Noorwegen wil sociale media verbieden voor kinderen onder de 15 jaar

Photo by julien Tromeur on Unsplash

Noorwegen wil een minimumleeftijd van 15 jaar voor het gebruik van sociale media. Dat meldde Nu.nl dinsdag. Dergelijke platformen zijn schadelijk voor de jeugdige hersenen die zich volop ontwikkelen (en nee, daar hoefde geen quotes omheen want dat is geen mening). Het is juridisch triviaal, maar praktisch wellicht toch wat ingewikkeld.

Wie “verbod op toegang tot sociale media en andere internetdiensten” hoort, denkt vast gelijk aan juridisch duizenddingendoekje de AVG. Die vermeldt in artikel 8 lid 1 inderdaad een minimumleeftijd van 16 jaar, maar biedt EU-lidstaten (en dus ook EER-land Noorwegen) de ruimte om hier 13 of iets daar tussenin van te maken. Noorwegen had gekozen voor 13, en wil dat dus nu naar 15 jaar brengen.

Een detail daarbij is wel dat artikel 8 lid 1 AVG gaat over toestemming gegeven door minderjarigen. Die is pas rechtsgeldig als die leeftijdsgrens gehaald wordt. Als het sociale medium een andere grondslag gebruikt, dan is dit in het geheel niet aan de orde. En ja, dit is dus een van de redenen dat Meta steeds zegt dat haar verwerkingen onder de grondslag ‘uitvoering contract’ vallen.

Afgezien van de AVG moet je dit verdedigen met de stelling dat minderjarigen niet zomaar overeenkomsten mogen sluiten, en dat een social media overeenkomst niet ‘gebruikelijk’ is (ons art. 1:234 BW) voor minderjarigen. Via tech-allesreiniger de Digital Services Act is dit ook afdwingbaar: platformeigenaren moeten zorgen dat risico’s bij minderjarigen voor hun diensten adequaat afgedekt worden. Als het risico onbeheersbaar is, dan moeten minderjarigen worden geweerd.

Maar welke wet je ook kiest, het probleem blijft hoe de grote platforms dit gaan handhaven. Er is tot nu toe nog geen enkele fatsoenlijke leeftijdsverificatie online bedacht. Dit gaat dan ook alleen gebeuren met een forse prikkel naar de beheerders toe: stevige boetes én actieve handhaving.

Arnoud

Mag de GGD zomaar mijn persoonsgegevens gebruiken voor gezondheidsonderzoek?

Een lezer vroeg me:

Ik kreeg een brief om mee te doen aan de GGD Gezondheidsmonitor, een onderzoek in opdracht van de GGD. Hierin wordt naar allerlei persoonsgegevens gevraagd, ook over gezondheid. Ik heb alleen nooit toestemming gegeven hiervoor uitgenodigd te worden. Ook is mij niet duidelijk hoe veilig en anoniem de gegevens worden verwerkt. Hoe zie jij dat?
De GGD Gezondheidsmonitor is een onderzoek “naar de gezondheid, het welzijn en de leefstijl van volwassenen en ouderen”, in opdracht van het ministerie van VWS. En daarmee hebben we meteen de discussie over toestemming te pakken – die is namelijk niet nodig.

Zoals in de privacyverklaring van iedere GGD (hier toevallig Amsterdam) te lezen is:

GGD Amsterdam en het RIVM voeren dit onderzoek uit voor een taak van algemeen belang, namelijk monitoring van de publieke gezondheid op basis van Wet publieke gezondheid (artikel 2 lid 2a en b en artikel 5a Wet publieke gezondheid “Wpg”) en op basis van de Wet op het RIVM (artikel 3 lid 1 sub b van de Wet op het RIVM). … Voor het verwerken van bijzondere persoonsgegevens heeft GGD Amsterdam en het RIVM een grondslag in artikel 9, lid 2, sub i AVG.
Dit onderzoek is wettelijk geregeld, en dus mag er – binnen de wettelijk gestelde kaders – met persoonsgegevens worden verwerkt. Aparte toestemming is daarbij dan niet meer nodig, “algemeen belang” met zo’n wettelijk kader is op zichzelf al een grondslag in AVG-taal (art. 6.1(e) AVG).

