Dell doet een solid state OTTO

Geplaatst op in Informatiemaatschappij, 104 reacties

dell-prijs-besparing.pngGaan we weer een keer: nu is het Dell dat een hele strakke aanbieding doet en vervolgens annuleert omdat de prijs een fout lijkt te zijn geweest. Bij Tweakers hadden ze een aanbieding bij Dell ontdekt voor een XPS laptop met twee 512 GB SSD schijven voor 1099 totaal. Dat is wel héél mooi; die schijven op zich kosten al zo’n 1000 euro. De draad begint dan ook met “zal wel een foutje zijn” maar Dell verwerkt de bestellingen gewoon – en bevestigt desgevraagd dat de prijzen echt kloppen.

We stoffen het OTTO-arrest maar weer eens af. Bij prijsfouten, zeker naar consumenten, is de winkel verplicht te leveren tenzij de fout zo evident is dat je daar niet op mocht vertrouwen. Disclaimers en voorbehouden in de voorwaarden zijn irrelevant. Als de prijs ongeloofwaardig is, dan moet je navraag doen. In de OTTO-zaak was dat niet gebeurd, en daar ging men dus op onderuit.

Een beetje Tweaker weet dat het eigenlijk niet kan, 1000 euro aan SSD opslag als de laptop 1099 euro kost. Maar een échte Tweaker weet ook wel een verklaring waarom het wél kan: men kocht dit net wat oudere type groot in, en moet nu van de voorraad af.

En er stond wél bij dat het een speciale aanbieding was:

dell-speciale-aanbieding.png

Maar goed, dat kan een geautomatiseerde feature van de site zijn: is de prijs X eurolager dan de normale prijs, zet dan het plaatje “speciale aanbieding” erbij.

Kortom, navraag doen dus. En dan krijg je dus dit te horen:

dell-chat-bevestiging.png

En ja ik geloof onmiddellijk dat deze helpdeskdrone ook alleen maar op de site keek en niet zelf nadacht of navraag deed. Maar dát is echt het probleem van Dell. Je mag verwachten dat een helpdeskmedewerker bevoegd is om namens het bedrijf dingen te bevestigen of te ontkennen over producten bestellingen. (Niet natuurlijk als het een chatscript was.) Dus als die medewerker zegt “ja dat klopt wat op de site staat” dan heb je de verplichte navraag gedaan en mag je afgaan op de mededeling van de medewerker.

Een tijd geleden hadden we ook zoiets met Nokia, dat een aanbieding deed die ze niet wilden leveren. Ook daar werd bevestigd dat de site klopte, en ook daar werden de bestellingen vervolgens geannuleerd met “foutje, bedankt”. En ook toen wilden mensen graag naar de rechter om hun gelijk te halen. Alleen ging dat toen (zoals eigenlijk elke keer) als een nachtkaars uit.

Voor 1099 euro lijkt het me toch wel de moeite waard om eens een OTTO II arrest te gaan halen. Dus nogmaals, en nu écht: wie wil er naar de rechter, en welke jurist helpt (net als ik) mee met de dagvaarding en dergelijke?

Arnoud

Wat moet een forumbeheerder weggooien als je dat vraagt?

Geplaatst op in Uitingsvrijheid, 57 reacties

delete-user.pngZeer, zeer regelmatig krijg ik vragen van mensen die hun account op een of ander forum verwijderd willen hebben. Of van forumbeheerders die die vraag kregen en niet weten wat ze ermee moeten. Wat kun je eisen dat weg moet, wat mag een beheerder laten staan en wanneer wordt het moeilijk?

Op grond van de Wet bescherming persoonsgegevens (de “privacywet”) heb je het recht om te verzoeken dat je naam en andere persoonsgegevens uit bestanden worden verwijderd, als deze niet meer “ter zake dienen” zoals de wet dat noemt. Forumberichten zijn ook persoonsgegevens, omdat ze gekoppeld zijn aan je account. Ook als je echte naam er niet bij staat en ook als je een vaag Hotmailaccount hebt gebruikt en een proxy zodat niemand je IP-adres weet.

Wanneer zijn je postings niet meer “ter zake dienend”? Dat is een hele lastige. De privacywet werkt dat niet uit, omdat die er vanuit gaat dat dat eigenlijk vanzelf spreekt. Ben je ergens geen klant meer, dan zijn je adresgegevens niet meer ter zake dienend en die moeten dus op verzoek worden verwijderd. En heb je ooit toestemming gegeven om je naam ergens op een lijst te zetten, dan kun je die toestemming intrekken en dan is men in principe ook verplicht je naam te verwijderen.

