Mag een bedrijf nog wel pakketten diep inspecteren?

Geplaatst op in Ondernemingsvrijheid, Privacy, 17 reacties

dpi-deep-packet-inspectionRecent is netneutraliteit expliciet wettelijk vastgelegd. De Eerste Kamer moet er nog over stemmen, maar dat lijkt slechts een hamerstuk te gaan worden. De reden voor deze unieke wetgeving is vooral de heisa rond de bekentenis van KPN dat ze hun netwerkverkeer via DPI inspecteerden.

Regelmatig krijg ik mails van bedrijven die zich afvragen of dit betekent dat zij ook het internetverkeer van en naar hun bedrijven neutraal moeten behandelen. In principe niet. Netneutraliteit is geformuleerd als een eis aan aanbieders van “openbare elektronische communicatienetwerken waarover internettoegangsdiensten worden geleverd”. Een bedrijf is, net als een vereniging, geen provider zolang ze niet het algemene publiek het internet laat opgaan.

Een bedrijf is dus niet gehouden om zich netneutraal op te stellen, en mag internettoegang filteren op elk criterium dat haar goeddunkt. Ook mag ze internetgebruik monitoren en filteren, hoewel ze dan rekening moet houden met de privacy van medewerkers.

Eén opmerkelijk punt is het “openbreken” van beveiligde verbindingen. Het is technisch mogelijk voor een bedrijf om een geavanceerde firewall te installeren die ook SSL-beveiligd verkeer kan onderscheppen. De firewall doet zich naar bedrijfscomputers voor als bijvoorbeeld Gmail of Facebook (inclusief certificaat dat de bedrijfscomputer als veilig accepteert), en naar Gmail toe als de computer van de eindgebruiker. Technisch gezien gaat het dan om vervalste certificaten (ik hoor diverse lezers nu “Diginotar” mompelen, inderdaad), maar binnen een bedrijf is dat minder een probleem.

Al het netwerkverkeer naar Gmail of Facebook komt nu op de firewall binnen en kan daar onversleuteld worden bekeken voordat het wordt doorgestuurd – of wordt weggegooid omdat het niet aan het bedrijfsbeleid voldoet. Ook kan er precies worden gelogd welke gebruiker hoe lang op welke dienst zit, welke bijlagen hij verzond via Gmail, of hij de bedrijfsnaam noemde in een statusupdate of Facebookchatbericht, en ga zo maar door.

Ik denk dat dit wel mag, mits je maar als bedrijf in je reglement (internetprotocol) duidelijk hebt aangegeven dat je dit doet en voor welke redenen. Plus, je mag natuurlijk niet verder gaan dan nodig is voor die redenen. Ben je bang dat er bedrijfsgeheimen lekken, dan is een dagelijks rapportje over wie hoe lang farmvillet natuurlijk nergens voor nodig. Mails waarin het omzetcijfer van het eerste kwartaal genoemd wordt, zouden daarentegen gerede vragen mogen oproepen bij het management.

Wel zou ik vooraf een duidelijke belangenafweging willen zien. Is het nu écht nodig om iedereen digitaal te fouilleren bij elk bezoekje aan een socialemediasite? Doe je dat aan de poort ook, als mensen naar huis gaan? Het lijkt me dat je alleen digitaal mag fouilleren onder dezelfde omstandigheden dat je dat ook aan de poort zou doen. De diamantslijper of de accountant die je jaarcijfers aan het opmaken is, mag verwachten dat zijn tas (en jaszak) extra goed gecontroleerd wordt, net als de researchmedewerker die aan een nieuw prototype werkt. Maar de receptioniste fouilleren lijkt me héél moeilijk uit te leggen. Digitaal én bij de poort.

Arnoud

Hoe kom je van de Telefoongids af?

Geplaatst op in Iusmentis, 42 reacties

stapel-telefoonboeken.jpgIeder jaar opnieuw propt dat televerkoopteam dat de Telefoongids volbelt met advertenties weer een complete boom in uw brievenbus, schreef GeenStijl gisteren. Ik verbaas me ook elke keer weer waarom ik nog dat papieren ding krijg, en ik ben lang niet de enige. De gids komt zelfs binnen bij mensen met een NEE/NEE sticker op de deur, dus nu wordt het juridisch interessant: mag dat wel, dan? Of moet het zelfs van de Telecommunicatiewet?

Om met dat laatste te beginnen: nee, het bezorgen van papieren gidsen moet helemaal niet van de Telecommunicatiewet. Die wet bevat inderdaad regels over gedrukte telefoongidsen. Artikel 9.1 bepaalt dat voor iedereen tegen een betaalbare prijs en met een bepaalde kwaliteit een gedrukte telefoongids beschikbaar moet zijn. Het Besluit Universele Dienstverlening en Eindgebruikersbelangen (Bude) werkt dit nader uit. Zo moet in ieder geval naam, adres, postcode, plaats en telefoonnummer in de gidsvermelding staan en moet de gids ten minste eenmaal per jaar geactualiseerd worden.

