?

Arnoud

Gaan we weer: de voorwaarden van Microsoft’s So.cl

Geplaatst op in Informatiemaatschappij, 6 reacties

socl.pngAls jullie er moe van worden moet je het maar zeggen, maar het blijft me fascineren waar de juristen van internetbedrijven elke keer weer mee komen als er nieuwe diensten worden gelanceerd. Want ja daar moeten voorwaarden bij en laten we het nog maar een keer opnieuw opschrijven, op een net wat andere manier en we streven naar helderheid maar ja het moet ook juridisch kloppen natuurlijk. En we horen het wel of er bezwaren zijn. Meest recente voorbeeld is So.cl van Microsoft, een sociaal netwerk waar zoeken, netwerken en delen van content gecombineerd worden.

Microsofts voorwaarden zijn netjes opgezet, met een duidelijk kopje en dan toch een poging tot leesbaar Engels. ??n een waarschuwing bovenaan:

This contract limits our liability and disclaims warranties for the service to the maximum extent permitted by law. Please read these sections of the contract carefully.

Het meeste is standaard: gedraag je, upload geen porno en schend geen auteursrechten. Let op je account. Oh, en je gaat akkoord met de Bing voorwaarden want wij plakken Bing-zoekresultaten op je pagina.

Opmerkelijk is dat men wél rekening lijkt te hebben gehouden met de brouhaha die andere diensten steeds over zich heenkrijgen als het gaat over auteursrechten van de gebruikers. Er staat standaard in zulke voorwaarden “je blijft eigenaar maar wij mogen alles”, maar Microsoft is er iets beperkter in: men houdt het bij “to the extent necessary to provide the service.” En dat is zoals het hoort.

Een paar dingen zijn op zich ook standaard maar doen wel de wenkbrauwen fronsen:

  • Microsoft may change this contract at any time without notice. If you do not stop using the service, your continued use of the service will be under the changed contract.
  • We may change the service or delete features at any time and for any reason . We may cancel or suspend your service at any time.
  • If you give us feedback, you give Microsoft, without charge, the right to use, share and commercialize your feedback in any way and for any purpose.

Daar is geen woord juridisch aan, zou ik zeggen. Enerzijds schrik je er wel van dat men zó eenzijdig die rechten voorbehoudt, anderzijds is het verfrissend dat men zó duidelijk daarover is. Nu alleen nog mensen zo ver krijgen dat ze niet denken “ach dat zal wel meevallen” maar gaan piepen. Oh sorry, ik was even optimistisch.

Arnoud

Kun je worden verplicht in te loggen op je internetbankieren?

Geplaatst op in Security, 63 reacties

bank-inloggen.pngHm, intrigerende samenvatting van een rechtszaak: “De stelling van appellant dat vanwege veiligheidredenen niet van hem kan worden verlangd in te loggen op een computer van de gemeente, kan niet worden gevolgd.” Dit in het kader van een procedure over een bijstandsuitkering, waarbij de instantie toegang wilde tot de bankgegevens om te zien of meneer daar daadwerkelijk recht op heeft.

Sinds eind 2007 ontving deze man een bijstandsuitkering, maar na “een signaal van het Inlichtingenbureau” dat hij zo’n 17.000 euro op de bank zou hebben staan wilde men dat toch eens nader onderzoeken. Men verzocht hem dan ook langs te komen met e-dentifier en dergelijke, zodat op kantoor eens kon worden nageplozen in hoeverre dat signaal juist was. Dus ja, “mogen wij even op uw bankrekening kijken hoe dit zit”.

De man weigerde, met een beroep op zijn privacy maar ook met het argument dat de medewerkers van de gemeente zo méér konden zien dan ze met papieren afschriften hadden kunnen zien. Want daar kun je immers irrelevante boekingen zwartmaken. Daarop werd de uitkering ingetrokken met een beroep op het niet nakomen van de inlichtingenplicht.

Wie een bijstandsuitkering aanvraagt, is op grond van de Wet werk en bijstand (Wwb) verplicht alle inlichtingen te geven die “van invloed kunnen zijn op zijn arbeidsinschakeling of het recht op bijstand.” De ambtenaar mag daarom vragen en dan moet je dat afgeven. Het overhandigen van bankafschriften valt daar gewoon onder, bepaalde de Raad eerder. Je mag het weigeren, maar dan mag men de uitkering stopzetten.

Wel is het vast beleid dat je in zo’n geval op de afschriften irrelevante informatie mag zwartmaken, tenzij gegronde redenen bestaan om de uitgaven in te zien, bijvoorbeeld bij een vermoeden van fraude. Dat werkte vroeger omdat je dan authentieke bankafschriften had via de bank. Maar nu met internetbankieren is het allemaal wel érg makkelijk om even wat getalletjes bij te stellen voordat je op de printknop drukt, dus vandaar dat het beleid nu is dat je ter plekke even moet komen internetbankieren.