Bij een forum speelt er meer. Je berichten zijn niet zomaar persoonsgegevens, het zijn óók bijdragen aan een discussie, ze maken deel uit van de gemeenschap die rond het forum is ontstaan. En daarmee gaat er een uitzondering uit de privacywet gelden: wanneer iemand een “eigen aantoonbare noodzaak” heeft om je persoonsgegevens te publiceren, dan kun je geen verwijdering daarvan eisen.

Die noodzaak is bij forums de vrijheid van meningsuiting, meer specifiek het belang om een compleet en begrijpelijk archief te kunnen publiceren. De integriteit van archieven zijn namelijk een essentieel deel van die vrijheid van meningsuiting. En die vrijheid is, net als privacy, een grondrecht. Dat betekent dat je niet kunt zeggen “mijn privacy, weghalen”, maar trouwens ook niet dat de beheerder altijd mag zeggen “vrijheid van meningsuiting, het blijft staan”. Er moet een balans worden gevonden tussen de belangen van beide partijen.

De privacytoezichthouder heeft in hun Richtsnoeren over privacy op internet uitgewerkt hoe die balans er in principe uit zou moeten zien. Kort gezegd komt dit op het volgende neer:

  • Wie op een forum post, geeft daarmee toestemming voor publicatie van de persoonsgegevens die hij in zijn berichten opneemt. Op die grond mag het forum de posts publiceren, verspreiden en archiveren.
  • De toestemming kan op elk moment worden ingetrokken. Het forum moet dan bepalen of ze nog een “eigen noodzaak” heeft om berichten te laten staan. Zo niet, dan moeten de berichten weg.
  • In principe bestaat die eigen noodzaak bij berichten die deel zijn van een discussie, want die discussie wordt anders onbegrijpelijk. Een los berichtje, bv. een tekst op de profielpagina, is geen deel van een discussie en moet dus in principe weg.
  • De naam en contactgegevens moeten echter worden verwijderd, het profiel moet dus worden geanonimiseerd. Men kan “gast” of “verwijderd account” of eventueel “Ex-gebruiker 651” gebruiken om de berichten alsnog een ‘eigenaar’ te laten hebben. Is de naam op zichzelf nieuwswaardig (bv. omdat veel mensen over die gebruiker discussiëren) dan zou de beheerder hiervan kunnen afzien, maar dat moet hij wel onderbouwen.
  • In bijzondere gevallen moeten berichten tóch weg als ze deel zijn van een discussie. Het beste voorbeeld is als er gevoelige medische gegevens in het bericht staan. Het privacybelang weegt dan meestal zwaarder dan de vrije meningsuiting.
  • Als het echter genoeg is om in zo’n geval te knippen in het bericht, dan hoeft het bericht niet weg. Iemand kan dus het feit dat zijn 06-nummer in het bericht staat, niet aangrijpen om het hele bericht weg te krijgen. Vervang gewoon het nummer door 06-********.
  • De bewijslast dat sprake is van een bijzonder geval ligt bij de gebruiker. Bij een verzoek tot verwijdering hoeft de beheerder dus alleen het profiel op te heffen, de gebruikersnaam te vervangen door “Ex-gebruiker 651” en eventuele profielteksten onzichtbaar te maken. Voor andere zaken moet de gebruiker aandragen om welke berichten het gaat, welke bijzondere situatie daar speelt en waarom weghalen belangrijker is dan de integriteit van het forum.

Oh ja, soms zie je dat forumeigenaren in hun huisregels expliciet bepalen dat bijdragen nooit worden weggehaald, of dat je eeuwigdurende toestemming onder de privacywet geeft. Dat kan niet: de privacywet is “dwingend recht” en kan niet via een contract opzij worden gezet. Toestemming kan altijd worden ingetrokken.

Ook fout is wat ik sommige forummers wel zie roepen: dat ze auteursrecht hebben op hun bijdragen en dat ze de licentie bij deze intrekken. Dat je auteursrecht hebt op teksten of foto’s klopt, maar de Auteurswet biedt niet zomaar een mogelijkheid om je licentie in te trekken.

Arnoud

Mijn Creative Commons foto wordt misbruikt!

Geplaatst op in Intellectuele rechten, 26 reacties

flickr-cc.pngEen lezer vroeg me:

Ik publiceer al jaren foto’s op Flickr.com vanuit mijn hobby van fotografie. Nu zag ik laatst dat een krantensite een foto had overgenomen. De foto is Creative Commons, maar ik had gekozen voor de Naamsvermelding-Nietcommercieel variant. En een krant is toch commercieel? Ik heb ze benaderd maar zij zeggen dat dit onder de persexceptie valt. Wat kan ik nu doen?