Nergens staat echter dat iedere Nederlander een gids onder de neus geduwd moet krijgen. Dat is een manier om te zorgen dat die gids beschikbaar is, maar niet de enige. Op aanvraag toesturen is ook een manier. Via de telecomprovider opt-in of opt-out vragen bij aangaan abonnement ook. Maar verboden is het op zich ook niet.

Wél is er sinds enkele jaren het uitgebreide spamverbod. En dat lijkt me óók voor papieren reclame te gelden, maar dan omgekeerd: je mag ongevraagde commerciële uitingen versturen totdat de ontvanger zich afmeldt (artikel 11.7 lid 5 Tw). Voor telefonie is dat geregeld via het Bel-me-niet-register, maar voor de post is zo’n register er niet. Ja, er is het Postfilter maar dat heeft geen wettelijke status – een bedrijf is niet verplicht dat filter te controleren. Wel moet de bezorger de NEE/NEE of NEE/JA sticker honoreren, want de wet zegt dat je “via het Bel-me-nietregister of anderszins” je bezwaar kunt uiten.

Je kunt je natuurlijk afvragen of een telefoongids wel onder “ongevraagde commerciële uiting” valt. Het is primair een naslagwerk. Maar hij staat wel vol advertenties, en dat geeft het toch weer een commercieel karakter. Als iemand ongevraagd telefoongidsen met advertenties ging rondmailen, zou iedereen meteen op de achterste benen staan en roepen dat dit spam is.

Wie van de gids afwil, kan dat via dit afmeldformulier doorgeven. Waarom je daar je telefoonnummer en e-mailadres moet doorgeven, is me echter een raadsel. De zin eronder zegt

Uw gegevens worden alleen gebruikt voor de verwerking van uw afmelding en niet voor andere doeleinden.

maar hoe gebruik je mijn e-mailadres bij het verwerken van de mededeling “ik wil geen telefoongids voor mijn deur gedumpt”?

Arnoud<br/> Foto: huppetee weg ermee die telefoongids! van ‘CatChat.nl’.

Ben je aansprakelijk voor retweets?

Geplaatst op in Uitingsvrijheid, 9 reacties

Een lezer vroeg me:

Als fanatiek twitteraar zie ik regelmatig leuke of intrigerende tweets van anderen voorbij komen. Die retweet ik dan naar mijn eigen volgers. Maar word ik dan aansprakelijk (of zelfs strafrechtelijk te vervolgen) als blijkt dat die tweet eigenlijk de wet schendt?

Het doorgeven van andermans uiting kan inderdaad tot aansprakelijkheid leiden voor de doorgever, hoewel dat zeker geen gegeven is. Alles hangt -grr- van de omstandigheden van het geval af.

In principe is retweeten niet meer dan citeren: je wilt andermans werk aankondigen of bespreken, en door het te retweeten breng je de informatie bij je eigen publiek onder de ogen. Er staat meteen een keurige bronvermelding bij. Je kunt er in vervolgtweets op doorgaan, of het laten bij de retweet om zo je publiek te wijzen op wat er gezegd wordt.

Maar met een retweet doe je ook impliciet een bepaalde uitspraak over de inhoud van die tweet. Je vindt die tweet relevant voor je eigen volgers, jouw publiek, en dat kan worden opgevat als dat jij je achter de inhoud schaart. Retweet je bijvoorbeeld een bericht waarin staat dat iemand een oplichter is, dan vind jij dat kennelijk ook. En als die tweet smadelijk blijkt, dan kun jij daar ook op aangesproken worden.

Een manier om dit te voorkomen, is duiding oftewel een eigen toelichting te geven bij de retweet. Niet alleen maar doorzetten maar meteen een toelichting erbij. In een vervolgtweet, of liever nog in de retweet zelf (als dat past). Al is het maar het woord “Schandalig”, het kan net genoeg zijn om aan te geven dat jij het juist oneens bent met de oplichtingsbeschuldiging.

De meest beruchte retweet (hoewel dan als screenshot, een soort van fotokopie) is natuurlijk die van internetfenomeen Bert Brussen. Hij postte een screenshot van een dreigtweet op zijn blog, met als enige toevoeging “Bedreigen doe je zo!”. Voor het OM was daarmee duidelijk dat Brussen zelf zo oproepen tot het keeldoorsnijden van Wilders, terwijl Brussen deze bedoeld had als ironische signalering van andermans dreigement.

