Is fraudebepaling op basis van afstand nu ook al discriminatie?

Geplaatst op in Innovatie, Privacy, 43 reacties
Photo by RDNE Stock project on Pexels

Een fraudeaanpak van de Nederlandse Dienst Uitvoering Onderwijs was discriminerend en onrechtmatig, zegt de Autoriteit Persoonsgegevens. Dat meldde Tweakers onlangs. De frauderisicoscore werd berekend op basis van onderwijssoort, afstand en leeftijd. Dat mag niet, en ik grijp deze casus aan om eens héél fundamenteel naar algoritmische fraudedetectie te kijken.

De kern van het probleem staat in het persbericht van de AP:

DUO gaf studenten een ‘risicoscore’ door naar onderwijssoort, afstand tussen adressen en leeftijd te kijken. Voor die criteria was geen objectieve rechtvaardiging. Dat maakte deze werkwijze discriminerend en dus onrechtmatig.
Volgens de Grondwet is onderscheid op íedere grond in principe verboden – je moet een (objectieve) rechtvaardiging hebben om die grond te mogen inroepen. Je moet 16 zijn om op een ebike te mogen, omdat je (gemiddeld) pas dan genoeg ontwikkeld bent deze veilig te gebruiken. Je mag niet meer dan een uur reizen van je werk wonen, want de reistijd breekt je op zo weten wij uit ervaring. Zulke dingen.

Dat zijn bewezen regels: we hebben gezien dat deze vaak genoeg kloppen, dus daar trekken we een grens. Steeds vaker zien we datagedreven regels, waarbij de data laat zien waar de grenzen liggen. Die grenzen worden dan de criteria, en dat heet dan objectief omdat het uit Excel komt.

In dit onderzoek komt het algoritme neer op drie individuele scores, met een totaalscore (“risicofactor” of RF) als R1*(R2+R3):

  • R1: het soort onderwijs. Een MBO-opleiding levert een hogere risicoscore op dan een WOopleiding.
  • R2: een combinatie van leeftijd en kortste afstand tussen het adres van de student en het adres van (een van de) ouder(s). Een kortere afstand tussen de student en de ouder(s) leidt tot een hogere risicoscore.
  • R3: een extra risicofactor op basis van leeftijd: Een lagere leeftijd resulteert in een hogere risicoscore.
De score werd platgeslagen tot zes niveaus, van zeer hoog tot zeer laag (+onbekend). Sorteer je datadump op deze niveaus en je weet bij wie je langs moet.

Oké, maar hoe kwam men dan aan die drie factoren? Welke data-analyse had laten zien dat dat de factoren waren? Ik citeer het onderzoeksrapport: “ervaring en gezond verstand”. Dat kan ik vrij moeilijk een ‘algoritme’ of ‘data-analyse’ noemen. En ja, heel formeel is dan sprake van onrechtmatige verwerking want je kunt niet rechtvaardigen waarom deze keuzes. “Gezond verstand” is geen reden.

Maar goed, stel dat men nu wél de originele datadump had voorzien van labels “gebleken fraudeur” en “geen fraudeur”. En dan een machine learning model had laten ploegen op het onderscheid tussen die twee. En dat model had dan een correlatie gevonden volgens R1*(R2+R3). Had het dan wél gemogen?

“De data laat het zien”. Want wat ziet die data dan precies? Een correlatie, een statistisch verband. Maar correlatie is geen causatie. Als uit de data blijkt dat MBO-studenten vaker frauderen, betekent dat nog niet dat MBO het frauderen veroorzaakt. Misschien worden MBO-studenten wel vaker gecontroleerd, waardoor er meer fraude wordt ontdekt. (En dat versterkt weer de dataset, een klassieke feedbackloop.) Of misschien spelen sociaal-economische factoren een rol die we helemaal niet meenemen in de analyse en die toevallig samengaan met MBO student zijn.

Stel, we hebben een complete dataset: alle studenten, alle controles, objectief en eerlijk verdeeld. En dán blijkt dat 30% van de MBO’ers fraudeert tegenover een algemeen gemiddelde van 10%. Dan kan ik me wat voorstellen bij “is MBO student” als criterium, hoewel dit nog steeds een vorm van collectieve verdachtmaking  blijkt: je bestempelt 100% van de MBO’ers als risicogeval terwijl nog steeds 70% van hen gewoon netjes studeert.

Meer algemeen is dit een bolvormige koe: nooit van z’n leven krijg je zo’n complete, accurate en eerlijke dataset op basis waarvan je analyse gaat doen. Alleen dat zou al genoeg moeten zijn om hier zeer huiverig in te zijn.