Een krant is zonder meer een commerciële instelling, ze verdienen immers geld met wat ze publiceren. Ze mogen dus geen foto’s publiceren die onder een Creative Commons-variant met “nietcommercieel” vallen.

De verwijzing naar de persexceptie is echt onzin. Die gaat over het overnemen van actueel nieuws uit de pers door de pers. Een foto zoals van de vraagsteller zal zelden of nooit nieuws zijn, dus dat beroep zal niet opgaan. En je kunt er voor de zekerheid nog even “Alle rechten voorbehouden” bij zetten, want dan geldt de persexceptie per definitie niet.

Je kunt dus eisen dat men de foto verwijdert. Een schadeclaim is lastiger, want wat is je schade als amateurfotograaf? In de al wat oudere Curry/Weekend-zaak werd daar eenvoudig over geoordeeld:

De commerciële waarde van de vier foto’s is echter gering te achten, nu zij reeds op internet voor eenieder toegankelijk zijn.

Ik denk dat daarbij ook meespeelde dat Curry niet aannemelijk had gemaakt dat hij op een of andere manier geld wilde verdienen met de foto’s. En wie zijn foto’s gratis weggeeft, kan niet klagen over gemiste inkomsten.

Tegenwoordig heeft Flickr een samenwerking met Getty (ieuw). Wie die optie kiest, kan Getty zijn commerciële rechten laten exploiteren. Dat zou een wezenlijk verschil kunnen zijn ten opzichte van de Curry-zaak. En wie niet met Getty in zee wil, kan er ook zelf bijzetten “Mail me voor de commerciële tarieven” of ergens een plaatje met die tarieven neerzetten. Want dan is de schade bij ongeautoriseerd commercieel gebruik eenvoudig: dat tarief.

Arnoud

Ben ik nu eigenaar van mijn Steam-spellen?

Geplaatst op in Ondernemingsvrijheid, 19 reacties

steam-gift.pngEen lezer vroeg me:

Vorige week bepaalde de Hoge Raad dat virtuele goederen te stelen zijn. Het argument was dat virtuele goederen zijn gemáákt om te worden verplaatst en weggegeven. Voor software gold dat niet, schreef je, omdat die onbeperkt te kopiëren zijn. Maar hoe zit het dan bij spellen die je via Steam afneemt? Die kun je niet kopiëren maar wel verkrijgen (tegen geld) of weggeven. En bij weggeven ben je ze zelf kwijt.

Vorige week bevestigde de Hoge Raad de veroordeling van twee jongens in een strafzaak over diefstal met geweld. Ze hadden een ander met het mes op de keel gedwongen virtuele goederen aan hen af te staan, en dat was inderdaad “diefstal” omdat die virtuele goederen “voor menselijke beheersing vatbare objecten” zijn. Hoewel het feitelijk ging om computergegevens, en computergegevens alleen maar te kopiëren zijn, was hier toch sprake van wegnemen – en wel omdat de site zo gebouwd was dat je alleen maar kon weggeven.

Spellen bij Steam verkrijg je ook op die manier. Na betaling verschijnen ze in je account, en je kunt ze niet kopiëren of verspreiden behalve op de manieren die Valve (het bedrijf achter Steam) heeft ingebouwd. Gifting is er daar ééntje van. Je kunt een spel kopen en weggeven aan een ander. Het idee is natuurlijk dat je dat vrijwillig doet, maar als iemand met een mes achter je staat en je dwingt die actie uit te voeren, dan heb je vrijwel exact dezelfde feiten als in dat arrest. Dus ja, games in Steam zijn “goederen” die kunnen worden gestolen.

Je kunt echter niet automatisch spreken van “eigendom” in de zin van het Burgerlijk Wetboek op grond van dit arrest. Het strafrecht heeft zijn eigen woordenboek, en het feit dat dat woordenboek een virtueel object een “goed” noemt betekent nog niet dat óók het woordenboek in het civiele recht dit zo bepaalt. Hoewel in de praktijk nu alle juristen dit wél zo gaan opvatten (het is immers ook best wel logisch om die terminologie te syncen) dus het zou me niets verbazen als over tien jaar virtuele objecten gewoon zaken zijn die je in eigendom krijgt.