Uiteindelijk werd hij niet vervolgd, mede vanwege een advies van dr. Alexander Pleijter, universitair docent journalistiek. Hij concludeerde:

Als we de context van het weblog van Bert Brussen in ogenschouw nemen dan kan geconcludeerd worden dat de herpublicatie van de dreigtweet niet bedoeld is om te dreigen, de bedreiging te ondersteunen of verder te verspreiden, maar om de negatieve bejegening van Geert Wilders aan de kaak te stellen. In eerdere blogposts ageerde Brussen meermaals tegen negatieve berichten over Geert Wilders. In dat licht is de publicatie van de dreigtweet te beschouwen als het wederom agenderen van negativiteit jegens Wilders.

Om te voorkomen dat de brenger van een boodschap al te snel strafrechtelijk kan worden vervolgd, is in de wet opgenomen dat men pas strafbaar is als er geen sprake is van zakelijke berichtgeving. Het kunnen brengen van nieuws is immers een belangrijk grondrecht – en dit geldt niet alleen voor massamedia, maar ook voor gewone burgers die feiten of meningen willen brengen.

De term “zakelijk” is vooral bedoeld om het onderscheid te maken met meer als columns of opiniestukken ingestoken berichten. In een dergelijk bericht moet de auteur zelf duidelijk stelling nemen en melden wat hij vindt van de uiting die hij overneemt. Wie een uiting niet alleen herhaalt maar ook laat blijken het ermee eens te zijn, bericht er niet zakelijk over.

Update (15:22) Ik vergeet helemaal dat vonnis van de Wereldomroep waarin ze niet aansprakelijk werd geacht voor voorgelezen SMS-jes. SMS voorlezen op de radio lijkt me wel de analoge variant van retweeten. De Wereldomroep hoefde gezien de formulering van de sms redelijkerwijs niet te beseffen dat de mededeling in de sms onjuist was of dat er wellicht een smadelijke bedoeling achter zat. En die regel lijkt me voor retweets ook prima.

Arnoud

Mogen proefabonnementen nu wel of niet stilzwijgend verlengd worden?

Geplaatst op in Informatiemaatschappij, 2 reacties

stilte-stilzwijgen-verlengen.jpgEen lezer vroeg me:

Recent werd ik lid van een dienst waarbij je elke dag gratis een proefmonstertje van een schoonheidsproduct toegezonden krijgt. Je moet dan op een website invullen hoe dat bevalt, maar het kost niets. Dacht ik, want in de laatste week las ik het contract nog eens door en op pagina 6 stond dat als ik niet deed, het contract zou worden omgezet in een jaarcontract waarbij de producten ineens wél geld zouden kosten. Ik was nog net op tijd met opzeggen. Maar is dat eigenlijk wel legaal, zo mensen iets gratis beloven en ze dan aan een jaarcontract hangen?

Of proefabonnementen stilzwijgend verlengd mogen worden, is onder de huidige wet onduidelijk. Veel rechtspraak lijkt van mening dat stilzwijgende omzetting van een proefabonnement niet redelijk is, maar een uitgemaakte zaak is het niet. Meestal verliest de abonnementsgever het omdat de omzetting te zeer verstopt is om bindend te zijn, of omdat de spelregels wel héél eenzijdig zijn opgesteld (“als u niet binnen 3 werkdagen na het eerste product van de 12 een notariële akte laat beteken door een deurwaarder die Feng Shui-gecertificeerd is, wordt het abonnement omgezet in een jaarcontract”).

Met de Wet Van Dam komt daar per 1 december verandering in. Proefabonnementen van dag-, nieuws, weekbladen en tijdschriften mogen niet langer automatisch tot verlenging leiden maar dienen na de proeftijd automatisch te eindigen. Het stilzwijgend omzetten van zo’n proefabonnement staat op de zwarte lijst: zo’n beding is dus altijd te vernietigen, ongeacht de reden waarom het bedrijf dit beding zou willen gebruiken. (Wel mag men natuurlijk vrágen of u het proefabonnement beviel en of u door wilt gaan, dat is geen stilzwijgende verlenging.)

Voor proefabonnementen in andere gevallen (bv. wekelijkse toezending van beautyproducten of een betaalwebsite) geldt dat zij wél stilzwijgend verlengd mogen worden. Echter, na stilzwijgende verlenging gelden de gewone regels uit deze nieuwe consumentenwet: de consument mag deze elke dag opzeggen, met een opzegtermijn van maximaal een maand.

En eventjes commercieel: met onze Wet Van Dam-generator maak je snel en voor slechts 45 euro algemene voorwaarden die Van Dam-conform zijn én rekening houden met bovenstaande regel over proefabonnementen.

Arnoud

De voorintekening voor het boek “Security” is geopend!

Geplaatst op in Iusmentis, 46 reacties

Over ongeveer vier weken is het te koop: ons boek Security: Deskundig en praktisch juridisch advies. We leggen nog de laatste loodjes aan de layout, maar de voorintekening is bij deze geopend!

Wie nu al het boek bestelt, krijgt het direct na levering door onze drukker in huis voor slechts 19,95 (inclusief BTW) en zonder verzendkosten (als je in Nederland woont).