Verder heb ik er nog een fundamenteel bezwaar bij. Datagedreven analyse mist het normatieve fundament dat we anders wél hebben bij het maken van regels. Neem die fatbike-regel: die is er niet omdat Excel dat zei, maar omdat we als maatschappij vinden dat ernstige ongevallen voorkomen moeten worden. De data ondersteunt dat (16-jarigen hebben inderdaad minder ongelukken), maar de réden voor de regel zit in onze waarden: mensenlevens beschermen, zorgkosten beheersen, verkeersverantwoordelijkheid.

Bij pure data-analyse verdwijnt dat normatieve kader. We vinden wel verbanden, maar het systeem kan niet uitleggen waarom die verbanden relevant zouden moeten zijn voor ons beleid. Tot welke grondslag, welke maatschappelijke opvatting de regel te herleiden is. Waarom we dit moeten willen. En dan belanden we in een gevaarlijke cirkel: we baseren regels op data omdat die data het “aantoont”, en vervolgens gebruiken we diezelfde data als rechtvaardiging voor de regel. Maar nergens in die cirkel zit nog het antwoord op de vraag: waarom willen we deze regel eigenlijk? Welk maatschappelijk belang dienen we ermee? Het wordt een soort zwevend systeem dat zichzelf in stand houdt, zonder verbinding met de waarden waar het eigenlijk om zou moeten gaan.

Arnoud

Mag ik mijn verlengde hostingcontract als consument opzeggen binnen 14 dagen?

Geplaatst op in Ondernemingsvrijheid, 8 reacties
Photo by Glenn Carstens-Peters on Unsplash

Via Reddit:

Ik host al jaren een kleine website bij een webhostingprovider. Betalen deed ik ieder jaar per overschrijving waar ik van op de hoogte werd gesteld. Nu hebben ze mij blijkbaar 11 maanden geleden op de hoogte gesteld dat ze het dit jaar anders gingen doen. Waar ik voorheen zelf een overschrijving deed, zit ik nu aan een abonnement vast. Volgens de ACM heb ik 14 dagen bedenktijd, nadat het contract is bevestigd. Kan ik nog van het abonnement af? [kleine parafrases, AE]
Als je als consument een online dienst afneemt, zoals hosting, is het goed mogelijk dat je binnen 14 dagen na contractsluiting deze ongedaan mag maken. Een harde regel is dat niet: als je bij contractsluiting expliciet een vinkje zette bij “ik zie af van mijn bedenktermijn”, dan is dat (bij online diensten en alléén bij online diensten) legaal.

Alleen: dit geldt enkel bij het aangaan van het contract als zodanig. Een verlenging, ook met gewijzigde voorwaarden, is géén nieuw contract en daarop geldt dus niet opnieuw die veertiendagentermijn.

Zo te lezen heeft het bedrijf 11 maanden terug de voorwaarden gewijzigd, en daarbij een constructie van stilzwijgend verlengen ingevoerd. Op zich is stilzwijgend verlengen natuurlijk legaal, ook bij consumenten. Wel moet de regeling zelf voldoen aan de wettelijke eisen, met name dat vanaf de eerste stilzwijgende verlenging je per maand mag opzeggen (art. 6:237 sub k BW) en naar rato je geld terugkrijgt.

De vraagsteller geeft aan dat zhij de mail niet heeft gehad waarin de gewijzigde voorwaarden werden aangekondigd. Op zich moeten zij bewijzen dat de mail is aangekomen, anders is de wijziging niet bindend en daarmee de verlenging ook niet.

Aparte instemming met de wijziging is niet nodig, als de mail bij de mailbox aankwam is dat juridisch voldoende. Vaak zie je dat hosters bij het inloggen mensen een verplichte popup voorschotelen dat de voorwaarden zijn gewijzigd. Dat is bewijstechnisch handiger voor hen.

Arnoud

Overheid komt met API’s voor datadelen tussen burger en private partijen

Geplaatst op in Informatiemaatschappij, Ondernemingsvrijheid, 5 reacties
Photo by the_iop on Pixabay

De overheid komt met API’s (application programming interfaces) voor het delen van data tussen burgers en private partijen, ter vervanging van de praktijk met convenanten. Dat meldde Security.nl vorige week. Het gebruik van convenanten werd immers in augustus verboden door de Autoriteit Persoonsgegevens. En het is een mooie stap op weg naar de implementatie van de Data Governance Act (DGA).

DGA kennen de meesten als directeur-grootaandeelhouder, maar in 2022 werd Verordening 2022/868 aangenomen die ook zo heet – de Nederlandse naam is Datagovernanceverordening. Doel ervan is een kader voor hergebruik van overheidsinformatie, databemiddelingsdiensten en data-altruïsten te stellen. (Dit staat dan naast wetten zoals de Wet open overheid die aangeven wélke data hergebruikt mag worden.)

