Nieuwe regels over elektronische documenten en voorwaarden

Geplaatst op in Informatiemaatschappij, 28 reacties

Excuses voor de vertraging, maar ik moest het even nazoeken. Zoals donderdag beloofd: wat is er per 1 juli gewijzigd over algemene voorwaarden en de rechtsgeldigheid van elektronische documenten?

De regels over algemene voorwaarden (art. 6:234 BW) zijn veranderd. Het wetsartikel is herschreven, met name om de leesbaarheid te vergroten (voor zover haalbaar, het is en blijft een draak van een artikel).

Een belangrijke wijziging is dat je nu ook bij “gewone” (niet-elektronische) contracten de algemene voorwaarden elektronisch mag aanleveren. Je mag dus een papieren contract tekenen (of een mondelinge overeenkomst sluiten) waarbij je de voorwaarden als PDF mailt. Wel vereist dit “uitdrukkelijke instemming van de wederpartij”. Het is dus niet toegestaan om in de algemene voorwaarden te zetten “Wederpartij verleent hierbij uitdrukkelijke instemming voor elektronische aanlevering van deze voorwaarden”. Niet dat dat veel mensen ervan zal weerhouden om het toch te doen (t-shirt voor de spotter van het eerste voorkomen hiervan.)

Een grotere wijziging is artikel 156a Rechtsvordering over elektronische akten – ondertekende geschriften die als bewijs dienen. Zo’n document mag nu ook elektronisch, mits (pas op, juridische mond vol):

het degene ten behoeve van wie de akte bewijs oplevert, in staat stelt om de inhoud van de akte op te slaan op een wijze die deze inhoud toegankelijk maakt voor toekomstig gebruik gedurende een periode die is afgestemd op het doel waarvoor de akte bestemd is te dienen, en die een ongewijzigde reproductie van de inhoud van de akte mogelijk maakt.

Ik kan daar niet veel meer van maken dan “je moet kunnen nalezen wat er getekend is” maar ongetwijfeld zitten hier heel veel nuances aan. Een PDF met elektronische handtekening voldoet aan deze eis.

Deze regels zijn ingevoerd op grond van het wetsvoorstel over elektronische aktes, dat met name bedoeld was om elektronische verzekeringspolissen mogelijk te maken. Logischerwijs is er dan ook een wetsartikel ingevoerd (art. 7:932 BW) dat zegt dat verzekeringspolissen nu elektronisch mogen. En dat gaat vrij eenvoudig met de bovengenoemde wijzigingen: die polis is een akte en moet dus voldoen aan de hierboven genoemde eis voor aktes, en de polisvoorwaarden zijn algemene voorwaarden en moeten dus voldoen aan de eisen van opslaanbaarheid. Plus, je mag bij een ‘gewone’ papieren polis nu met de verzekeringnemer afspreken dat de voorwaarden worden gemaild of te downloaden zijn.

Wel is er een extra eis aan de elektronische handtekening: die moet een “geavanceerdegekwalificeerde elektronische handtekening” zijn, en de mensen die weten wat dat betekent mogen nu de paracetamol grijpen. Inderdaad, dat is zo’n ding waarbij er geavanceerde wiskunde wordt gebruikt, een smartcard moet worden ingezet, een digitaal certificaat moet zijn verkregen en minstens 200 uren aan dure consultants moet zijn besteed voor het implementatietraject. Ik ben dan ook zeer benieuwd wanneer de eerste elektronische polissen daadwerkelijk aangeboden worden – en of ze ook echt gaan voldoen aan die voorwaarden.

Arnoud

Blizzard gaat echte namen weergeven in gamesfora

Geplaatst op in Privacy, 20 reacties

blizzard-real-id-real-name-echte-naam.jpgGamesaanbieder Blizzard (o.a. World of Warcraft, Diablo en StarCraft) gaat op haar online forums een wijziging doorvoeren waardoor alle posters verplicht met hun echte voor- en achternaam moeten posten, las ik bij Tweakers. Het doel van deze actie is kort gezegd de boel gezellig houden: door de anonieme nicknames die men nu graag gebruikt, loopt het getrol, geklier en geflame nogal de spuigaten uit. Blizzard is dat nu zat en voert daarom deze maatregel in.