Wie echter geen behoefte heeft gegevens te delen, hoeft dat niet te doen. Het onderzoek is vrijwillig. Maar als je dat wel wil doen, dan moet dat inderdaad veilig en zorgvuldig gebeuren. De privacyverklaring legt in vrij algemene termen uit dat alles goed beveiligd is.

Inzet daarbij is anonimisering: persoonsgegevens zodanig van identificatiemogelijkheid ontdoen dat ze die status verliezen. Voor het onderzoek zijn immers alleen de grote getallen interessant, niet wat Jantje of Petra precies heeft. Zoals de privacyverklaring het uitlegt:

Voor GGD Amsterdam en het RIVM is het niet mogelijk direct te herleiden wie welke antwoorden heeft gegeven. Op basis van de combinatie van de gegeven antwoorden kan herleiding naar de persoon in zeer uitzonderlijke gevallen toch mogelijk zijn. Het CBS werkt ook mee aan dit onderzoek. Het CBS heeft wel de mogelijkheid om gegevens direct te herleiden naar u als persoon.
Dat laatste klinkt spannend. Het is nodig voor het CBS om die gezondheidsgegevens met andere gegevens te combineren om zo de uiteindelijke gegevens te kunnen wegen: “Bevolkingsgroepen die relatief weinig hebben meegedaan, worden dan zwaarder meegeteld in de resultaten.” Ook hier vindt vervolgens geen gebruik plaats dat op de persoon gericht is.

Deze Gezondheidsmonitor is een voorbeeld van hoe de AVG eigenlijk zou moeten werken. De wetgever maakt een kader (in dit geval nader ingevuld door de GGD, RIVM en gemeente) en daarbinnen wordt gehandeld onder duidelijke communicatie van het wat en waarom. Steeds maar vragen om toestemming leidt tot consentmoeheid, mensen vinden alles maar goed (of weigeren juist alles, ook de nuttige dingen) en daar schiet niemand wat mee op.

Arnoud

Is print-on-demand hetzelfde als “op maat gemaakt”?

Photo by Geri Sakti on Unsplash

Via Reddit:

Enkele weken geleden heb ik een leuke poster besteld bij een niet nader te noemen winkel. Zij bieden posters aan in enkel standaard maten, de mijne was bijv. 50×70 cm. Echter had ik me al vrij snel na het bestellen bedacht (…). Echter geeft het bedrijf aan mijn geld niet terug te kunnen geven, omdat het om ‘maatwerk’ zou gaan.
Het bedrijf meldt in de zeer korte algemene voorwaarden dat men “gepersonaliseerde, op maat gemaakte producten” aanbiedt, en dat zij daarom het recht heeft om retouren te weigeren, tenzij er sprake is van misdrukken of beschadigingen. Dat kun je natuurlijk allemaal wel zeggen, maar het consumentenrecht is zeer dwingend.

De wet definieert de term ‘maatwerk’ als volgt (art. 6:230p sub f punt 1 BW):

