Ik word met mijn paspoortnaam aangesproken in reactie op een recensie, mag dat?

Geplaatst op in Privacy, Uitingsvrijheid, 29 reacties
jackmac34 / Pixabay

Via Reddit:

Ik ben een reviewer, want dat vind ik leuk. In de afgelopen jaren heb ik meer dan 140 online reviews geplaatst. … Nu heb ik afgelopen week een héééle nare ervaring gehad met een bedrijf, en voor het eerst een slechte review geschreven waarbij ik heb beschreven hoe mijn ervaring was en hoe ik naar mijn idee ben behandeld. Nu heeft dat bedrijf (een huidkliniek) mijn persoonlijke gegevens die ik in vertrouwen heb gegeven in hun systeem opgezocht en spreken zij me in hun review antwoord aan met mijn volledige paspoortnaam en zeggen ze dat ik lieg. … Mag dit zomaar? Wat zouden jullie daarmee doen?
De reviewer gebruikt (zoals velen) een bijnaam, wat online erg verstandig is. Maar bij het recenseren van producten of diensten kan de wederpartij natuurlijk vaak achterhalen om wie het gaat. Ook dat is verstandig: wie niets doet tegen neprecensies, kan zomaar onderuit gaan als bedrijf.

Dat het bedrijf opzoekt om wie het ging, vind ik dus logisch. Vervolgens intern nazoeken wat er is gebeurd en meneer benaderen lijkt mij ook geheel in orde (ook AVG-technisch, after sales service is gewoon toegestaan natuurlijk). Maar de naam online zetten in een reactie op de recensie?

Sommige reacties noemen het doxxing, het strafbare feit uit art. 285d Sr van het verspreiden van persoonsgegevens “met het oogmerk om die ander vrees aan te jagen”. Dat gaat me wat ver, maar ik zie hoe het intimiderend over kan komen. En het is denkbaar, dat je iemands echte naam gebruikt in de hoop dat die schrikt en de recensie weghaalt – dan gaat de reactie met echte naam ook weg.

Mag het van de AVG? Het is natuurlijk een verwerking van persoonsgegevens. Op het eerste gezicht: ja, je mag een klant met diens naam aanspreken (natuurlijk). Maar, dat gebeurt hier allereerst op een openbaar forum en niet in zeg een telefoongesprek of mailbericht.

Ten tweede wordt hier die echte naam verbonden aan een gezondheidsgegeven, want we hebben hier te maken met een huidkliniek. En daarmee onthult de kliniek dus een medisch gegeven over een klant, wat zeer zeker niet recht te breien is onder de AVG.

Maar of je het nu onder het strafrecht of via de AVG wilt benaderen, het probleem blijft natuurlijk dat niemand je erbij gaat helpen. De meest aangewezen partij is de reviewsitebeheerders, die onder de DSA moeten handelen op je klacht dat er onrechtmatig persoonsgegevens (of je privacy) wordt geschonden. Aangifte lijkt me kansloos.

Arnoud

Mag Tesla mijn automatisch-sturenfunctie afpakken als ik het stuur loslaat?

Geplaatst op in Ondernemingsvrijheid, Regulering, Security, 32 reacties

Een lezer vroeg me:

Ik heb een oude Tesla (2017) en daar is destijds extra betaald voor de Verbeterde Autopilot (€ 5800) en Zelfrijdende functie (€ 3500). Sinds de laatste software update dreigt de auto die functie uit te schakelen als hij vaker dan 3x “misbruik” van deze functie detecteert. Dus, als ik niet op tijd aan het stuur jutter noemt hij dat misbruik. Eerst wordt de autopilot voor de rest van de rit uitgeschakeld en na 3x dus helemaal. Toen de auto gekocht werd was alleen van “uitschakelen voor de rest van de rit” sprake. Nu suggereert de waarschuwing (ik heb ‘m niet kunnen vastleggen) dat deze, duurbetaalde, functie zomaar door Tesla kan worden afgepakt. Mag Tesla zomaar gekochte functionaliteit afpakken?
‘Afpakken’ is niet helemaal de juiste term. Het gaat om een veiligheidsmaatregel bij herhaaldelijk onjuist gebruik van de autopilot-functie. Dit is een tijdelijke maatregel: na vijf keer ingrijpen door het systeem kun je een week lang geen gebruik maken van deze functie.