Niet iedereen is daar blij mee, en lang niet alleen maar omdat ze dan niet meer kunnen trollen. Voor veel mensen is het een vervelend idee dat hun echte naam – en daarmee hun echte identiteit – ineens wereldwijd te zien is. Je kunt erop aangesproken worden op het werk (“haha, jij speelt World of Warcraft”) en mocht je iemand anders boos maken, dan weet hij nu hoe je heet en met enig googelen misschien ook waar je huis woont. Zeker als – zoals hier en daar wordt gemeld – Blizzard vervolgens je account koppelt aan je Facebook-account.

Nu is Blizzard een Amerikaans bedrijf, en de Amerikaanse privacywet kan worden samengevat als “zodra je met de buitenwereld interacteert, heb je geen privacy meer”, dus heel veel zal er niet aan te doen zijn. Maar hoe zou dat volgens de Europese privacyregels uitpakken?

Hoofdregel van de privacywet is hier dat je toestemming nodig hebt van de betrokkene, in dit geval dus de persoon die op het forum gaat posten. De richtsnoeren van het CBP vermelden hierbij:

Als het gaat om een openbaar toegankelijk discussieforum of gastenboek op internet, hoeft de verantwoordelijke echter niet expliciet toestemming te vragen voor publicatie van een reactie; hij mag er redelijkerwijs van uitgaan dat de betrokkene begrijpt dat de reactie op internet verschijnt.

Daarbij wordt echter vooral gedacht aan de situatie dat mensen zelf kíezen om hun naam (of andere dingen over zichzelf) in te vullen. Omdat de identiteit hier door het systeem van Blizzard wordt ingevuld, weet ik niet of die regel zonder meer opgaat.

Ik dénk dat het uiteindelijke wel mag, omdat Blizzard vooraf duidelijk genoeg meldt dat het gaat gebeuren. Niemand is verplicht de forums te gebruiken (ze staan los van de spellen). En de forums zijn niet dusdanig van levensbelang dat iemand per se anoniem moet kunnen posten daar.

Wanneer een site zó groot wordt dat het gebruik daarvan vrijwel onvermijdelijk is (zeg Hyves), dan zou dit wel eens anders kunnen liggen. Als zo’n site de regel invoegt dat iedereen met echte voor- en achternaam bekend moet zijn, dan word je namelijk wél gedwongen je identiteit te onthullen bij alles wat je online doet. Nu heeft World of Warcraft meer spelers dan Hyves leden, maar ik denk niet dat iemand kan zeggen dat het spelen van WoW (laat staan discussiëren op hun forum) onvermijdelijk is.

Update (12 juli) Blizzard ziet er vanaf naar aanleiding van massale protesten, pardon ‘feedback uit de gemeenschap’.

Arnoud

Hoe bied ik algemene voorwaarden ‘op te slaan’ aan?

Geplaatst op in Informatiemaatschappij, 62 reacties

Een lezer vroeg me:

Op grond van art. 6:234 lid 1 sub c BW wordt de gebruiker bij een elektronische overeenkomst verplicht om de Algemene Voorwaarden aan de wederpartij ter beschikking te stellen, en de mogelijkheid te bieden de AV ‘op te slaan’ en voor ‘latere kennisneming toegankelijk te maken’. Ik vraag me af wat men anno 2010 verstaat onder ‘opslaan’ en ‘latere kennisneming toegankelijk te nemen’. Wordt onder dit laatste alleen printen verstaan?

Allereerst: per 1 juli is artikel 6:234 op de schop gegaan. Het is nu gewoon “lid 2 BW” voor elektronische terhandstelling. Dit naar aanleiding van een wetswijziging die ook elektronische aktes mogelijk maakt. Maar daar kom ik morgen op terug.