Het boek telt zeven hoofdstukken:

  • Computervredebreuk
  • Virussen en malware
  • Aftappen van gegevensverkeer
  • Privacy en persoonsgegevens
  • Monitoren van ICT
  • Ethisch hacken
  • Forensisch onderzoek

In elk hoofdstuk bespreek ik in duidelijke taal wat de wet er over zegt en wat dat betekent voor de praktijk. Is portscannen computervredebreuk? Mag je virussen verspreiden die malware juist verwijderen? Is Lektober legaal? Is identiteitsdiefstal strafbaar? (De antwoorden, in willekeurige volgorde: ja, nee, nee, nee.)

Bekijk ook de previews die we al eerder twitterden: de cover, pagina 2 en pagina 84.

Het boek kost 19,95 euro. Voorintekenen gebeurt via ICTRecht. Bij bestelling van ALLE boeken betaalt u 98,77 euro inclusief BTW en géén verzendkosten.

Arnoud

Hoe voorkom ik claims over foto’s van mijn gebruikers?

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 13 reacties

klacht-complaint.jpgVele lezers vroegen me:

Ik beheer een forum/webstek waar leden foto’s kunnen plaatsen. Iedereen mag zelf kiezen wat hij of zij plaatst, maar als ik ongepaste foto’s zie (of een klacht krijg) dan grijp ik natuurlijk wel in. Nu had ik gehoord dat ik als beheerder toch aansprakelijk ben, en dat ik claims van partijen als Getty kan krijgen. Klopt dat? Hoe kan ik dit oplossen?

Een forumbeheerder neemt inderdaad een risico als hij gebruikers toestaat foto’s te plaatsen. Wanneer de fotograaf daar geen toestemming voor heeft gegeven, is de publicatie op het forum een inbreuk op het auteursrecht. De plaatser is daarvoor aansprakelijk, maar de beheerder kan zomaar óók aansprakelijk zijn.

De wet bevat sinds eind jaren negentig een uitzondering voor partijen die informatie van een ander opslaan en doorgeven, waar een forum zich op zou moeten kunnen beroepen. Dergelijke partijen zijn niet aansprakelijk voor die informatie, zo staat in de wet, mits ze de informatie maar niet selecteren of wijzigen. Maar diverse rechtszaken hebben deze uitzondering behoorlijk uitgekleed. Zodra je actief gaat modereren, of gaat meediscussiëren, vindt de rechter dat je niet meer zo’n passief doorgeefluik bent.

Fotosite ShowBizNewz was aansprakelijk voor foto’s die gebruikers uploadden, omdat zij gebruikers uitnodigde foto’s te uploaden en er bedacht op had moeten zijn dat op die foto’s vaak auteursrecht zou rusten (omdat het celebrityfoto’s waren). De rechtbank oordeelde daarbij:

Het is aan [ShowBizNewz] om haar bedrijf zodanig in te richten dat zij maatregelen treft ter voorkoming van inbreukmakende handelingen. Daarbij kan bijvoorbeeld gedacht worden aan de mogelijkheid degene die een foto als hier bedoeld op de site van [ShowBizNewz] plaatst na een toelichting vooraf te laten verklaren dat hij of zij de rechthebbende op die foto is. De in de voorwaarden van [ShowBizNewz] opgenomen disclaimer is daartoe in ieder geval niet voldoende.

Dat suggereert dat je een eind zou moeten kunnen komen met een aanvinkvakje “Ik verklaar deze foto zelf gemaakt te hebben” of tekst van gelijke strekking. Maar uiteindelijk gaat het nooit alléén om een tekstje, het gaat om de gehele indruk die een site maakt. En als evident is dat het aanvinkvakje er puur voor de vorm staat en iedereen donders goed weet dat de feitelijke situatie anders ligt, dan ga je als forum nog steeds nat.

Het forum Internetoplichting werd in eerste instantie aansprakelijk gehouden, maar dat werd later teruggedraaid. Daarentegen was de Pompengids weer niet aansprakelijk voor informatie geplaatst door haar leden (pompverkoopbedrijven). Zij mocht afgaan op de juistheid van wat die leden verklaarden, en er waren hier genoeg legitieme redenen denkbaar waarom een lid zou verklaren een bepaald type merkpomp te verkopen zonder toestemming van de merkhouder (met name parallelle import daarvan, wat legaal is maar merkhouders niet leuk vinden).

Soms is de foto om een andere reden legaal. In de Maroc-arrest bepaalde het Hof dat het overnemen van een nieuwsbericht met foto legaal kan zijn als citaat, wanneer het artikel de functie heeft van discussie-inleider en de foto daaraan bijdraagt. Wel moet dan natuurlijk de naam van de fotograaf genoemd zijn, want bronvermelding is verplicht bij beeldcitaatrecht.