De kaders komen neer op regels over het gestructureerd en machinaal op kunnen vragen van data, en toepassen van technieken voor anonimisering of differentiële privacy zodat het bijvoorbeeld AVG-compliant gaat. Dan kom je al heel snel uit bij de applicatieprogrammainterface (API), omdat je daarin formeel vastlegt welke data kan worden opgevraagd en wat er moet gebeuren als zo’n aanvraag binnenkomt.

Ik schrok eerlijk gezegd een beetje toen ik las hoe het nu gaat:

Gebruikers moeten in dit geval eerst een app downloaden en vervolgens zelf, vanuit de app, via DigiD inloggen op de verschillende overheidswebsites, bijvoorbeeld van DUO, het UWV of de Belastingdienst. Na het inloggen via DigiD heeft de app toegang tot alle gegevens die over de gebruiker op de betreffende overheidswebsite staan. Deze gegevens worden eerst door de datadeler-app gescrapet. Daarna selecteert de applicatie benodigde set gegevens, en stuurt deze, na toestemming van de gebruiker, door aan de dienstverlener, bijvoorbeeld een bank.
De achterliggende reden is dat er geen formele manier (lees: API) is om die gegevens op te halen. De app doet zich dus voor als de burger zelf, logt in en scrapet alles waar ie met zijn vieze regex-vingers bij kan. Daarna wordt bij de dienstverlener uitgezocht wat er nodig is. Nee, word ik niet vrolijk van.

Hoe dat op te lossen? Het ministerie zag weinig heil in verbieden van scrapen, met name omdat je feitelijk niet kunt zien of iemand zelf inlogt dan wel of een app dat namens hem doet. Dat niveau van kat-en-muisspel is zelfs voor Facebook of Linkedin forsehoofdpijngevend. Een convenant, waarin de diensten afspreken zich keurig aan de wet te houden? Liever niet, zegt de AP:

Zolang en voor zover in dit convenant sprake is van verwerkingen die in strijd zijn met de AVG, acht de AP het ongewenst dat het ministerie van BZK die verwerkingen zou reguleren en daarmee zou legitimeren. … de AP acht het niet juist om om die redenen verwerkingen te faciliteren die, naar het zich laat aanzien, in strijd zijn met de AVG en grote risico’s met zich mee brengen voor de bescherming van persoonsgegevens van burgers.
De enige echte route is dus het implementeren van een formeel protocol waarmee wél genuanceerd informatie kan worden opgevraagd. En dat is precies het kader dat de DGA ook eist.

Bij Tweakers wijst men op het al bestaande Solid Project (van Tim Berners-Lee, die ja) dat precies hiervoor is bedoeld. In Zweden is hiermee bijvoorbeeld het datauitwisselingsplatform iGrant.io mee gerealiseerd. Het Nederlandse Yivi zou ook een hele mooie implementatie zijn om te kiezen.

Arnoud

 

Kan ik onbewerkte trouwfoto’s opeisen van een wanpresterende fotograaf?

Geplaatst op in Ondernemingsvrijheid, Privacy, 8 reacties
Photo by micheile henderson on Unsplash

Via Reddit:

Begin juni ben ik getrouwd en we hebben een prachtige dag gehad. … Na twee maanden (begin augustus) vroegen we ons af wanneer we de trouwfoto’s ongeveer konden verwachten. De fotografe gaf aan dat ze die week de eerste foto’s zou toesturen. Dit gebeurde niet. … Ik heb haar [uiteindelijk] vriendelijk doch dringend verzocht de onbewerkte foto’s af te leveren op een harde schijf of USB zodat wij de kans krijgen om de foto’s door een ander te laten nabewerken. Het is namelijk inmiddels al vijf maanden na onze bruiloft.
Dit is natuurlijk een zeer frustrerende situatie, en bovendien emotioneel omdat foto’s van je trouwdag zo’n beetje hét voorbeeld zijn van dingen die niet vervangbaar zijn. Je zou zeggen dat dit genoeg moet zijn om de fotograaf in beweging te krijgen.

Omdat dit een juridische blog is, wil ik echter het vanuit die hoek benaderen. Allereerst is er natuurlijk een overeenkomst, er is afgesproken dat er foto’s worden gemaakt en geleverd. Dit heet een overeenkomst van opdracht (art. 7:400 BW) en de fotograaf moet dan de zorg van een goed opdrachtnemer in acht nemen.

Die zorgplicht vult de overeenkomst aan, waar iets niet expliciet afgesproken is moet je dan kijken of het redelijkerwijs bij de zorgplicht van de fotograaf hoort. Net zo wordt de overeenkomst aangevuld door de redelijkheid en billijkheid en de gewoonte. Als er bijvoorbeeld geen harde leverdatum is gegeven (“binnen een week heb je je foto’s”) dan wordt de levertermijn door de redelijkheid bepaald.