De inhoud van dit wetsartikel is ongewijzigd gebleven: de voorwaarden moeten “kunnen worden opgeslagen en voor [de wederpartij] toegankelijk zijn ten behoeve van latere kennisneming”. Er staat nergens wat dit inhoudt. Er zijn wel wat rechtszaken geweest over elektronisch ter hand stellen, maar die gingen over de vraag of je mag volstaan met een hyperlink in plaats van een document meesturen (meestal niet).

Veel meer dan “de mogelijkheid moet redelijk zijn” (zie ook art. 6:2 en 6:248 BW) kan ik dan ook niet verzinnen. Ik vul dan ook altijd zelf maar in wat mij redelijk lijkt, en dat is in het algemeen een PDF omdat iedereen die wel kan openen, printen en opslaan. Een Word-document is irritant en wat mij betreft niet redelijk. Een aparte webpagina (mét gewoon alle knopjes, dus geen floepvenster) lijkt me ook wel in orde, hoewel ik een PDF zou aanbevelen omdat het opslaan van webpagina’s een wat moeizame gebeurtenis lijkt bij veel gebruikers. Een iframe (een stuk tekst met scrolbalken in een webpagina) lijkt me echt niet goed, lang niet iedereen weet hoe hij daar de tekst uit kan krijgen en kan bewaren.

Vuistregel: als de rechtermuisknop eraan te pas moet komen, dan is het niet redelijk.

Arnoud

Wanneer mag je nou op straat filmen (en dat op Youtube zetten)?

Geplaatst op in Privacy, Regulering, Uitingsvrijheid, 91 reacties

camera-foto-filmen-straat-openbare-weg.pngNaar aanleiding van GeenStijl’s berichtje van gisteren kreeg ik een hoop vragen over wat er nou wel en niet mag met filmen van mensen op de openbare weg. Ik geef dan ook maar even een samenvatting.

Hoofdregel is dat filmen en fotograferen op de openbare weg mag, omdat dat valt onder de vrijheid van informatiegaring (onderdeel van de vrije meningsuiting, artikel 10 EVRM). Gebruik je een aangebrachte camera, dan moet je mensen daarvoor waarschuwen voordat ze in beeld zijn. Bij een met de hand vastgehouden camera hoeft dat niet.

Mensen hebben portretrecht. Dat wil zeggen dat als er een “redelijk belang tegen publicatie” is, je het filmpje (of de foto) niet zomaar mag publiceren. Het wil niet zeggen dat ze het filmen of fotograferen zelf al mogen verbieden. Voor gewone mensen op straat lijkt het portretrecht niet zo sterk, hoewel daar de nodige juridische discussie over is. Voor politieagenten die gewoon aan het werk zijn, ben ik er vrij zeker van dat je ze gewoon mag filmen. Zolang je hem maar niet nodeloos hindert bij zijn werk, dus niet voor de voeten gaan lopen of een afgezet gebied betreden.

Zet je zo’n filmpje of foto online, dan kan het zijn dat je de agent onherkenbaar moet maken, zoals bleek in een rechtszaak over foto’s van flitsende agenten:

Niet alleen kan [appellant] in het kader van het kritisch volgen van het handelen van overheidsinstanties een (journalistiek) belang hebben bij de mogelijkheid op genoemde internetsite verslag te doen van de wijze waarop deze instanties een geval als het onderhavige behandelen. In hoeverre de foto’s aan dat verslag kunnen bijdragen, is een journalistieke beslissing waarin de rechter in beginsel niet dient te treden.

Film je heel intieme situaties, dan kán sprake zijn van een privacyschending. In ieder geval zul je zulke filmpjes niet zomaar kunnen publiceren.

In het filmpje waar het GeenStijl-bericht over gaat, lijkt een gesprek gefilmd te worden. Dat maakt het enigszins discutabel. Het heimelijk met een technisch hulpmiddel opnemen van een gesprek is namelijk strafbaar. Van een afstandje onopvallend filmen (met een goeie microfoon erbij) zou daaronder kunnen vallen.