de levering van volgens specificaties van de consument vervaardigde zaken, die niet geprefabriceerd zijn en die worden vervaardigd op basis van een individuele keuze of beslissing van de consument, of die duidelijk voor een specifieke persoon bestemd zijn;
Nu is een print-on-demand poster natuurlijk niet geprefabriceerd. Maar wordt deze op basis van een “individuele keuze” gemaakt? Dat is de kerndiscussie die we vaker gehad hebben over keuzes uit maten of kleuren. Zoals ik bijvoorbeeld in 2021 aangaf:
Een keuze uit standaardmaten of -opties is echter nog niet “volgens specificatie vervaardigd” of “op basis van een individuele keuze”, het is immers een standaard keuze op die manier. Daarom kan een winkel zich niet op de uitzondering beroepen wanneer hij enkel standaardopties of -maten aanbiedt. Dit is ooit ook door de Geschillencommissie zo geoordeeld.
Hier worden ook standaardopties aangeboden, namelijk de maat van de poster (meestal 3 à 4, zoals 30×40 / 50×70 / 70×100). Dat is bij lange na niet genoeg om van maatwerk te mogen spreken. Zo’n poster moet dus gewoon terug als de consument daar om vraagt. (En omdat de winkel dit verkeerd aangeeft, heeft de consument een jaar om daar om te vragen, art. 6:230o lid 2 BW.)

Praktisch punt is wederom – het is consumentenrecht – hoe je je recht gaat halen als de winkel dat stomweg weigert. Heb je betaald met een creditcard, dan is een geschil starten een optie. Betaling met iDeal of bankoverschrijving kun je niet ongedaan maken in deze situatie, en dan is druk uitoefenen op de winkel de enige manier. Gezien de typische prijs van posters is een rechtszaak de moeite niet ben ik bang.

Arnoud

 

 

Welke betekenis heeft robots.txt onder de AVG?

"Robots.txt para Google Maps" by _k40s_ is licensed under CC BY-NC-ND 2.0

Een lezer vroeg me:

Er is de laatste tijd veel gedoe over het scrapen van Linkedin- en andere profielen in de context van de AVG. Wat is de rol van robots.txt hierbij?
Het robots.txt bestand is in 1994 ontwikkeld als vrijwillig protocol. Website-eigenaren geven aan welke robots waar ongewenst zijn, en robot-eigenaren checken hierop alvorens de robot los te laten.

Het protocol is vrijwillig: er is geen wet die eist dat je je eraan houdt. Er is nu wat auteursrechtelijke discussie over robots.txt als TDM opt out, en in 2018 speelde het bestandje een zijdelingse rol bij een discussie over “binnendringen” in het strafrecht. Dat is het wel zo’n beetje.

Scrapen van bergen profielen met persoonsgegevens is om vele redenen aantrekkelijk. De laatste tijd met name om mooie chatbots te kunnen trainen, maar ook het maken van matching-algoritmes voor personen en vacatures is een populaire natuurlijk. Sites zoals Linkedin hebben er een dagtaak aan ongewenste robots buiten te houden.

Robots.txt zou in die context een rol kunnen spelen, maar omdat het dus een vrijwillige standaard is, houden de eigenaren van bovengenoemde bots zich er natuurlijk niet aan en spelen dan mooi weer dat het om “openbare data” gaat en dat hun “gerechtvaardigd belang bij direct marketing (overweging 40 AVG)” dan zwaarder weegt.

Een indirecte rol zou je kunnen vinden in die belangenafweging. Je zegt dan, het feit dat robots.txt vermeldt dat die profielen niet bezocht mogen worden is een factor die wijst op een privacybelang dat tegen het commerciële belang van de scraper opweegt.

Dit is van dezelfde orde als een beding in de gebruiksvoorwaarden dat zulk scrapen verbiedt. Het kan, maar heel sterk vind ik het niet: die voorwaarde en die vermelding in robots.txt gaan niet over privacy van mensen, maar over een keuze van de website-eigenaar.

Arnoud

Met een drone vanuit de lucht filmen is wat anders dan op straat zelf filmen (in Duitsland dan)

Photo by This_is_Engineering on Pixabay

Luchtfoto’s van auteursrechtelijk beschermde werken gemaakt met een drone zijn niet onderworpen aan de panoramavrijheid. Dat bepaalde de hoogste Duitse rechter onlangs. Dat is opmerkelijk, want je zou zeggen dat de vorm van je camera en de lengte van je statief niet auteursrechtelijk relevant is.