En dan wordt het pas echt leuk, want bedrijven als Steam menen dat jij helemaal geen spellen ‘koopt’ in de zin van het wetboek. Je verkrijgt een gebruiksrecht, meer niet. En dat is opzegbaar wanneer de regels dat bepalen. Maar dát kan helemaal niet meer zomaar wanneer je gaat spreken van “eigendom” en “koop”. Als ik een spel koop, is het van mij. Dat het bij Valve opgeslagen ligt, is leuk, maar geeft hen niet het recht zomaar de eigendom terug te eisen.

Valve kan natuurlijk gaan spreken van huur, net zoals je spelletjes kon huren bij de videotheek. Maar ook huren is wettelijk geregeld, en triggert dus allerlei bepalingen die niet noodzakelijkerwijs prettig zijn voor de verhuurder, maar die van dwingend recht zijn en dus niet in de licentie mogen worden beperkt.

Bij Cordemeyer Slager analyseerden ze al eens wat ‘huur’ betekent voor Software-as-a-Service (wat Steam natuurlijk gewoon is). Zo is de verhuurder op verlangen van de huurder verplicht gebreken te verhelpen, tenzij dit onmogelijk is of uitgaven vereist die redelijkerwijs niet van de verhuurder kunnen worden verlangd. Oftewel, onderhoud zit bij de prijs inbegrepen. En je mag een korting op de huurprijs bedingen in het geval van vermindering van het huurgenot als gevolg van een gebrek in het gehuurde, oftewel bij bugs die het spelgenot bederven.

Dat lijkt me een héle leuke ticket voor de helpdesk van Valve.

Dezelfde analyse kun je denk ik loslaten op je muziekcollectie in iTunes, hoewel je daar de muziek op meerdere computers kunt zetten en er dus niet automatisch sprake is van “verplaatsen”. Netflix of Spotify is denk ik een iets beter voorbeeld, ook daar is sprake van 1-op-1 verkrijgen of verplaatsen. Dus ja, dit wordt nog intrigerend. Wie gaat er op promoveren?

Arnoud

Is een provider aansprakelijk voor malafide webshops?

Geplaatst op in Ondernemingsvrijheid, 27 reacties

Een lezer vroeg me:

Ik heb een klein hostingbedrijf, en heb met name webwinkels als klanten. Nu wees iemand me er laatst op dat een klant zich niet aan de wet houdt: hij vermeldt niet zijn adres en KVK nummer op de site. En die iemand meldde dat ik nu verplicht was die shop offline te halen. Klopt dat?

Een internet- of hostingprovider is niet aansprakelijk voor inhoud die zijn klanten plaatsen, mits ze zich niet met de inhoud bemoeien en mits ze optreden wanneer er klachten binnenkomen die “onmiskenbaar juist” zijn. Dus niet “kan kloppen” of “klinkt redelijk” of “na inwinnen van juridisch advies blijkt het te kloppen”, en al helemaal niet “nadat de rechter vonnist dat het juist is”, maar “je moet gewoon meteen weten dat dit klopt”.

Notice en takedown, zoals dit heet, wordt vaak geassocieerd met auteursrechten. Dat komt met name omdat vooral auteursrechthebbenden zulke notices sturen, hoewel ook een belangrijke factor is dat in Amerika alleen auteursrechten een grond kunnen zijn voor notice en takedown (dit op grond van de DMCA). Maar bij ons is elke vorm van onrechtmatig handelen in principe een grond voor een dergelijke notice, mits het handelen maar onmiskenbaar tegen de wet is.

En het klopt dat een webwinkel zijn naam, vestigingsadres, KVK- en BTW-nummers op de site moet hebben staan (art. 3:15d en 7:46c BW). Wie zich daar niet aan houdt, pleegt zelfs technisch gesproken een strafbaar feit – het weglaten van die informatie is een economisch delict (art. 1(1) Wed, voor 3:15d dan). Als je het opzettelijk weglaat, pleeg je een misdrijf; doe je het per ongeluk dan is het “slechts” een overtreding.

In de praktijk wordt dit artikel alleen gehandhaafd wanneer een bedrijf toch al de pineut is, bij bijvoorbeeld een optreden van de Consumentenautoriteit. Het gaat dan mee op het lijstje van de bestuurlijke boetes. Maar goed, dat neemt niet weg dat het een wetsovertreding is om die informatie niet te hebben, dus een klacht daarover lijkt me iets om mee aan de slag te gaan als hoster.