De onderliggende reden ligt bij de Amerikaanse toezichthouder NHTSA, die in december 2023 met Tesla na een terugroepactie afspraak dat ze een “Suspension Policy” zouden invoeren:

Introduced a Suspension Policy that will restrict Autosteer usage for one week if improper usage is detected. Improper usage is when you, or another driver of your vehicle, receive five “Forced Autopilot Disengagements.”
Het probleem was dat mensen deze automatische stuurfunctie aanzetten en dan het stuur loslaten en/of niet meer naar de weg kijken. Daar komen ongelukken van, vandaar dat de toezichthouder eiste dat hier een effectieve controle met sanctie voor ingeprogrammeerd zou worden.

In Europa hebben we natuurlijk niets te maken met de Amerikaanse National Highway Traffic Safety Administration, daar is deze update aan de auto een gewone, vrijwillige verandering van de fabrikant. Dat mag, tenzij de verandering in gaat tegen de verwachting die je als koper van zo’n auto redelijkerwijs mocht hebben.

In de handleiding bij Autosteer staat natuurlijk

“Autosteer is a hands-on feature. You must keep your hands on the steering wheel at all times. … Failure to follow these instructions could cause damage, serious injury or death.”
Hier staat nu ook uitgelegd hoe deze sanctieregeling werkt, maar dat stond er natuurlijk niet toen de vraagsteller de feature kocht (2017), want die regeling is pas eind 2023 ingevoerd.

Mag je redelijkerwijs verwachten dat een autofabrikant extra veiligheidsmaatregelen neemt om (mogelijk dodelijke) ongevallen te voorkomen? De vraag stellen is ‘m beantwoorden: natuurlijk mag dat.

Het zit hem in redelijkheid en proportionaliteit, is deze manier van afstraffen van kennelijk misbruik een gepaste reactie? Ik neig naar ja: het is nu eenmaal écht niet gewenst dat je je ogen van de weg haalt of het stuur loslaat, ongeacht wat de reclame over zelfrijdende auto’s je wijs wil maken. Auto’s en andere weggebruikers zijn daar niet voor gemaakt. De sanctieregeling is daarbij getrapt opgebouwd en beperkt je een relatief korte tijd.

De enige twijfel die ik heb, zit hem in hoe accuraat de gevaardetectie van Tesla is. Ik lees her en der verhalen dat hij ‘zomaar’ een sanctie oplegt, maar die komen vaak uiteindelijk toch neer op “ik keek maar éventjes naar de Spotify-instellingen” of “ik deed één yoga-oefening” en niet naar “ik hield de handen op het stuur en keek naar buiten, maar toch”.

Arnoud

Mag je jezelf SAP-specialist noemen als je dat bent (maar SAP je niet kent)?

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 4 reacties
Photo by Alice on Unsplash

Een lezer vroeg me:

Ik vroeg me af of een softwarebedrijf mag eisen dat hun productnaam niet gebruikt mag worden in een functietitel. Ik Stel (fictief) dat ik bijzondere expertise heb in adviseren over SAP. Ik ga voor mezelf beginnen als consultant, en hanteer daarbij de titel “SAP consultant” of “SAP specialist”. Heb ik dan een merkrechtelijk probleem?
In de kern draait merkenrecht om verwarring, in het bijzonder verwarring door associatie. Oftewel: denken mensen dat jij werkt bij of erkend bent door SAP? Als mensen bij die titel denken dat jij iets met SAP te maken hebt, dan is het merkinbreuk. Als je zegt, iedereen weet dat je dan een onafhankelijke consultant bent met toevallig expertise in SAP, dan is het geen merkinbreuk.