De persexceptie wordt ook veel genoemd, maar die is effectief dood. En bovendien is een forum gewoonlijk geen “persmedium”. Een forum brengt geen nieuws maar laat mensen hooguit discussiëren over nieuws.

Veel fotografen sturen de beheerder gewoon de factuur in plaats van uit te zoeken of deze wellicht niet aansprakelijk is. Een voor beheerders vervelende maar wel legale manier van werken: de uploader/gebruiker is niet te identificeren, en bovendien moet de beheerder bewijzen dat hij zich kan beroepen op de beperking van aansprakelijkheid, anders is hij gewoon aansprakelijk voor foto’s van zijn leden. Tenzij natuurlijk een wettelijke uitzondering zoals citaatrecht geldt – maar ook dat moet de forumbeheerder stellen en bewijzen.

Arnoud

“Verkeersovertreding fotograferen voor Twitter is strafbaar”

Geplaatst op in Privacy, 44 reacties

belgisch-nummerbord.pngMag dat, een voertuig fotograferen dat te snel rijdt of een gevaarlijk manoeuvre uitvoert? En mag je die beelden dan online plaatsen? Neen, zegt de Belgische Privacycommissie (hun College Bescherming Persoonsgegevens) tegen De Standaard. “Er bestaat zoiets als het recht op afbeelding: je mag alleen een foto van een ander publiceren met diens toestemming’, zo wordt men geciteerd.

Achtergrond van deze zaak was een een werknemer van Fabricom die met zijn bedrijfswagen veel te snel reed. Daar werd over getwitterd mét foto:

tweet-fabricom.png

Een nummerbord is een persoonsgegeven, want het is tot de bestuurder/eigenaar van de auto herleidbaar. In België meer dan bij ons, omdat daar het nummerbord, eh de nummerplaat dus aan de eigenaar gebonden is en niet aan de auto. Maar ook in Nederland kun je formeel het nummerbord zien als persoonsgegeven. Het identificeert misschien van tijd tot tijd verschillende personen, maar dát maakt niet uit. Zolang het op enig moment enige persoon identificeert, is het op dat moment een persoonsgegeven. Dus ja, precies zoals IP-adressen persoonsgegevens zijn. (Hela, een vergelijking tussen internet en auto’s die nog klopt ook.)

Raar is wel dat iets dus een persoonsgegeven is zodra iemand het gegeven kan vertalen naar een natuurlijk persoon. Voor nummerplaten is de hulp van de DIV nodig, en die krijgt alleen de overheid zelf. Voor IP-adressen is de provider nodig. Maar dat maakt niet uit: als er een pad is dat met ‘redelijke’ inspanning tot identificatie leidt, dan is het gegeven een persoonsgegeven. In het absurde doorgetrokken is het getal 315 dus een persoonsgegeven – als ik erbij zeg dat dit een klantnummer is van één van mijn klanten. Jullie mogen het nummer 315 nu dus niet meer gebruiken zonder zijn toestemming.

Foto’s zijn overigens ook persoonsgegevens. De regels voor een foto zijn dus hetzelfde als voor een naam. Voor foto’s bestaat al langer het portretrecht, maar wanneer het portretrecht wordt ingeroepen vanwege privacyoverwegingen dan komt dat op hetzelfde neer als inroepen van de Wet bescherming persoonsgegevens.

Wanneer je persoonsgegevens op internet zet, ‘verwerk’ je die in de zin van de privacywet (bij ons de Wet bescherming persoonsgegevens en in België de Wet tot bescherming van de persoonlijke levenssfeer). Uitgangspunt is dat je dan toestemming nodig hebt van de betrokkene, of een contract met hem hebt op grond waarvan de verwerking noodzakelijk is. Het enkele feit dat de persoonsgegevens in een openbare bron te vinden zijn, is niet genoeg om ze te mogen hergebruiken in een andere context.

Als er geen toestemming is, dan is er echter nog een escape: wanneer de verwerking “noodzakelijk is voor de behartiging van het gerechtvaardigde belang van de verantwoordelijke” én dat belang zwaarder weegt dan de privacy, dan mag de verwerking alsnog. Ook zonder toestemming. De vrije meningsuiting is het bekendste voorbeeld van zo’n belang. Oftewel: als het genoeg nieuwswaarde heeft om iemands persoonsgegevens te gebruiken, dan mag het. Bij ons werd op die grond Blik op de weg toegestaan beelden van verkeersovertreders uit te zenden, hoewel daarbij de gezichten en de kentekenplaat waren gemaakt. Wegmisbruikers maakt sowieso altijd nummerplaten onherkenbaar als er geen toestemming is.

De vraag is dus: mag je iemands nummerbord twitteren als je meent dat die auto een verkeersovertreding begaat?