Het is mogelijk dat de klant een legitieme reden heeft om de informatie niet te plaatsen, dus ik zou niet meteen overgaan tot het op zwart zetten van de site. Wel zou ik de klant de klacht doorsturen en vragen waarom hij de wet niet naleeft. Komt er dan niets, dan moet je iets doen als hoster.

Maar wat? De hele shop op zwart lijkt me disproportioneel bij zo’n formele overtreding, maar het is het enige dat ik kan bedenken dat je zou kunnen doen. Een specifieke pagina weghalen is immers niet mogelijk (welke dan?) en zelf die informatie op de contactpagina invoegen is al helemaal ondenkbaar.

Arnoud

Ben ik strafbaar als ik een TOR exit node draai?

Geplaatst op in Ondernemingsvrijheid, 27 reacties

tor-on.pngEen lezer vroeg me:

Ben ik in Nederland strafbaar, of zou ik er problemen mee kunnen krijgen als, ik een Tor relay/bridge/exit-point opzet vanuit mijn flat? Mag dit van de wet?

TOR is een open netwerk voor anonieme communicatie, die werkt volgens het principe van Onion Routing. Heel in het kort: een berichtje wordt niet via één maar via meerdere tussenliggende servers doorgegeven. Elke server kan de buitenste laag lezen van het bericht dat hij ontvangt, en “pelt” deze eraf om het resultaat door te sturen. Het echte bericht zit dus helemaal diep in de kern verstopt, en tegen de tijd dat die kern is afgepeld, is alle informatie over de afzender wel verdwenen. Daarmee is in theorie haast volstrekt anonieme communicatie mogelijk.

De server die het TOR netwerk verbindt met het internet, heet de exit node. Dit zou een mailserver kunnen zijn die dan verbinding legt met ‘echte’ mailservers, of een server die pagina’s ophaalt van het worldwideweb, of juist informatie naar een website stuurt.

Het is op zich niet strafbaar om een TOR exit node te draaien. Het zou kunnen dat je provider het verbiedt in hun voorwaarden, dus dan zou je contractbreuk plegen. Maar het moet er dan expliciet staan, bv. als “Verboden je verbinding te sharen met derden buiten je huisgenoten”.

Het kan gebeuren dat iemand strafbare feiten pleegt via die exit node. Dan komt de politie uit bij jouw IP-adres en dan heb jij wat uit te leggen. Je bent niet automatisch strafbaar voor al hetgeen er via jouw exit node gebeurt. Voor strafbaarheid moet meestal sprake zijn van opzet, en anders minstens van (grove) nalatigheid. Zou iemand een smadelijk bericht posten via die exit node, dan ben jij daar niet voor vervolgbaar want jouw bedoeling was niet dat dat bericht geplaatst zou worden.

De wet kent echter ook het concept ‘voorwaardelijke opzet’. Kort gezegd “dat had je toch moeten weten dat dat kon gebeuren”, en in fraai juridisch “de aanmerkelijke kans aanvaardend dat”. Als je een exit node opzet die je zelf met firewallregels zo instelt dat hij alléén een Russische kinderpornosite kan bereiken, tsja dan aanvaard je de kans dat mensen kinderporno gaan opvragen of plaatsen. Ook als je mee gaat kijken met het verkeer over je exit node, en je ziet opvallend veel verkeer naar zo’n site, dan kun je strafrechtelijk aansprakelijk worden. Je weet dan dat de node misbruikt wordt, en dan moet je ook iets doen met die kennis.

De vraag is natuurlijk waar die grens ligt. Heb je voorwaardelijke opzet als je géén spamfilter instelt als je uitgaand SMTP verkeer faciliteert? Was het je bedoeling dat er auteursrechtschendende films verspreid worden als je een exit node maakt die naar Youtube mag en verder niets?

Er is nog nooit een rechtszaak geweest over iemand die alleen een TOR node opereerde, en ik denk ook niet dat het snel zal gebeuren. Maar ja, je neemt een risico.

Arnoud

Ik wil schadevergoeding van die spammer!

Geplaatst op in Privacy, 26 reacties

Regelmatig krijg ik vragen als de volgende:

Ik krijg een nieuwsbrief / reclame / promotiemails van een Nederlands bedrijf. Ik heb me daar nooit voor opgegeven (maar in het verleden wel ooit mee gemaild / iets gekocht). Afmelden lukt niet, of ze zeggen dat het gelukt is maar de mails blijven maar komen. Een klacht bij Spamklacht.nl leidt niet tot zichtbare resultaten. Kan ik nu zelf naar de rechter en een schadeclaim indienen?