Panoramavrijheid is de auteursrechten-vakterm voor het mogen fotograferen van auteursrechtelijk beschermde gebouwen die in de openbare ruimte staan. In Nederland is dat al sinds 1912 erkend, zij het lange tijd met de beperking dat het gebouw niet het hoofdonderwerp mocht zijn. Tegenwoordig is dat breder: zolang het maar gaat om “het werk zoals het zich aldaar bevindt.”

De frustratie hierover van rechthebbenden gaat zeg maar over de koffietafelboeken. Men fotografeert al je beeldhouwwerken, gebouwen en dergelijke en draait daar dan grote, dure boeken van waar jij vervolgens geen cent van ziet. En omdat de achtergrond van het beeld origineel is, is dat dan “zoals het zich daar bevindt” en hoeft er niet eens een naamsvermelding bij.

Dit zien we ook in deze Duitse zaak. De gedaagde partij publiceert gidsen over stortplaatsen in het Ruhrgebied, en daarin staan met drones gemaakte luchtfoto’s van verschillende kunstinstallaties op afvalbergen. De eisers, verenigd in een van de vele Buma/Stemra-achtige belangenverenigingen die Duitsland kent, maakten bezwaar want dít kon toch niet de bedoeling zijn.

De hoogste Duitse rechter is het daar mee eens:

Het doel van de panoramavrijheid geregeld in artikel 59 lid 1 zin 1 UrhG is het vrijstellen van het gebruik van werken indien en voor zover deze deel uitmaken van het door het algemene publiek waargenomen straat- of landschapsbeeld.
Oftewel: als jij gewoon op straat loopt en fotografeert, zou het raar zijn dat je rekening moet houden met of er auteursrecht op een bepaald object zit. Dat staat in de openbare ruimte, dus moet gewoon op de foto kunnen. Maar let op, dit is een controversiële opinie – in België bijvoorbeeld geldt nog steeds dat ‘hoofdonderwerp’-criterium en je selfie met het Atomium vereist dus toestemming (of je bent creatief).

In Duitsland geldt ongeveer dezelfde regel als in Nederland (art. 59 Urheberrechtsgesetz):

(1) Het is toegestaan ??om werken die zich permanent op openbare paden, straten of pleinen bevinden, te reproduceren, distribueren en publiekelijk te reproduceren met behulp van schilderijen of grafische afbeeldingen, foto’s of film. Bij gebouwen strekken deze bevoegdheden zich alleen uit tot het uiterlijk.
Je zou dus zeggen: of je nou op de stoep staat en een gebouw van vooraf fotografeert, of een drone laat vliegen en van (al dan niet schuin) bovenaf, dat maakt niet uit. Maar dát ziet de Duitse rechter dus anders.

Bij het schrijven van deze blog was het paard met de usb-stick met daarop de uitspraak nog niet aangekomen. We moeten het dus doen met het persbericht:

In het geval van het gebruik van foto’s genomen vanuit de lucht met behulp van drones in boekpublicaties ten gunste van de belangen van de auteurs van de gefotografeerde werken. Met deze interpretatie van artikel 59 lid 1 zin 1 UrhG wordt op toelaatbare wijze gebruik gemaakt van de beschikbare ruimte bij toepassing van de beperkingsbepaling in artikel 5 lid 3 letter h van Richtlijn 2001/29/EG.
Achterliggend is het argument dat de panoramavrijheid inherent een botsing tussen auteursrechten en informatievrijheid is. Het is onwenselijk dat makers hun werk van de openbare weg houden, maar ook dat reproduceerders daarvan onbillijk hard geld verdienen met die werken zonder dat de maker daar wat van krijgt.

De balans komt dan neer op “af en toe een passant met een camera moet maar kunnen”. In Nederland is zelfs expliciet bepaald dat je bij overnemen in een compilatiewerk per maker “niet meer mag worden overgenomen dan enkele van zijn werken”. Dat lost het koffietafelboekprobleem adequaat op.