Die melding heeft enige nieuwswaarde, want het is een opmerkelijk feit dat nog niet bij het publiek bekend was. Je bent immers in ieder geval journalistiek bezig wanneer je

de bekendmaking aan het publiek van informatie, meningen of ideeën tot doel hebt, ongeacht het overdrachtsmedium. Deze activiteiten zijn niet voorbehouden aan mediaondernemingen en kunnen een winstoogmerk hebben.

Daar staat tegenover dat de nieuwswaarde niet héél groot is, en je je kunt afvragen of bij het nieuwsfeit de identiteit van de persoon wel relevant is. Dat zal van de persoon afhangen lijkt me. Als je Koos Spee met die snelheid voorbij ziet scheuren, mag je dat zeker melden. Ben ik het, dan is het discutabel (een jurist heeft voorbeeldfunctie, maar is mijn verkeersgedrag relevant voor wat ik doe?). Is het een willekeurige burger, wat is dan het belang van diens naam noemen?

Wellicht dat je soms kunt spreken van een “educatief belang”, zoals ook in de Blik-op-de-wegzaak:

Voor zover [eisers] vreest als wegmisbruiker te boek te zullen staan, weegt dit individuele belang (dat vrijwel voor alle voor “Blik op de weg” gefilmde verkeersovertreders geldt) niet op tegen het door Leo de Haas c.s. mede gediende algemene belang van een educatief programma.

Het ‘gewicht’ van het persoonsgegeven lijkt me ook relevant. Hoe sneller iemand te identificeren is of hoe meer het gegeven zegt over iemand, hoe ernstiger de privacyinbreuk als het gegeven zomaar wordt verwerkt. Dat getal 315 ergens noemen schaadt de privacy van mijn klant niet. De nummerplaat is in België aan de persoon gekoppeld, en niet aan de auto, dus daarmee is een dergelijke tweet eerder te herleiden tot die persoon dan in Nederland. Immers, er hoeft maar één publicatie ooit te zijn geweest waarin de koppeling is gedaan (een autotekoopadvertentie van jaren terug) en de link is nu gelegd.

Hoewel, in dit geval gaat het natuurlijk om een bedrijfsauto en dat nummer is dus gekoppeld aan het bedrijf. Alleen zéér indirect – door de interne administratie van de werkgever – is de natuurlijke persoon zelf nog te identificeren. Daarmee zou het privacybelang voor mij erg laag zijn. De nieuwswaarde is echter ook niet erg hoog. Beide kanten zijn daarmee verdedigbaar, maar van mij zou dit moeten mogen.

Arnoud

Facebook: “Uw persoonsgegevens zijn ons handelsgeheim”

Geplaatst op in Privacy, 8 reacties

WTF-momentje op de vrijdagmiddag dat ik het las: Facebook weigert inzage in persoonsgegevens van hun gebruikers omdat afgifte daarvan hun handelsgeheimen in gevaar zou brengen.

De groep Europe versus Facebook had een campagne opgezet waarbij alle Europese Facebookgebruikers opgeroepen werden om een inzageverzoek te doen onder de privacywet van alle persoonsgegevens die Facebook van ze had. Facebook is verplicht daaraan mee te werken, en biedt daarvoor dit formulier, maar beriep zich tegenover enkele Ierse verzoekers op een uitzondering in de Ierse privacywet die handelsgeheimen beschermt.

De basis van het inzageverzoek is het recht van inzage, bij ons artikel 35 Wet bescherming persoonsgegevens. Dit recht bepaalt dat iedereen het recht heeft te vragen “of hem betreffende persoonsgegevens worden verwerkt.” Als dat zo is, dan moet de verantwoordelijke daarvoor “een volledig overzicht daarvan in begrijpelijke vorm” verschaffen, met onder meer het doel van de verwerking, de soorten gegevens, de ontvangers (of soorten ontvangers) en alles dat hij heeft over de herkomst van de gegevens. Een flinke bult gegevens, volgens bronnen tot een gigabyte groot.

Lid 4 van dit artikel bepaalt dat men óók moet vertellen op welke manier men gegevens verwerkt:

Desgevraagd doet de verantwoordelijke mededelingen omtrent de logica die ten grondslag ligt aan de geautomatiseerde verwerking van hem betreffende gegevens.

De beheerder van het bestand mag een verzoek alleen weigeren als het disproportioneel grote lasten op zou leveren. Hij mag bovendien geen hoge administratiekosten rekenen ” de wet noemt expliciet een bedrag van 5 euro als maximumvergoeding voor het afhandelen van een dergelijk verzoek. Dat er mogelijk een hoop moet worden gekopieerd of uitgetypt, maakt het verzoek nog niet meteen disproportioneel, zo besliste de Hoge Raad in de Dexia-zaak. Daar werd overigens ook bepaald dat het oproepen tot het massaal doen van verzoeken géén misbruik van het recht is. De Privacy Inzage Machine van Bits of Freedom is dus volstrekt legaal (en deze verkapte oproep om ‘m te gebruiken dus ook).