Ja, als je ongevraagd commerciële communicatie krijgt zonder expliciete voorafgaande toestemming dan kun je naar de rechter om een verbod (met dwangsom) en een schadevergoeding te eisen.

Natuurlijk moet wel vaststaan dat er écht geen toestemming was, en ook dat de regels over het spammen van klanten niet gelden. Maar als een opt-out wordt genegeerd dan is eigenlijk altijd sprake van een wetsovertreding.

Het grote struikelblok is en blijft echter: wat is je schade? Als consument heb je die eigenlijk niet. Je verloren tijd is niets waard, het ontvangen en opslaan van de mail kostte je ook niets (wie wordt er gefactureerd per mail door zijn provider) en hinder is geen grond voor een claim. Emotionele schadevergoeding komt niet door de giecheltoets (zeg maar gerust de bulderlachtoets).

Een bedrijf op wiens platform wordt gespamd, kan via de algemene voorwaarden antispamboetes invoeren en incasseren. Een boete kun je namelijk opeisen ook als er geen schade is, gewoon omdat de boete vooraf afgesproken is en dús verschuldigd.

Maar als consument kun je niet met een bedrijf afspreken “ik geef u mijn mailadres en op elke spammail daarheen staat 500 euro”. Het lijkt me wel een goed idee als dat kon, maar zo werkt het niet helaas. Misschien maar in de Telecomwet zetten zoiets?

Arnoud

Mag mijn ex-werkgever mijn oude mailbox aanhouden?

Geplaatst op in Ondernemingsvrijheid, Privacy, 19 reacties

-''/Een lezer vroeg me:

Mijn ex-werkgever, waarvan ik een jaar geleden afscheid heb genomen, heeft mijn oude mailaccount nog steeds niet opgeheven. Af en toe komen daar nog berichten op binnen, ook betreffende mijn huidige werkzaamheden. Kan ik daar nu tegen protesteren? Het staat gek voor mijn huidige klanten, en privéberichten hoort hij natuurlijk al helemaal niet te lezen.

De balans zoeken tussen privacy en het werk blijft een moeilijke, zeker bij mailboxen. Ik krijg haast wekelijks vragen hierover, variërend van “mijn baas leest mee” tot “kan ik een kopie van mijn zakelijke mailbox krijgen” en alle gradaties daartussen.

Hoofdregel is, de mailbox is beschikbaar gesteld als bedrijfsfaciliteit en de werkgever beslist dus hoe deze wordt ingezet. De werkgever kan de mailbox opheffen als hem dat zakelijk gezien beter lijkt, bijvoorbeeld. Wél moet hij respecteren dat er enig (niet-overlastgevend) privégebruik van gemaakt wordt. Wie in de lunchpauze even mailt met zijn partner of om half vier een loodgieter mailt voor een offerte, valt arbeidsrechtelijk niets te verwijten.

Na einde dienstverband mag de werkgever natuurlijk de mailbox opheffen. Maar zakelijk gezien is het soms beter dat niet te doen: klanten en relaties hebben dat adres en zullen daar nog enige tijd op blijven mailen. Als dat werkgerelateerd is, moeten die mails bij de opvolger terechtkomen anders worden de klanten boos, en dat is een zakelijk belang.

Als het gaat om privémails dan mag de werkgever die inderdaad niet zomaar lezen, maar in deze situatie lijkt me dat haast onvermijdelijk. Een relatie een jaar terug mailt met een nietszeggend onderwerp (“Fwd: Re: Betr: agenda”), wat moet je dan als collega? Weggooien omdat het mogelijk privé is? Lezen omdat het mogelijk werkgerelateerd is?

Ik vrees dan ook dat je eventuele privacyschendingen in deze situatie voor lief zult moeten nemen. Mocht je dienstverband eindigen, dan kun je zelf al je privérelaties erop wijzen dat ze je op je nieuwe adres moeten mailen. (Of je gebruikt sowieso niet je zakelijk adres voor privézaken als dat enigszins haalbaar is, en wie het web op kan, kan ook Hotmailen of Gmailen of webmailen bij zijn privéprovider.) En als de opvolger dan evidente privézaken meteen wegklikt en bij zakelijke mails zegt “Piet werkt hier niet meer” dan zou het verder goed moeten gaan.

Heeft jullie bedrijf iets geregeld over dit onderwerp in het ICT-reglement?