Drones inzetten is niet slechts – zoals ik hierboven schertsend stelde – een draadloze selfiestick, maar een automatisering en industrialisering van dat handwerk. De moeite die je voorheen moest doen, is in principe weg. En dan verschuif je die balans fundamenteel.

Arnoud

Sony verliest EU-rechtszaak over verkoop cheatsoftware voor PlayStation-games

Photo by Tima Miroshnichenko on Pexels

Sony heeft een rechtszaak tegen de Britse hardwarefabrikant Datel verloren. Dat meldde Tweakers vorige week. De cheatsoftware van Datel (Action Replay voor de PSP) schendt geen auteursrecht, omdat deze enkel de interne state van de game manipuleert en geen kopie van het spel maakt. En dat is dan weer het Hof van Justitie dat dat bepaalt.

Nu hebben we het vaker over cheatsoftware gehad, en daarbij was de conclusie vaak dat de cheatmaker fors moet betalen. De cheatsoftware dringt binnen in de server, de makers hebben de software gekopieerd, men zet aan tot schending van de EULA, haakjes genoeg voor gamerechthebbenden. Hier pakt het toch even anders uit.

De ELI5 is dat deze software geen kopie maakt en nergens inlogt, geen anticheatsoftware omzeilt en ga zo maar door. Tijdens het spelen van het spel wordt in het werkgeheugen van alles bijgehouden, zoals hoe veel punten je hebt, welke items je in je bezit hebt en ga zo maar door. Dat werkgeheugen kun je overschrijven, dat zijn gewoon tellertjes.

Action Replay doet precies dat: je typt een code in, dit is feitelijk een instructie over welke geheugenlocaties aan te passen (en naar welke waarde) en het systeem doet dat op de achtergrond. Daarvoor moet je wel aparte software installeren (ik dacht een hardwarekaartje, maar toen de griffier het speelde was het een usb-stick, overweging 17).

Het spelgedrag verandert natuurlijk fundamenteel als je alle dingen kunt aanpassen (idspispopd), maar is dat auteursrechtelijk relevant? De advocaat-generaal had eerder de vergelijking getrokken met eerst het einde van een complexe misdaadroman lezen. Het Hof begint met te stellen dat auteursrecht eigenlijk gewoon gaat over het kopiëren van werken. Dát is niet de bedoeling. Maar dat gebeurt hier niet:

In casu merkt de verwijzende rechter op dat de software van Datel door de gebruiker op de PSP-console wordt geïnstalleerd en tegelijk met de spelsoftware wordt uitgevoerd. Hij voegt daaraan toe dat deze software noch de doelcode, noch de broncode, noch de interne structuur of de organisatie van de software van Sony die op de PSP-console wordt gebruikt wijzigt of reproduceert, maar enkel de inhoud wijzigt van de variabelen die tijdelijk door de spelletjes van Sony in het werkgeheugen van de PSP-console worden opgeslagen en die tijdens het verloop van het spelletje worden gebruikt, zodat het spelletje op basis van deze variabelen met de gewijzigde inhoud wordt uitgevoerd.
Er is dus geen sprake van wijzigen van het spel (zoals bij een patch) en ook wordt geen kopie (zoals bij een emulator) gemaakt. Dat werkgeheugen is gewoon een technisch iets, en daar mag je in rommelen. Er is dus geen sprake van auteursrechtinbreuk.

Natuurlijk zou het kunnen dat een speler de EULA schendt als deze de cheatsoftware gebruikt. Echter, daar kan het Hof van Justitie niets mee: inhoud van contracten staat los van auteursrechten, en daar waren geen vragen over gesteld.

Arnoud

Help, mijn docent zegt dat ik met ChatGPT heb gefraudeerd maar ik schreef alles zelf!