De Ierse wet bevat nog een specifieke uitzondering voor dat “logica”-lid:

Subsection (1) (a) (iv) of this section is not to be regarded as requiring the provision of information as to the logic involved in the taking of a decision if and to the extent only that such provision would adversely affect trade secrets or intellectual property (in particular any copyright protecting computer software).

Deze uitzondering staat bij ons niet in de wet, maar hij is terug te vinden in de privacyrichtlijn, overweging 41, dus in de praktijk mag de rechter deze uitzondering toch toepassen bij ons.

Men mag dus inzage weigeren in de logica als dat handelsgeheimen in gevaar zou brengen. Daar kan ik me nog wel iets bij voorstellen. Maar het moge duidelijk zijn dat inzage weigeren in persoonsgegevens zelf met een beroep op dit artikel niet kan. Je bent dan misschien het product van Facebook, maar dat product heeft wel het recht te weten wat er precies van hem wordt verkocht en aan wie.

Arnoud

Is onze vereniging een internetprovider?

Geplaatst op in Ondernemingsvrijheid, 29 reacties

internet-scouting.pngEen lezer vroeg me:

Sinds kort hebben wij internet in ons scoutinggebouw en wij waren benieuwd waar wij ons wettelijk aan moeten houden op het moment dat wij internet aan gaan bieden aan groepen en individuen, die ons scoutinggebouw huren.

Hij is niet de eerste die me de vraag stelde: ook cafés, bibliotheken, bedrijvengebouwen en allerlei andere clubs en instanties die internet willen bieden aan bezoekers, worstelen met de vraag waar ze zich aan moeten houden.

De belangrijkste vraag als je internet gaat aanbieden, is aan welke groep je dat gaat doen. Wanneer die groep neerkomt op “eigenlijk heel Nederland”, dan krijg je te maken met de Telecommunicatiewet. Deze bepaalt namelijk dat mensen die “in het openbaar” internet aanbieden, zich moeten registreren. Ook moeten ze dan aan allerlei eisen voldoen, zoals het aftapbaar maken van hun netwerk en zorgen dat ze aan de wet bewaarplicht voldoen. Het maakt hierbij niet uit of je geld vraagt voor de toegang tot internet of niet.

In de SURFnetzaak werd echter bepaald dat wanneer men internettoegang beperkt tot een “voldoende afgebakende groep” (zoals studenten van hoger onderwijs), je niet onder deze wet valt. Vorig jaar hadden we nog de nodige ophef over hotels als internetaanbieder, maar dat liep met een sisser af. Wie de toegang beperkt tot “leden van onze vereniging” of “klanten/bezoekers van onze faciliteit” zou dan ook niet tegen de Telecommunicatiewet moeten aanlopen.

Een ander punt van zorg is aansprakelijkheid. Die leden, klanten of bezoekers gaan wellicht gekke dingen uithalen, en dan komt de politie (of stichting Brein of andere procedeergrage figuren) natuurlijk in eerste instantie bij de organisatie uit. Gelukkig is daar een wettelijke regeling voor: wie slechts passief toegang tot internet biedt, en niet gaat filteren of redactioneel selecteren wat mensen wel of niet mogen doen, is niet aansprakelijk voor dat geïnternet.

Daarbij geldt overigens niet dat je verplicht bent om te weten wie je gebruikers zijn of wat ze doen. Je hoeft dus niet te loggen of identificatie te vragen van mensen die je netwerk op willen. Het kan wel verstandig zijn, al was het maar omdat het afschrikt of je de mogelijkheid biedt om mensen gericht af te sluiten omdat ze de dienst misbruiken.

Als je echter gaat loggen en met name als je persoonsgericht gaat monitoren of filteren, dan kom je in de privacygevarenzone: de Wet bescherming persoonsgegevens verbiedt het arbitrair volgen of monitoren van personen, ook als ze jouw internetverbinding gebruiken. Op zijn minst moet er dan een reglement zijn dat zegt wat je allemaal doet en wanneer mensen gemonitord worden. Maar “ik mag alles en wel altijd” is daarbij géén acceptabele formulering. Persoonsgericht monitoren mag alleen bij een duidelijke concrete aanleiding.

Blokkeren of filteren van bronnen van ongewenst verkeer is daarentegen wel legaal én verstandig. Je bent niet verplicht om ongefilterd internet aan te bieden. Ook de regeling over aansprakelijkheid schrijft niet voor dat je alles moet doorlaten. Een generieke blokkade (bijvoorbeeld de dienst MSN of het netwerk Tor) tast je positie niet aan.

Er zijn technisch allerlei slimme trucs om het aanbieden van internet te faciliteren en te beveiligen. Denk aan aparte netwerksegmenten of wachtwoorden die na een half uur vervallen, of het geautomatiseerd afknijpen van mensen die te veel downloaden. Daar hebben jullie meer verstand van dan ik 😉 maar dergelijke trucs toepassen is legaal. Dat is immers geen persoonsgericht monitoren.