De fotograaf is nu al diverse malen aangemaand om de foto’s te leveren en dat gebeurt maar niet. De reden is (kennelijk) dat het bewerken en mooi maken veel tijd kost of moeilijk is. Maar dat houdt redelijkerwijs een keer op: zó lang mensen laten wachten op zulke belangrijke foto’s is niet wat een professioneel fotograaf doet.

Dat betekent: een ander moet het werk nu gaan afmaken. De fotograaf wil de bronbestanden niet afgeven, want dat is niet de gewoonte. Prima, maar dat betekent alleen dat je een andere fotograaf moet zoeken die met stevige afspraken het werk afmaakt en de foto’s aan de klant levert zoals oorspronkelijk de bedoeling was.

Uiteraard vergt dit een stevige brief van een advocaat of rechtsbijstandsverzekering, want als die fotograaf alle berichten blijft negeren en niets levert dan kom je niet verder anders. De route van dreigen met de lokale pers “fotograaf verpest bruiloft” is niet juridisch maar kan effectief zijn.

Mogelijk denken mensen nog aan de AVG; portretfoto’s zijn immers persoonsgegevens en met het recht op inzage kun je daar een kopie van opeisen (art. 15 lid 3 AVG). Maar omdat het hier gaat om kunst, kun je je als betrokkene niet beroepen op dat recht (art. 43 lid 1 Uitvoeringswet AVG).

Arnoud

Ik moet ineens mijn portret in mijn Office 365 account stoppen, mag dat?

Geplaatst op in Ondernemingsvrijheid, Privacy, 14 reacties
Photo by Pixabay on Pexels

Via Reddit:

Ik werk in de publieke sector bij organisatie die tussen 500-1000 medewerkers heeft. Vandaag werden wij erop gewezen dat wij een herkenbare foto moeten uploaden naar het Microsoft 365 profiel. Dit is namelijk een eis van de organisatie voor alle medewerkers. Verjaardagen mogen bij ons niet organisatie-breed worden gedeeld vanwege de AVG. Kun je dan als organisatie ook een update frequentie eisen?
De organisatie noemt zo te lezen geen andere reden dan “dat nieuwe medewerkers dan weten wie je bent.” En ik zie wel hoe een profielfoto in een online dienst daarbij helpt, maar dat vind ik wel erg mager als motivatie om dit ongeclausuleerd verplicht te stellen.

De wat oudere lezers mompelen nu wat over het “smoelenboek”, de contactgegevenslijst met naam en foto. Dat was ook voor die reden ontwikkeld, weten wie Jan of Marie van de boekhouding is. Dat is nooit als reden geaccepteerd onder de AVG (of de Wbp daarvoor).

Het enige nieuwe argument dat ik kan bedenken, is dat we nu veel vaker online interacteren en mensen dus standaard alleen namen en een icoon zien. Marie kom je nog wel eens tegen, of je vraagt het als je binnenloopt. Dit kwamen we in 2019 tegen bij een discussie over je foto in je Slack account:

Ik denk dat we anno 2021 hier toch nog eens op terug moeten komen, nu op afstand werken zo’n groot deel van het werk is geworden en digitale afstandscommunicatiemiddelen dus veel meer een standaardinstrument dan in 2019. Zoals in een van de comments op Reddit te lezen is: “Communiceren zonder iemand te zien is geen enkel probleem; anders dat anders zou zijn dan hadden alle bedrijven inmiddels beeldtelefoon.” En dat is dus grappig, want alle bedrijven hébben beeldtelefonie; is het niet van Zoom of Teams dan wel van Jira, Bluejeans of een van de vele andere videoconferencingtools.
Ik ben dus benieuwd hoe jullie hier anno 2024 (alweer bijna ’25 zelfs) over denken?

Arnoud

 

Als jij zegt dat het via Wetransfer moet, dan is het niet-aankomen jouw risico

Geplaatst op in Ondernemingsvrijheid, Security, 18 reacties
Photo by Zlatko ?uri? on Unsplash

In coronatijd kiest De Alliantie voor het systeem WeTransfer voor het aanleveren van benodigde stukken voor het verkrijgen van een huurwoning. Zo opent een recent vonnis uit Amsterdam over waar het risico ligt bij het niet aankomen van documenten. Spoiler: bij De Alliantie, in dit geval.