Photo by Jonathan Kemper on Unsplash

Een lezer vroeg me:

Ik zit op het vwo en moest een paper inleveren. Dat heb ik netjes gedaan, alleen zegt mijn docent nu dat dit uit ChatGPT komt en dat ik dus gefraudeerd heb. Dat is zeer zeker niet waar (ik haat die clichéformuleringen), maar hoe moet ik dat nu aantonen?
Ik hoop dat die beschuldiging van fraude met iets meer bewijs werd gedaan dan wat ik ooit las “ik vroeg het ChatGPT zelf en die zei van wel”. Want dat was klinkklare onzin.

Tegelijkertijd weet ik dat veel docenten overspoeld worden met ChatGPT-uitvoer, van werkstukken tot mails, voorstellen en wat heb je nog meer. Daar krijg je dan een neus voor, zeker als je het fors ziet afwijken van wat de leerling produceert wanneer deze geen directe internettoegang heeft. En dan snap ik dat een docent er bovenop springt.

Lastiger is de vraag wat voor bewijs er nodig is in de context van zo’n schoolopdracht. Enerzijds mag je van docenten verwachten dat ze meer aandragen dan “ik herken ChatGPT intuïtief”, anderzijds mag je van scholieren verwachten dat ze meer kunnen laten zien dan enkel hun finale paper.

Mijn voorstel zou dus zijn dat deze lezer zhaar bronnen, concepten en eerdere versies overlegt om te laten zien hoe de tekst tot stand gekomen is. Als dat niet lukt, dan zou een mondelinge discussie over de inhoud een alternatief kunnen zijn: wie zelf ergens een paper over schrijft, moet dat mondeling kunnen toelichten lijkt me. Dit is in ieder geval hoe het bij universiteiten lijkt te werken.

Jullie andere suggesties? Een betrouwbaar werkende genAI-detector ben ik nog niet tegengekomen. (Grammarly’s detector geeft mij zeer wisselende resultaten.)

Arnoud

 

Mag je liegen als je werkgever je vraagt of je het gesprek stiekem opneemt?

Photo by Linda Xu on Unsplash

Liegen over de vraag of je een gesprek met je werkgever opneemt is verwijtbaar, maar geen grond voor ontslag op staande voet. Dat maak ik op uit een recent vonnis van de rechtbank Midden-Nederland. Het blijft een moeizame discussie: moet je verwachten dat werknemers dit gaan doen, mag je er tegen optreden als werkgever?

Het onderliggende conflict was bepaald niet mals: de werknemer zou “door haar houding en opstelling in korte tijd de samenwerking met haar leidinggevende bewust onmogelijk [hebben] gemaakt.” Ze zou regelmatig boze uitlatingen hebben gedaan, een agressieve non-verbale houding nemen en een conflictueuze manier van communiceren kiezen. En dus gesprekken stiekem opnemen.

De rechter ziet inderdaad een “zachts gezegd uitermate moeizame” arbeidsrelatie. Partijen stonden mijlenver van elkaar:

Terwijl [werkgever] van mening was dat zij er alles aan gedaan heeft om [werknemer] op haar gemak te stellen, voelde [werknemer] zich niet gehoord en onbegrepen. De keuze van [werknemer] om de gesprekken met [werkgever] – zonder enige vorm van overleg – op te nemen, is verwijtbaar. Daar staat tegenover dat uit de opnames van een deel van de gesprekken niet volgt dat [werknemer] tijdens die gesprekken beledigende uitlatingen heeft gedaan, zoals [werkgever] stelt.
Het suggereert dat het ergens toch niet de bedoeling is, je gesprek met je werkgever opnemen. En dat terwijl de werknemer had aangegeven dat zij
een goede reden voor de opnames had, omdat de gesprekken tussen haar en haar leidinggevende keer op keer door beiden anders werden geïnterpreteerd.
Het is dan toch volgens het boekje dat je gesprekken opneemt om achteraf te reconstrueren wat er is gezegd. Maar er lijkt meer te zijn geweest:
De verklaring die [werknemer] hiervoor tijdens de zitting heeft gegeven, dat zij de gesprekken achteraf wilde kunnen beluisteren, is onvoldoende. Zij had dit juist als reden kunnen noemen als zij om toestemming voor het opnemen had gevraagd. Uit de omstandigheid dat [werknemer] en [werkgever] in een week tijd al zes gesprekken hebben moeten voeren over de samenwerking, terwijl [werknemer] op dat moment nog maar zeer kort in dienst was en nog in haar inwerkperiode zat, kan geconcludeerd worden dat de basis tussen partijen te wankel is, om de verstoorde arbeidsrelatie te kunnen herstellen.
Ik vind dit wat moeilijk te volgen maar ik denk dat de rechter bedoelt, je greep te snel naar dit zware instrument. Dan verstoor je de prille balans, je escaleert dan té snel en maakt iets dan een arbeidsconflict (“dit gaat mis, ik heb bewijs nodig want ze gaan vast liegen over alles”) terwijl je nog in je eerste werkweken zat.