Arnoud<br/> Afbeelding: Internet Scouting, dat me overigens niet de vraag stelde.

Aangifte tegen een spamzwartelijstbeheerder

Geplaatst op in Ondernemingsvrijheid, 34 reacties

a2b-spamhaus.pngA2B Internet uit Purmerend doet aangifte tegen spambestrijder Spamhaus, die de isp zou hebben afgeperst met een denial-of-service aanval tegen zijn klanten. Dat schreef Webwereld maandag. Spamhaus meldde dat er een IP-adres onder beheer van A2B werd gebruikt om te spammen, en eiste een blokkade. A2B vond dat de blokkade te breed was, waarop Spamhaus heel A2B op de Spamhaus Block List zette. A2B beschouwde dat als “onterecht, onrechtmatig en zelfs strafbaar”.

Op zich staat het iedereen vrij om iedereen spammer te noemen, en om daar lijsten van te publiceren. Maar, zeker als je weet dat er mensen ook daadwerkelijk naar je luisteren, moet je enige zorgvuldigheid in acht nemen. Je lijst kan dan flinke gevolgen hebben, en die gevolgen kunnen onrechtmatig zijn.

In 2000 wilde de Vereniging tegen de Kwakzalverij “een zo objectief mogelijke lijst presenteren van de kwakzalvers die [in de 20e eeuw] de hoofdrol vertolkten”. Een orthomanueel genezer maakte bezwaar tegen vermelding in de lijst, omdat hij naar eigen zeggen absoluut geen kwakzalver was. De Hoge Raad oordeelde dat de lijst legitiem was als vrije meningsuiting, met name omdat de Vereniging een eigen duidelijke definitie had geschreven waar de genezer aan voldeed.

Het Hof Amsterdam oordeelde dit jaar dat een site die een zwarte lijst met artsen publiceerden, de teksten van een bepaalde arts offline moest halen. Men schreef onder meer “maakt zich schuldig aan fraude, mishandeling, het toebrengen van zwaar lichamelijk letsel, het achterlaten van een hulpbehoevende in nood en doodslag c.q. moord op termijn”. Een foto van de man (met balkje) was er naast gezet. Dat ging te ver: met zúlke zware beschuldigingen moet je uitkijken.

De vraag is dus, mag Spamhaus zo verkondigen dat A2B een spammer of spammerhulpje is. Spamhaus publiceert een lijst criteria, en die komt neer op:

SBL listings are based on evidence which has satisfied the SBL team that the IP address or IP range is under the control of a spammer, spam operation or a spam support service and represents an unwanted nuisance or threat to mail systems using the SBL.

In dit geval komt het bewijs neer op één bericht van een derde dat hij een spambericht had gehad uit een IP-range van A2B, meer precies van diens klant CB3ROB (wat deze ontkent in de comments bij Webwereld). Of je op die basis zó ver moet gaan dat je de hele IP-range van A2B moet blokkeren, is een goeie vraag. Aan de ene kant lijkt die maatregel me evident disproportioneel. Aan de andere kant lijkt A2B niets gedaan te hebben met de eerste klacht, en het is algemeen bekend dat partijen die niets doen met spamklachten daar vaak zelf een belang bij hebben. Hoewel het dan vaak gaat om notoire “bulletproof hosters” en vergelijkbare onfrisse types, en er is absoluut geen bewijs dat A2B notoir spamfaciliteerder zou zijn.

Update (16:53) zie hieronder het commentaar van CB3ROB.

Het lijkt me dus dat Spamhaus wel iets netter te werk had kunnen gaan. Mijn sympathie voor A2B wordt echter een stuk minder als ik dit soort dingen lees:

Hierdoor kan men dus spreken van een bewuste denial of service attack vanuit Spamhaus naar de klanten van A2B Internet om A2B Internet onder druk te zetten

De DoS-aanval waar men op doelt, is namelijk de publicatie SBL waar de IP-adressen op staan, zodat klanten van A2B niet meer konden mailen of gemaild worden. Maar dat is wettelijk gezien geen denial of service, aangezien de definitie daarvan is “de toegang tot of het gebruik van een geautomatiseerd werk belemmeren door daaraan gegevens aan te bieden of toe te zenden” (art. 138b Strafrecht).

Ik krijg jeuk als mensen met zware wettelijke termen gaan gooien terwijl die evident niet van toepassing zijn. Ik zie werkelijk niets strafbaars aan wat Spamhaus heeft gedaan. Onrechtmatig, misschien. Maar aangifte? Denial of service? Kom nou toch.

Arnoud<br/> PS: mijn boek De wet op internet is tot 1 december met 20% korting te koop! 🙂