Arnoud

Virtuele goederen én belminuten kun je stelen

Geplaatst op in Security, 51 reacties

second-life-mobiele-telefoon-diefstal.jpgVirtuele goederen, zoals de meubi’s bij Habbo en de amuletten in Runescape, kun je stelen. Dat wisten we al een tijdje maar de Hoge Raad geeft er nu definitief haar zegen aan. En op dezelfde dag bepaalt ze ook dat je belminuten en sms’jes kunt stelen. En dát was voor mij in ieder geval nieuws.

Om van diefstal te kunnen spreken, moet er een “goed” zijn, oftewel een voor menselijke beheersing vatbaar tastbaar iets dat kan worden weggenomen. Elektriciteit valt onder die definitie (prima te hanteren met rubber handschoenen immers), maar computergegevens niet (kopiëren is geen stelen, hoi Tim).

Op het eerste gezicht leek het dan ook gek dat bij een Habbo-zaak diefstal met geweld, oftewel beroving, ten laste werd gelegd. Twee jongens hadden een ander met een mes gedwongen zijn meubi’s af te geven in het spel namelijk. Maar zijn die meubi’s wel te stelen? Het zijn toch computergegevens in de servers van Habbo? Idem voor een Runescape-zaak met ongeveer dezelfde omstandigheden.

Ja, die dingen kun je stelen, aldus de rechtbank in beide zaken. Zulke virtuele goederen zijn gemáákt om te worden verplaatst en weggegeven. Daarmee zit de mogelijkheid van stelen (wegnemen) er in gebouwd. Even IT-technisch: wanneer een systeem alleen de atomaire actie “verplaatsen” kent en niet “kopiëren” dan is het diefstal de verplaatsbare objecten te verplaatsen zonder toestemming van hun eigenaar.

Voor virtuele goederen kan ik dat nog wel volgen, maar in een ander arrest bepaalde de Hoge Raad hetzelfde voor belminuten en sms’jes. In die zaak had een man een simkaart van een bedrijf weten te verkrijgen en was hij daarmee gaan bellen, wat opviel toen de rekening van ” 2.645,39 binnenkwam. Hij werd vervolgd, en wel voor diefstal – nee, niet van de sim maar van de belminuten en de 100 euro aan sms’jes.

Volgens het gerechtshof was er inderdaad sprake van diefstal, omdat belminuten en sms’jes gewoon ‘goederen’ zijn die je kunt wegnemen. Immers, wie ze gebruikt, maakt ze op, en ze vertegenwoordigen nog waarde ook. En “gelet op de functie die belminuten en sms-berichten in het maatschappelijke verkeer vertegenwoordigen” moeten we ze dus gewoon als goederen zien. De Hoge Raad is het daarmee eens, want

Ook een niet-stoffelijk object kan [onder ‘steelbaar goed’] worden begrepen, mits het gaat om een object dat naar zijn aard geschikt is om aan de feitelijke heerschappij van een ander te worden onttrokken.

En tsja, de mogelijkheid een sms-bericht te versturen (want daar komt het op neer) voldoet aan die definitie. Dat object, die teller in de databank bij de telecomprovider, ben je kwijt als het aangepast wordt in die databank. Sjonge.

Mijn oude prof aan de TU Eindhoven zei ooit “het verschil tussen hardware en software is dat hardware pijn doet als het op je voet valt”. Dat vond ik altijd wel een mooi criterium, ook voor de vraag of iets te stelen is. Maar juridisch gezien klopt dat niet meer; ook niet-tastbare zaken zijn dus prima te stelen als hun functie is dat ze kunnen worden verbruikt of verplaatst. Dataverkeer zal er zeker onder vallen nu, en credits in een spel ook.

Wie weet er nog meer dingen die volgens dit criterium kunnen worden gestolen?

Update (18 april): de Hoge Raad bepaalde vandaag dat ook credits gestolen (verduisterd) kunnen worden. Die credits konden worden gekocht via een telefoon en daarna doorgezet naar andere diensten.

Arnoud

Privacyfittie: Google versus de Europese Commissie

Geplaatst op in Privacy, 21 reacties

google-privacy.pngDit gaat nog leuk worden: Google en de Europese Commissie kwamen ongeveer tegelijkertijd met nieuwe privacyregels, maar ze gaan elk compléét de andere kant op. De EC heeft een machtig wapen ingevoerd: boetes tot 5% van de jaaromzet voor wie de privacywet negeert. Maar Google heeft ook een machtig wapen: uitsluiting van alle Googlediensten als hun privacyregels je niet bevallen.

Google heeft nu ongeveer zestig verschillende privacybeleiden en wil daar vanaf. Loffelijk, want er rammelde nogal wat aan die teksten. Dus nu maken ze één geconsolideerde tekst. En die rammelt gewoon in z’n eentje.