Ik heb er wél moeite mee dat de rechter hier zegt “je had het juist als reden kunnen noemen”. In een setting waarin de werkgever vraagt “neem jij dit gesprek op” is een antwoord “ja want ik wil bewijs” niet erg handig, maar bij “nee echt niet” zal je niet worden geloofd. Dat gesprek kan niet meer constructief eindigen.

Ook kan het intimiderend overkomen: als jij aan het opnemen bent mannetje, dan is het gesprek klaar en gaan we de ontslagprocedure starten. Dat lijkt me ook verre van wenselijk.

Arnoud

WP Engine en WordPress in juridisch straatgevecht over ‘machtsmisbruik, afpersing en hebzucht’

Photo by GoldBJJ on Pixabay

Hostingprovider WP Engine klaagt WordPress-moederbedrijf Automattic aan voor machtsmisbruik. Dat meldde Tweakers onlangs. De aanleiding: Automattic wil 8% van de omzet van WP Engine voor gebruik van het merk “WordPress”. En dat terwijl de WordPress-blogsoftware open source is.

Het is bepaald ongezellig tussen die twee, zoals Tweakers beschrijft:

De rechtszaak is de recentste stap in een serie van publieke verwijten in het conflict tussen WP Engine en Automattic en diens ceo Mullenweg. Volgens de uitbaters van het commerciële WordPress.com lift WP Engine mee op de naam en populariteit van het blogplatform, zonder bij te dragen aan de ontwikkeling van het onderliggende opensourceproject. In het verlengde daarvan noemde Mullenweg de hostingprovider een ‘gezwel voor WordPress’.
De onderliggende wrevel gaat over het gegeven dat WP Engine gespecialiseerde WordPress-hostingdiensten aanbiedt (vergelijkbaar met het Nederlandse Savvii waar ik tot volle tevredenheid deze blog host), terwijl ze geen bijdrage doet aan wat Automattic allemaal doet om WordPress een breed succes te maken.

Verplicht is dat niet, maar het zal ongetwijfeld steken dat een groot bedrijf je software inzet én meelift op je naam. Je kunt dat als een risico van open source in je businessmodel zien, en je kunt er een merkendispuut van maken.

Maar er speelt meer. De WordPress-installatie die op WP Engine draait, roept de plugin-winkel van WordPress (het bedrijf) aan. Dat is logisch, want zo is WordPress (de software) out-of-the-box geconfigureerd. Maar WordPress (het bedrijf) ziet dat als misbruik van hun server.

Ook niet te vergeten is dat het merk WordPress in handen is van een stichting, juist om te voorkomen dat het merk misbruikt zou worden door een bedrijf voor commercieel gewin in plaats van beschermen van de community rondom WordPress (de software).