Is het nu een securityrisico dat je bij de gemeente moet gaan internetbankieren op een brakke Windows XP computer waarvan je geen idéé hebt hoe veel trojans en keyloggers erop staan? Niet volgens de Raad, hoewel dan vooral omdat hij niet had onderbouwd welke risico’s er konden spelen. En ik kan me die ook wat moeilijk voorstellen want overboeken etcetera kan niet zonder zo’n one-time code dus je keylogt maar een eind weg.

Ook de privacy wordt niet op een ontoelaatbare wijze geschonden, aldus de Raad. Natuurlijk, het gaat in tegen de privacy dat men kijkt hoe veel geld je op de bank hebt, maar bij bepaling van het recht op bijstand is dat een essentieel noodzakelijk gegeven en dan is meekijken dus wél toegestaan.

Ik snap de frustratie van de man maar ik zou eerlijk gezegd ook niet weten hoe het anders moet. Jullie wel?

Arnoud

Mag de Nederlandse overheid in clouddata graaien?

Geplaatst op in Ondernemingsvrijheid, 36 reacties

cloud.pngHet is onmogelijk data in de cloud te beschermen tegen toegang door overheden, las ik bij Webwereld. Elk land kan zich toegang verschaffen tot data, ongeacht waar de opslagservers staan, niet alleen de Amerikanen met hun Patriot Act. Dat was de conclusie van een onderzoek van advocatenkantoor Hogan Lovells naar internationale bevoegdheden in (straf)wetgeving.

De conclusie van Hogan Lovells komt kort gezegd neer op dat elk land bevoegdheden heeft om data te vorderen van providers, dus ook bij cloudproviders. En die bevoegdheden vermelden nooit de beperking dat de data fysiek in het eigen land moet staan. Zo bepaalt onze wet in artikel 126nd Strafvordering:

In geval van verdenking van een [ernstig misdrijf] kan de officier van justitie in het belang van het onderzoek van degene van wie redelijkerwijs kan worden vermoed dat hij toegang heeft tot bepaalde opgeslagen of vastgelegde gegevens, vorderen deze gegevens te verstrekken.

Update (14:01) En verderop in 126ng Strafvordering staat het voor providers meer relevante artikelen.

In geval van verdenking van een misdrijf als omschreven in artikel 67, eerste lid , dat gezien zijn aard of de samenhang met andere door de verdachte begane misdrijven een ernstige inbreuk op de rechtsorde oplevert, kan de officier van justitie, indien het belang van het onderzoek dit dringend vordert, van de aanbieder van wie redelijkerwijs kan worden vermoed dat hij toegang heeft tot gegevens als bedoeld in de laatste volzin van het eerste lid, deze gegevens vorderen, voor zover zij klaarblijkelijk van de verdachte afkomstig zijn, voor hem bestemd zijn, op hem betrekking hebben of tot het begaan van het strafbare feit hebben gediend, of klaarblijkelijk met betrekking tot die gegevens het strafbare feit is gepleegd.

Dit artikel wordt bijvoorbeeld ingezet om kopieën van mailboxen te krijgen bij een provider. Het moet gaan om een ernstig misdrijf, staat hier, maar verderop staat dat het óók mag bij minder ernstige misdrijven en bovendien moet mits dan maar de rechter-commissaris zijn goedkeuring geven. En volgens artikel 126ne kan men de provider ook verplichten om toekomstige data op te slaan en af te geven. Dit mag niet worden gemeld aan de verdachte.

Is dit nu ernstiger dan de Patriot Act? In eerste instantie, já. Immers bij ons kan een officier van justitie bij een ernstig misdrijf zelfstandig besluiten dat hij wil datagraaien, terwijl in de VS die officier een rechter uit z’n bed moet bellen. Behalve dan bij een National Security Letter, waarbij alleen achteraf gerechtelijke toetsing plaatsvindt, daar mag dus ook in de VS zonder rechter worden gegraaid. Alleen mag een NSL formeel alleen bij terroristische misdrijven worden afgegeven, hoewel dat dus niet te controleren is.

Maar de Amerikanen kunnen het ook bij data die niet fysiek in de VS staat, zo gaat het verhaal. Nou, dat kan bij ons ook. Er moet natuurlijk een linkje zijn naar jurisdictie van Nederland, maar de plaats van de server is niet in z’n eentje beslissend voor die vraag. Een Nederlands hostingbedrijf dat een bevel krijgt om een mailbox af te geven, gaat écht niet wegkomen met “sorry de server staat fysiek in Duitsland”.

Het zal wel aan mij liggen, maar het rapport leest héél erg als een Amerikaanse jijbak op alle verwijten dat de USA PATRIOT ACT ongecontroleerd graaien in clouddata mogelijk maakt. Tegelijkertijd is het een feit dat ook andere overheden de nodige bevoegdheden hebben, ook in Europa. En, belangrijker, dat niemand écht weet hoe dit uitpakt bij clouddata, omdat er niets over gepubliceerd of geprocedeerd is. Er zit een héle grote mate van speculatie en FUD in dit hele debat.

Arnoud