De Alliantie is een woningcorporatie, en die had de eiser uitgekozen als kandidaat voor een woning op Zeeburgereiland. Daarvoor moeten dan diverse documenten worden aangeleverd, en vanwege corona had De Alliantie een online systeem opgezet. Uit het vonnis:

“Om te controleren of u in aanmerking komt voor deze woning wordt u gevraagd enkele documenten in te leveren. U kunt deze documenten uploaden op deze website (website blauw gedrukt, vzr.). Vermeld a.u.b. in het bericht het adres van de woning én uw IBAN-nummer. Om elk risico op verdere verspreiding van het corona-virus te voorkomen, hebben wij besloten om onze balie aan de [adres 3] te sluiten tot 28 april. Dit betekent dat de Alliantie alleen via de digitale kanalen en/of telefonisch bereikbaar is.
De website-link verwees naar een eigen Wetransfer-omgeving (“dealliantie.wetransfer(.)com”) waarmee je extra grote bestanden kunt versturen, doch alleen naar de Alliantie zelf. Dat deed men dan ook, en na versturen was te lezen “dat de huurovereenkomst en de inkomensverklaring zijn verstuurd, maar nog niet gedownload”. Daarop klom men in de telefoon:
Op 20 april 2020 heeft (de vriendin van) [eiser] gebeld met De Alliantie met de vraag of de documenten zijn aangekomen en of ze kloppen. Daarop is geantwoord dat De Alliantie vijf werkdagen de tijd heeft om de documenten te beoordelen en dan zal reageren. Op de vraag of de medewerker kan controleren of de documenten wel ontvangen zijn antwoordt de medewerker: “Nee, dat kan ik helaas niet maar in principe als u gewoon de link heeft gevolgd die in de mail bijgesloten is dan kunt u ervan uitgaan dat we alle documentatie hebben ontvangen”.
U voelt hem al aankomen: een week later bleek dat de organisatie “geen documenten van [eiser] heeft gezien en dat de woning inmiddels aan de eerstvolgende kandidaat op de ranglijst is aangeboden”. Rechtszaak dus.

Wat was hier misgegaan? Bij Wetransfer was niets meer te achterhalen. De Alliantie speculeerde dat men mogelijk het formulier niet goed had ingevuld, maar als de statusmelding “verzonden/nog niet gedownload” wordt gegeven dan is dat niet logisch. Voor mij ligt meer voor de hand dat de melding van Wetransfer bij de Alliantie was kwijtgeraakt (in de spam) en dat men het daarom simpelweg nooit gedownload had.

Natuurlijk heb je als afzender een verantwoordelijkheid om te zorgen dat stukken aankomen. Maar die werd hier ook genomen: de stukken werden opgestuurd via het aangewezen kanaal, en er is meerdere malen gebeld om te vragen of het aangekomen is. Veel meer kun je niet doen.

Het steekt dan dat de organisatie alleen lijkt te hebben gereageerd dat “indien de link in de e-mail is gevolgd, [u] ervan uit mag gaan dat de documenten ontvangen zijn.” Zijn ze er dan of niet? Even kijken in de map met ingekomen stukken was een logischer stap geweest.

De rechter is niet mals:

Dat de Alliantie dan niet in staat is te controleren of de stukken zijn binnengekomen, dient voor rekening en risico van De Alliantie te komen. Overduidelijk is dat [eiser] alles wat in zijn vermogen lag, heeft gedaan om te zorgen dat de benodigde stukken tijdig bij De Alliantie zouden komen.  … Indien De Alliantie op 20 april 2020 wél had nagekeken of de stukken waren ontvangen en vervolgens [eiser] had meegedeeld dat zij ze níet had ontvangen, had [eiser] direct nogmaals de stukken kunnen aanleveren via WeTransfer. Deze kans heeft [eiser] nu niet gekregen. Niet acceptabel is dat de negatieve gevolgen van een niet waterdicht alternatief aanleversysteem zonder controlemogelijkheden worden afgewenteld op de woningzoekende.
De organisatie moet binnen drie maanden een met de eerdere aangeboden woning gelijkwaardige woning aanbieden.

Arnoud

 

Ontslag vanwege bedrijfsgevoelige informatie sturen naar privémailadres is onterecht

Geplaatst op in Ondernemingsvrijheid, 10 reacties
Photo by Austin Distel on Unsplash

Ontslag op staande voet wegens het naar privé-mailadres versturen van bedrijfsgevoelige informatie houdt geen stand. Dat las ik bij Salaris Vanmorgen. De werknemer had meermaals belangrijke bedrijfsvertrouwelijke informatie verzonden naar zijn privémail, en werd daarom ontslagen. Gezien de context van een arbeidsconflict vindt de rechter dit echter niet onaanvaardbaar.