En het blijft niet bij dit incident. Iets later meldde Tweakers dat WordPress.org de populaire plug-in Advanced Custom Fields van WP Engine heeft ‘geforkt’. De makers van die plug-in laten weten dat WordPress ACF ‘zonder toestemming’ heeft afgepakt. Het gaat niet zozeer over de software (die is open source) maar overname van het account, alle statistieken een positieve recensies die ermee geassocieerd zijn. Dit lijkt te mogen van de voorwaarden, maar bepaald ongepast is het wel.

Wat me vooral verbaast is hoezeer hier de emotie mee lijkt te spelen. Dit is geen zakelijk geschil meer. En dan hebben juridische stappen soms grote onbedoelde gevolgen. Het is vast onaardig om te zeggen dat ik de popcorn klaar zet?

Arnoud

Man krijgt jaar celstraf voor verkoop van ‘enorme hoeveelheid persoonsgegevens’

De rechtbank in Gelderland heeft een 26-jarige man veroordeeld tot een gevangenisstraf van twaalf maanden, onder meer vanwege het ‘verspreiden van een enorme hoeveelheid persoonsgegevens’. Dat meldde Tweakers vorige week. Het gaat om zo’n 5.000 gegevens (personen) die werden verhandeld om cryptodiefstal op te kunnen plegen.

Uit het vonnis haal ik dat een undercoveragent een pseudokoop is aangegaan:

Op 21 september 2021 heeft een verbalisant in het kader van een pseudokoop via de app Telegram contact gelegd met gebruiker [account 1] . Deze reageerde door te vragen wat de koper precies wilde en deelde mee voor hem rond te vragen. De koper wilde volgens het chatbericht “full info 65+”. … Vervolgens kocht de verbalisant 5.000 targetleads van [account 3] voor een bedrag van € 50,- in bitcoins. Na de betaling ontving de verbalisant van [account 3] via Telegram een bestand, genaamd ‘ [bestandnaam] ’ met de leads.
Mag dat? Ja, dat mag: art. 126i Strafvordering regelt de pseudokoop, die zowel goederen als diensten kan betreffen (en de agent zowel als klant en als leverancier kan aanwijzen). In dit geval was de agent koper en kreeg “telefoonnummer, mogelijk Facebook ID, voornaam, achternaam, geslacht, woonplaats, werkgever en relatiestatus” van zo’n 5000 personen.

Account 3 hierboven bleek te herleiden tot de verdachte, die ook bekende dat hij de gegevens had verkocht. Hij zag daar geen probleem in, ik veronderstel omdat “het gewoon gegevens zijn” en hij zich niet verantwoordelijk achtte voor wat kopers daarmee zouden doen. Daar kan de rechtbak niets mee:

Het is een feit van algemene bekendheid dat persoonsgegevens (leads) veelal worden gebruikt bij oplichting en diefstal, zoals Whatsapp- of bankhelpdeskfraude. Verdachte zat in de openbare Telegramgroep met de naam ‘FraudeHandel’, waarin naar zijn account werd verwezen voor de koop van persoonsgegevens. Verdachte kreeg regelmatig geld voor de verkoop van de persoonsgegevens. Het kan dan ook niet anders dan dat verdachte wist dat de door hem verstrekte persoonsgegevens bestemd zijn voor het plegen van oplichtingen en diefstallen.
Dat maakt je strafbaar (art. 234 Strafrecht):
Hij die stoffen, voorwerpen of gegevens vervaardigt, ontvangt, zich verschaft, verkoopt, overdraagt, verwerft, vervoert, invoert, uitvoert, verspreidt, anderszins ter beschikking stelt of voorhanden heeft waarvan hij weet dat zij bestemd zijn tot het plegen van een [trits misdrijven zoals diefstal of oplichting], voor zover deze feiten betrekking hebben op de verkrijging van een niet-contant betaalinstrument, wordt gestraft met gevangenisstraf van ten hoogste vier jaar of geldboete van de vierde categorie.
De rechtbank ziet weinig omstandigheden om de straf te matigen en komt uit op een jaar gevangenisstraf.

Arnoud