Arnoud

De giecheltoets als uitleg van recht

Geplaatst op in Informatiemaatschappij, Iusmentis, 35 reacties

giggle-test-giecheltoets.jpgDe laatste tijd gebruik ik ‘m steeds vaker in presentaties en workshops: de giecheltoets. De giecheltoets is mijn vuistregel voor juridische argumenten: als je het argument niet kunt uitleggen zonder in lachen uit te barsten, of als je publiek het niet kan aanhoren zonder te gaan lachen, dan is het argument niet geldig.

Het gebeurt namelijk vaak dat mensen (opvallend vaak IT-ers) die een juridische regel horen, deze meteen tot het extreme gaan oprekken. Nou is stresstesten een goede zaak bij software, maar juridische regels zijn niet zo ontworpen. Die gaan uit van een redelijke en billijke omgeving, en regels tot in het extreme oprekken is gewoon niet de bedoeling. De consequentie van dat toch doen, is dat je een absurde uitkomst krijgt, en daar moeten mensen om lachen. Vandaar de giecheltoets.

In de VS bestaat de giggle test al, maar in Nederland heb ik hem nog niet aangehaald zien worden. Jullie wel? Of andere handige vuistregels?

Arnoud

Mag ik een bot voor een online spel maken?

Geplaatst op in Security, 13 reacties

botcraft-wow-spel-online-mmo.jpgEen lezer vroeg me:

Voor een massive multiplayer online strategy game heb ik een nieuwe userinterface ontwikkeld die inlogt (met je normale naam en wachtwoord) op de officiele servers en bepaalde taken in het spel automatiseert. Ik heb deze gemaakt door het netwerkverkeer te observeren, en heb geen code uit de officiële client gebruikt. Nu zie ik dat in de EULA van deze game staat dat je geen bots mag gebruiken, maar is het ook verboden voor mij om bots te verspreiden?

Ik denk niet dat het strafbaar is in de zin dat de politie je arresteert en je de cel in gaat. Wel zou het kunnen zijn dat de dienstaanbieder zegt dat je hen schade berokkent en dat jij die moet vergoeden.

Op zich is het niet verboden software te maken die samenwerkt met andermans software, zolang je geen code overneemt (copypaste of door reverse engineering). Je mag een protocol reverse engineeren en daar dan je eigen client of server voor schrijven, maar niet de client reverse engineeren en klonen. (In de Amerikaanse Glider-zaak ging het erom dat de bot de clientsoftware aanpaste als die in RAM geladen was. Ik vind dat hoogst dubieus als juridisch argument, maar goed dat geldt voor wel meer Amerikaanse zaken.)

Als je software beveiligingsmaatregelen omzeilt, met name als mensen gratis iets kunnen doen dat normaal geld kost, dan ben je mogelijk wel strafbaar. Er zijn regels in de Auteurswet over het omzeilen van kopieerbeveiligingen en ook strafwetten over het omzeilen van een beveiliging voor een betaaldienst.

De aanbieder zou kunnen zeggen dat jouw UI in feite een bot is waarmee mensen valsspelen. Dan kunnen ze je bot bannen. Als dat moeilijk blijkt (omdat jij cloakingtechnieken gaat inbouwen) dan zouden ze kunnen zeggen dat ze nu op kosten gejaagd worden om jouw bot te blokkeren en dat ze die op jou verhalen. Dat kan onrechtmatig zijn immers.

In de praktijk denk ik dat het in Nederland wel meevalt; men blokkeert de bot en gaat over tot de orde van de dag.

Arnoud

Ik wil niet op uw nieuwsbrief!

Geplaatst op in Informatiemaatschappij, 12 reacties

Een lezer vroeg me:

Regelmatig heb ik wel eens mail-contact met bedrijven (vaak MKB-bedrijven). Nu merk ik dat het de laatste tijd steeds vaker voorkomt dat ik meteen nadat ik mailcontact heb gehad, op hun nieuwsbrief geabonneerd bent. Mag dat eigenlijk wel?