Korte samenvatting: wij verkrijgen gegevens van u, van anderen en wij leiden gegevens af van wat u allemaal doet (en wat u gebruikt en waar u bent). Wij gebruiken die voor onze diensten (joh), met name om je advertenties op maat voor te schotelen. We mogen informatie combineren, dus als we uit Gmail je echte naam halen dan mogen we die aan je andere profielen plakken en dat heb je maar te accepteren. Oh, en we geven geen informatie aan derden tenzij die zorgvuldig geselecteerd zijn en die zich beloven te gedragen. Bevalt u dat niet (“People have different privacy concerns”), dan kunt u opt-outen. Niet van alles; u kunt “bepaalde” zaken uitzetten, niet meer. Maar u mag natuurlijk altijd naar Bing.

Ongetwijfeld volstrekt toevallig verscheen het officiële voorstel voor de nieuwe Privacyverordening. Geen gedoe meer met nationale wetten maar gewoon één wet die in één klap alles regelt, zonder mogelijkheid om daar van af te wijken of aanvullende regels te stellen. Het zal vast geen verrassing zijn dat die regels compleet de andere kant op gaan dan waar Google heen wil.

Hoofdregel is dat je zo beperkt mogelijk met persoonsgegevens moet omgaan. Je moet specifieke en welomschreven doelen hebben, en gegevens mag je dan alléén daarvoor gebruiken. Daarbij moet je eigenlijk altijd toestemming hebben. Er is en blijft een uitzondering voor een eigen noodzaak, als die zwaarder weegt dan de privacy.

Er komen strakke informatieplichten, nog strakker dan we al hadden. Je moet kunnen inzien wat men over je weet (en dat moet je elektronisch kunnen opvragen), en je moet expliciet te horen krijgen hoe je daar correcties of verwijdering van kunt realiseren. Dat recht van verwijdering hadden we al, maar wordt nu enigszins melodramatisch omgedoopt tot “recht te worden vergeten” – de partij die je gegevens opsloeg, moet alle redelijke stappen nemen om je gegevens te wissen, inclusief verzoeken bij derden die de gegevens hebben overgenomen. Ja, daarmee bedoelen ze Google en andere mirrors, zoekindexen en archieven.

In de praktijk zal dat recht geen bal veranderen ten opzichte van wat we hebben (en maar goed ook). Er is namelijk een uitzondering: je hoeft gegevens niet te verwijderen als je gebruik onder de vrije meningsuiting valt. En in 95% van de gevallen willen mensen hun gegevens namelijk niet uit een databank hebben maar uit een forum, nieuwsartikel of blogarchief omdat de daarin geuite feiten hen niet meer bevallen.

En zoals gezegd staan er forse boetebepalingen in die de Commissie kan inzetten als bedrijven de regels negeren. Expliciet zijn die ook bedoeld voor internationale (lees: Amerikaanse) bedrijven die menen dat zij niet onder Europees recht vallen. Dus dat gaat nog leuk worden, want ik zie Google écht niet zomaar omrollen omdat de EC meent dat privacy een groot goed is en targeted advertenties eigenlijk maar smoezelige dingen zijn. Omgekeerd gaat de EC ook niet snel zeggen “oh, jullie zitten in Californië, nee laat maar dan, wij gaan eerst achter Ilse aan”.

Eerlijk gezegd vind ik beide aanpakken best wel slecht. Googles “wij mogen alles en als u dat niet bevalt gaat u maar lekker Bingen” is natuurlijk zo generiek dat het niet leuk meer is. Afgezien van zalvende woorden en een paar optoutaanvinkvakjes ben je op die manier compleet aan de zoekmachine overgeleverd. Maar wat de EC van plan is, zie ik ook niet werken. Zó veel invloed en controle bij mensen neerleggen is onwerkbaar, nog afgezien van het punt dat driekwart van de mensen (en dan ben ik positief) niet snapt wat er nu eigenlijk gebeurt en dus op voorhand overal maar mee akkoord gaat “anders doet ie het niet”.

Ik blijf erbij dat het beter is om het zo te doen:

  1. Je moet altijd dat categorisch kunnen weigeren (en toch de dienst kunnen gebruiken, mits dan tegen betaling);
  2. Je moet volledig disclosen wat je doet en waarom;
  3. Mensen moeten inzage krijgen in de data die je hebt en hoe je daar conclusies uit trekt;
  4. Als het niet klopt, moet je elke benadeelde burger 150 euro per fout voor betalen.

Arnoud