Uit het vonnis blijkt dat er al langer wat rommelde. De werknemer werd afgelopen mei medegedeeld dat er geen vertrouwen meer in hem was, en dat een ontslag (met VSO) te verwachten viel. De rechter:

Onder die omstandigheden, waarin [werknemer] onverwacht werd geconfronteerd met verwijten van disfunctioneren en een vertrouwensbreuk, is het begrijpelijk dat hij vreesde op non-actief gesteld te worden of op een andere manier de toegang tot de gegevens kwijt te raken, terwijl hij de verwijten wilde (kunnen) weerleggen en zijn juridische positie wilde veiligstellen.
Het is een bekend probleem dat alle bewijsstukken tegenwoordig alleen nog digitaal beschikbaar zijn. Je agenda heb je niet fysiek thuis liggen, toezeggingen en memo’s kun je ook niet meenemen (of tijdig fotokopiëren en meenemen), dus als je dan op nonactief staat en je autorisaties ingetrokken, dan heb je ineens niets meer om te bewijzen waar je staat.

In deze situatie had de werknemer dus maar één optie en dat was veiligstellen van alle informatie, en wel door dit naar het privéadres te mailen. En dat was dus een probleem, want dat mocht niet van het arbeidscontract. Toen de werkgever dit dan ook ontdekte, volgde de zwaarste arbeidsrechtelijke sanctie, en wel ontslag op staande voet.

Voorgaande kan niet los worden gezien van het feit dat uw arbeidsovereenkomst met [werkgever] op zeer korte termijn zou worden beëindigd en dat wij met u in onderhandeling waren over een vaststellingsovereenkomst tot het beëindigen van uw dienstverband. Wij kunnen ons niet aan de indruk onttrekken dat dit (een van de) redenen is geweest om deze bedrijfsvertrouwelijke informatie naar uw privémail toe te sturen en deze mogelijk met het doel uzelf of andere te bevoordelen.
Dat van die VSO klopte niet: er was alleen een afspraak ingepland om over een mogelijke VSO te praten. En dan kan het zeker relevant zijn om op tafel te leggen hoe de situatie feitelijk volgens jou zit.

Ik kan me niet aan de indruk onttrekken dat de werkgever de schending van geheimhouding zag en aangreep om gelijk maar van de werknemer af te komen. Een staandevoet is immers een stuk goedkoper dan een ontslag met transitievergoeding en afkoopsom. Maar als een ontslag op staande voet verkeerd uitpakt, dan ben je als werkgever juist duurder uit. En het heeft meer effecten: je kunt de werknemer dan niet meer houden aan een concurrentiebeding (of relatiebeding).

De werknemer krijgt dan ook een aardig bedrag mee naar huis. Wel wordt er toch nog afgerekend op het boetebeding:

Gelet op de mogelijk grote gevolgen voor de werkgever bij niet-naleving van het beding dat bedrijfsgevoelige informatie het pand niet mag verlaten, is een hoge overeengekomen boete, zoals hier, niet onredelijk. Het toezenden van bedrijfsgegevens naar het privé-account op 14 mei 2024 is een overtreding van artikel 10 van de arbeidsovereenkomst, waarvoor de werknemer volgens artikel 13 een boete van € 5.000 verschuldigd is.
Ondanks de hierboven genoemde overweging kent de rechter de boete toch toe (met een verhoging van 1.000 euro ook nog vanwege het een dag lang laten staan van de gegevens). Die valt dan weg tegen de billijke vergoeding; wel houdt de werknemer een ontslagvergoeding van € 6.111,75 en een transitievergoeding van € 3.051,49 over.

Ik gok dat dit een stukje billijkheid was: beide partijen doen raar, dan moeten ze beiden een beetje inleveren, en trouwens de werknemer wil vooral elders aan de slag dus dat geld zal wel. Maar ik heb er toch moeite mee dat enerzijds het beding overtreden heel begrijpelijk en te rechtvaardigen is, maar anderzijds de werknemer tóch moet betalen omdat het nu eenmaal formeel afgesproken is. Een stevige matiging omdat de boete niet voor dit doel (verhinderen toegang tot bewijs) ingezet mag worden, had ik wel een mooie gevonden.

Arnoud (NB ik weet ook niet waarom het “Vanmorgen” heet en niet “van Morgen”)

Google moet gegevens van YouTube-gebruiker met Zwols bedrijf delen

Geplaatst op in Intellectuele rechten, Privacy, Uitingsvrijheid, 7 reacties
mohamed_hassan / Pixabay

Google moet de gegevens van een gebruiker achter een YouTube-kanaal delen met een Zwols bedrijf dat instructievideo’s maakt waarmee cursisten zich kunnen voorbereiden op het CBR-examen. Dat meldde Security.nl vorige week. Het bedrijf meent dat sprake is van auteursrechtinbreuk door de plaatser van de video’s. Hoe zat dat ook alweer?