Hoofdregel bij commerciële mail is dat je toestemming nodig hebt van de ontvanger voordat je deze mag sturen. De Telecommunicatiewet is streng en biedt maar weinig uitzonderingen op deze regel. Er zijn er grofweg twee:

  1. Contactgegevens die een bedrijf zelf publiceert voor dat doel.
  2. Contactgegevens die zijn verkregen in het kader van de verkoop van een product of dienst.

Bij de eerste uitzondering (die niet geldt voor contactgegevens van consumenten) moet je denken aan e-mailadressen als [email protected], [email protected] of [email protected]. Bij zulke adressen is het duidelijk wat daarheen mag, en daar is dus geen nadere opt-in voor nodig.

De nieuwsbrief van de vraagsteller valt daar niet onder, al was het maar omdat een mailtje sturen naar een bedrijf niet is voor het doel “op iemands nieuwsbrief komen”. Bovendien overkomt dit ook vaak particulieren, en die uitzondering geldt daar dus niet voor.

De tweede uitzondering zegt kortweg dat je je klanten mag spammen met reclame, mits je ze maar bij elke mail een opt-out biedt. Dat begrip ‘klant’ wordt hier dus opgerekt tot “iemand die ons mailde”. Dat gaat me nogal ver. De wet spreekt duidelijk van “in het kader van de verkoop”. Ik kan me nog vinden in een interpretatie dat toeleveranciers (die aan het bedrijf verkopen) zomaar gespamd mogen worden, maar zomaar iemand die een vraag mailde? Nee.

Je zou natuurlijk nog kunnen zeggen dat nieuwsbrieven geen “commerciële” mail zijn maar informatieve. In theorie kan dat, maar de nieuwsbrieven van de meeste bedrijven zijn niet meer dan verkapte reclamefolders.

Arnoud

Mag ik een e-book ruilen?

Geplaatst op in Ondernemingsvrijheid, 36 reacties

Een lezer schreef me:

Ik heb een e-book gekocht bij een Nederlandse webwinkel maar direct na aanschaf besloten dat ik het toch niet meer wilde. Ik heb het nog niet gedownload. Kan ik me nu beroepen op de wet koop op afstand?

Een e-book is geen product maar een dienst in de zin van de wet. Ook voor diensten geldt de Wet Koop op Afstand, maar de regels zijn net iets anders.

Je mag een dienst binnen zeven werkdagen na de datum van afsluiten annuleren, tenzij met jouw instemming de levering al is begonnen (art. 7:46i BW). De vraag is dan, wanneer is de dienst “e-book” begonnen met jouw instemming. Ik zou zeggen op het moment dat je de download initieert. Oftewel, zolang je niet op downloaden klikt, zou je binnen zeven werkdagen de aankoop moeten kunnen annuleren.

Wellicht is te verdedigen dat een ebook toch eerder als een product moet worden gezien, bijvoorbeeld via dezelfde redenering als het Hof Arnhem hield over software of in het RuneScape-arrest uit Leeuwarden.

In dat geval heb je zeven werkdagen vanaf de ontvangst, vanaf het downloadmoment dus. Maar dan krijg je ook te maken met de uitzonderingen voor producten. Ik zie er twee: 1) Software waarvan het zegel verbroken is: een ebook is een softwareproduct en je hebt het zonder zegel meegenomen, dus dat zegel is al meteen verbroken. 2) Zaken die “naar hun aard” niet geretourneerd kunnen worden: van een ebook kun je alleen een kopie maken, dus van ‘retourneren’ kan per definitie geen sprake zijn.

Ook dan weer denk ik dat het alleen zal lukken als het ebook nog niet gedownload is.

Arnoud

Supreme Court: geen standpunt over softwarepatenten

Geplaatst op in Intellectuele rechten, 8 reacties

Wat is dat toch met hoge rechtbanken en octrooien versus software? Nadat een tijdje geleden de Grote Kamer van het EPO geen zin had in een duidelijke uitspraak, komt nu ook de Amerikaanse Supreme Court met een arrest over software patents dat in de verste verte geen standpunt inneemt.