De vaste lezers van deze blog denken nu wellicht aan het Lycos/Pessers-arrest, al lang de vaste rechtspraak rond afgifte NAW-gegevens bij een vermoedelijk onrechtmatig handelen. Het vonnis in deze zaak kent een andere route: 843a Rechtsvordering, de zogeheten exhibitieplicht waarin je als partij mee moet werken aan bewijs overleggen. Dit kent vier eisen:

  1. de eiser moet een rechtmatig belang hebben,
  2. het verzoek moet zien op bepaalde bescheiden die
  3. zien op een rechtsbetrekking waarin de eiser partij is en
  4. de aangesproken partij moet deze tot haar beschikking of onder haar berusting hebben
De eiser had onderbouwd dat de video’s auteursrechtelijk beschermd waren, en dat de inbreuk grootschalig genoeg was om een rechtszaak over te willen voeren. Aan eis 1 was dus voldaan.

Wat eis 2 betreft moet Google de gevraagde naam, telefoonnummer, e-mail- en IP-adressen en geboortedatum afgeven. Dat is nodig en genoeg om een advocaat een dagvaarding mee te kunnen laten versturen. Maar wat Google niet heeft, hoeft ze natuurlijk niet af te geven (eis 4).

Je kunt je afvragen of er (eis 3) wel een ‘rechtsbetrekking’ is tussen Google en de eiser. Wat heeft Google te maken met de auteursrechtinbreuk door die kanaaleigenaar? Maar juridisch krijg je een ‘rechtsbetrekking’ als je iemands rechten schendt – een verbintenis tot schadevergoeding uit onrechtmatige daad, in jargon. En dat is genoeg voor deze eis.

Google had nog gesteld dat men ook een notice&action verzoek had kunnen sturen. Google zou dan vast de video’s hebben weggehaald. Maar dat werkt niet voor de eiser, die wil een schadevergoeding en een verbod (ik gok met dwangsommen) op herhaalde inbreuk, bijvoorbeeld via een nieuw Youtubekanaal.

Het resultaat is niet heel verrassend. Deze benadering is vooral interessant omdat het zo een stuk makkelijker te motiveren is dat je gegevens wilt hebben. Bij de Lycos/Pessers criteria zit meer een inhoudelijke afweging en een toets of je alle andere mogelijkheden hebt uitgeput. Hier komt het neer op “dit wil ik hebben, jij weet het en er is iets serieus aan de hand, geef het”. Ik ben dus benieuwd of dit de norm gaat worden.

Arnoud

 

heeft de Rechtbank Overijssel bepaald. Op het betreffende YouTube-kanaal zijn sinds juli vorig jaar instructievideo’s te zien, waarvan het Zwolse bedrijf stelt dat zij de rechthebbende is.

 

Moet je als advocaat zeggen dat je ChatGPT hebt gebruikt voor je pleidooi?

Geplaatst op in Internetrecht, 8 reacties
Photo by ThisIsEngineering on Pexels

Een advocaat uit Luik heeft voor zijn pleidooi voor de correctionele rechtbank de hulp ingeschakeld van ChatGPT. Dat meldde de VRT vorige week. En nee, hij citeerde geen hallucinante rechtspraak of halfzacht Amerikaans verhaal over grondrechten; de dienst werd opgevoerd als “neutrale bron”.

De advocaat stond een verdachte bij tegen wie 15 jaar werd geëist wegens betrokkenheid bij cocaïnehandel waarin de hoofdverdachten gevangenisstraffen tot 20 jaar riskeren. De advocaat trok “de wettigheid van het afluisteren van berichten via het versleutelde systeem Sky ECC in twijfel”, zij het niet op de inhoud maar op de formele grond dat de tapmachtigingen niet op tijd verlengd waren.

De advocaat gebruikte de chatbot volgens de VRT “zijdelings, als klankbord” en “vooral anekdotisch”. Maar dit klinkt toch als meer dan dat:

“Ik heb een bron geraadpleegd die geen professor strafrecht is en die ook geen band heeft met het dossier. Het was een neutrale bron die de wetgeving heeft geanalyseerd en die aangaf dat de machtigingen tijdig verlengd moeten worden”, aldus de advocaat. Die neutrale bron is dus ChatGPT.
(Nog één keertje samen: ChatGPT-is-geen-bron. Dank jullie wel.)

Ik zie prima hoe je een AI-dienst zoals ChatGPT kunt gebruiken als klankbord of om te oefenen. “Geef me tien argumenten tegen deze stelling”. “Herformuleer stelliger en met meer pathos.” Of “Reageer korzelig en een tikje chagrijnig op het bijgevoegde conceptpleidooi”. Tegenspraak is altijd prettig bij de voorbereiding, en ChatGPT heeft alle tijd en geduld om te oefenen.