Het arrest (via) betreft de Bilski-zaak, over een patent op een hedging-techniek (afdekken van een financieel risico van een investering door middel van een andere investering). Dit was een evidente business method (werkwijze voor het zakendoen), en business method patents zijn zo mogelijk nog discutabeler dan softwarepatenten.

Vele ogen waren dan ook gericht op het Supreme Court in de hoop dat die nu eindelijk eens een harde lijn zou trekken: verbied business method patents, en liefst meteen ook zo veel mogelijk softwarepatenten. Maar daar had men geen trek in. Men wijst de zaak af, maar op grond van de bestaande regels. Daar wordt niets aan toegevoegd of aan afgedaan.

Een opvallend argument daarbij is dat business method patents niet per definitie uitgesloten van octrooieerbaarheid zijn, omdat de Amerikaanse wetgever een paar jaar terug in de wet een expliciete defense daartegen heeft opgenomen. Wie inbreuk maakt op een business method patent, maar kan bewijzen dat hij de method al toepaste voor het octrooi werd toegewezen, kan niet worden veroordeeld. Door zo’n regel op te nemen, aldus het Hof, was de wetgever het impliciet eens met het idee dat business methods gepatenteerd kunnen worden.

Jammer. Een gemiste kans om duidelijkheid te krijgen.

Arnoud

Hoe lang mag ik camerabeelden bewaren?

Geplaatst op in Privacy, Security, 21 reacties

camera-cameratoezicht-filmen-surveillance-toezichtEen lezer vroeg me:

Ons bedrijf gaat buiten camera’s ophangen omdat er regelmatig dingen gestolen worden uit de auto’s op het parkeerterrein. Er worden netjes borden opgehangen, maar er is nu discussie over hoe lang de beelden bewaard mogen worden. Ik had gehoord dat dat maar drie dagen mag zijn, maar collega’s hebben het over een week, 24 uur of zelfs drie maanden. Welke termijn geldt er nu?

De wet noemt geen expliciete termijn voor het bewaren van camerabeelden. Camerabeelden zijn persoonsgegevens, en het maken van camerabeelden valt dus onder de Wet Bescherming Persoonsgegevens. Artikel 10 lid 1 bepaalt dat je persoonsgegevens (en dus camerabeelden) niet langer … dan noodzakelijk” mag bewaren voor de doelen waarvoor je ze verzamelt.

Je mag dus op zich de beelden zo lang bewaren als je zelf nodig acht, mits je maar kunt uitleggen waarom die termijn absoluut noodzakelijk is. Zoek je bijvoorbeeld bewijs van stelselmatig gedrag dat alleen op zondag plaatsvindt (diefstal uit auto’s bij een kerk bijvoorbeeld), dan zul je beelden van meerdere zondagen moeten bewaren om ze te kunnen vergelijken.

Er is één plek waar een termijn wordt genoemd. De vrijstelling voor videocameratoezicht bepaalt dat

De persoonsgegevens moeten uiterlijk 24 uur nadat de opnamen zijn gemaakt, of na -afhandeling van de incidenten, worden verwijderd.

Dit betekent dus niet dat het verboden is beelden langer dan 24 uur te bewaren. Het betekent alleen dat je geen beroep op de vrijstelling kunt doen. Moet je beelden dus langer dan 24 uur bewaren, dan zul je een melding moeten doen bij het CBP van je videocamerabewakingssysteem, en daarbij moeten vertellen hoe lang je de beelden dan wel bewaart.

24 uur lijkt me trouwens wel heel erg kort, ik kan me niet voorstellen dat in de praktijk bedrijven echt elke dag de opnames bekijken. Het zou een goede zaak zijn als deze termijn naar een week wordt opgerekt, al was het maar omdat je dan legaal verklaart wat iedereen toch al doet.

Arnoud