Voor tekstanalyse is het een stuk spannender. Want deze diensten redeneren niet, hebben geen kennis en kunnen niet bepalen wat waar is of niet. Het beste dat je kunt doen, is een tekst eruit halen die lijkt op een menselijke redenering en die als basis voor je eigen betoog opvoeren.

Dit zagen we vorig jaar in Colombia, waar een rechter advies vroeg aan ChatGPT. Die kreeg een juridisch klinkende verhandeling terug en nam die over. Mijn bezwaar daartegen zou vooral zijn dat je dan achterloopt, er kunnen wetswijzigingen zijn geweest of nieuwe rechtspraak. Maar als ChatGPT het net zo mooi kan zeggen als jij, waarom dan niet?

Moet je die bron dan noemen? Nee, want voor de láátste keer: ChatGPT-is-geen-bron. Het is op zijn best een samenvatter van de algemeen bekende kennis, en dergelijke kennis noemen behoeft geen bron. Ik zie hoe je in de academische wereld wat zou moeten melden als je AI als schrijfhulp inzet, maar dat staat helemaal los van de juridische wereld.

Arnoud

Hoe bewijs je een digitale handtekening als je pdf-bestand kapot is gegaan?

Geplaatst op in Regulering, 18 reacties

De Afdeling stelt vast dat een schermafdruk van de validatie van de elektronische handtekening onvoldoende is om te kunnen vaststellen dat de maatregel een rechtsgeldige handtekening bevat. Wacht, wat? Sorry: een elektronische handtekening controleer je met een computerproces, niet door naar een plaatje te kijken. Ja, dat was een uitspraak bij de Raad van State.

Veel overheidsbesluiten moeten worden ondertekend, en vaak is daarbij een digitale (elektronische) handtekening toegestaan. Zo ook bij deze zaak, waar werd besloten een vreemdeling in bewaring te stellen en deze daartegen in beroep ging. Alleen ging er wat mis, want de handtekening kon niet worden geverifieerd: “SigDict / Contents illegal data”. En hoe dan verder?

Ook bij de vreemdeling verschijnt deze foutmelding, als hij de handtekening wil valideren. De minister heeft bij de rechtbank daarom een schermafdruk overgelegd, waarop volgens hem de succesvolle validatie van de elektronische handtekening te zien is.
De rechtbank vond dat genoeg bewijs, maar de Afdeling fluit ze terug. Validatie van een elektronische handtekening doe je met iets ingewikkelds met priemgetallen, niet met een schermafdruk waarin een applicatie zegt dat ‘ie dat gedaan heeft.

Gelukkig had men nog een IT-deskundige achter de hand die de verklaring vond:

Bij de Rechtspraak is dat bestand omgezet naar een bestandsformaat dat geschikt is voor digitale archivering. Deze omzetting heeft ervoor gezorgd dat informatie in het deel van het bestand waar de elektronische handtekening zich bevindt beschadigd is geraakt. Het bestand met de beschadigde handtekening is vervolgens in de digitale dossiers van de vreemdeling, de rechtbank en de Afdeling terechtgekomen. De deskundige heeft beschikking gekregen over een versie van het bestand die nog niet door de Rechtspraak was omgezet. Dit originele bestand kon hij zonder foutmelding valideren. Vervolgens heeft hij door het uitvoeren van verschillende tests de foutmelding kunnen repliceren en daarmee kunnen vaststellen dat de foutmelding bedoeld onder 1 verschijnt nadat het bestandsformaat wordt gewijzigd.
Binnen de pdf familie bestaat er het zogeheten PDF/A formaat, dat (ISO 19005-1) specifiek ontwikkeld is voor archivering. Kennelijk is de uitspraak omgezet naar dit formaat, waarbij de handtekening niet goed meegekomen is. Ik lees tussen de regels door dat de Rechtspraak deze conversie automatisch deed bij binnenkomende bestanden die niet al in PDF/A zijn, maar dat ze dat nu hersteld hebben.

Nu vastgesteld is dat dit de fout was, weten we meteen dat er dus niet inhoudelijk met het bestand gerommeld is (en de deskundige had dit ook nog handmatig gecontroleerd). En belangrijker: er is dus oorspronkelijk een rechtsgeldige elektronische handtekening gezet.

Het is jammer maar uiteindelijk niet relevant dat die vreemdeling niet meteen een verifieerbare handtekening heeft gekregen, aldus de Afdeling. Men krijgt de stukken alsnog, maar het bezwaar over het niet ondertekend zijn van het besluit wordt afgewezen.

Arnoud