Als ik even snel zoek, dan kom ik de functie “SAP Consultant” tegen in de generieke Nationale Beroepengids, al zeggen die dan weer “De SAP consultant is in dienst van het van oorsprong Duitse bedrijf SAP”. Ik zie op vele banensites vermeldingen voor deze categorie, en lang niet altijd inclusief een arbeidscontract met SAP.

Deze leverancier heeft vele certificeringen, waarbij ook de term “consultant” valt. Maar altijd in combinatie met andere termen, zoals “SAP Certified Associate – Enterprise Architecture Consultant”. Die pagina lezend geeft mij het gevoel dat SAP zelf de term “SAP Consultant” niet te monopoliseren vindt.

Bij het Europees Merkenbureau zie ik ook zo gauw geen merk waar “SAP” en “consultant” in staat. SAP zelf is natuurlijk wel een beschermd merk, maar in combinatie met een generieke term is dat gebruik toegestaan om naar SAP te verwijzen – hier geef ik consultancy over, hier heb ik verstand van.

Het is dan weer wel af te raden om duidelijk logo’s van SAP te gaan gebruiken op je site. Dat wekt indirect toch weer een indruk van erkenning of een zakelijke relatie met het bedrijf, en dan kom je alsnog bij merkinbreuk uit.

Arnoud

Hoge Raad: tekst ‘bestellen’, ‘bestelling plaatsen’ of ‘bestelling afronden’ bij webwinkelen niet voldoende duidelijk voor consument

Geplaatst op in Ondernemingsvrijheid, 32 reacties
Photo by micheile henderson on Unsplash

Wanneer blijkt uit de tekst op de bestelknop van een webwinkel voldoende duidelijk dat de consument een betalingsverplichting aangaat, zo las ik op de site van de Hoge Raad. In twee parallelle arresten worden bestelknoppen met de tekst ‘bestellen’, ‘bestelling plaatsen’ of ‘bestelling afronden’ afgekeurd: consumenten kunnen hun bestelling (mogelijk) gratis annuleren als dat de enige tekst was.

We kwamen deze kwestie van de zomer nog tegen bij de bestelknop van de VakantieDiscounter. Een consument had een reis geboekt, en wilde daar weer vanaf. Dat mocht niet vanwege de eigenlijke reden, maar wél omdat de boekingsknop alleen de tekst ‘DOORGAAN’ bevatte. Daarmee was niet duidelijk dat je op dat moment definitief zou boeken. (Dat je de stap daarna bij de bank kwam, was te laat: wie de betaling dan annuleert, schendt alleen de betalingsverplichting.)

Dit kwam als een verrassing, vooral omdat deze mensen niet misleid waren of niet geleverd kregen of iets dergelijks. Hoezo heb je dan achteraf nog recht op je geld terug? Dat is waar de ene zaak over gaat. Een vrouw had zich ingeschreven voor de opleiding doktersassistent, en wilde na enige tijd er toch mee stoppen.

De bestelknop bevatte alleen de tekst ‘schrijf je nu in’. Partijen waren het er over eens dat die tekst niet voldeed aan de wet, maar de opleider vond dat de vrouw dan wél (een deel van) het lesgeld moest terugbetalen, waarbij “een korting op de betalingsverplichting van de consument van één derde in beginsel redelijk te achten [is].”

In de andere zaak hanteerde de bekende webshop Bol.com alleen de tekst ‘bestelling plaatsen’ op de bestelknop. De Hoge Raad ziet dat er wisselend gedacht wordt over die tekst, en zet een harde lijn in: de wet eist expliciete aandacht voor de betalingsverplichting die bij de bestelling hoort. Het punt is dus niet “let op, je gaat nu definitief akkoord” maar “let op, je moet nu betalen”.

De wet zegt dat “bestellen met betalingsverplichting” geacht wordt te voldoen. Die enorm lange tekst past natuurlijk niet op een knop (het Duitse origineel Zahlpflicht wel), maar de taalkundigen zullen hun best moeten doen iets beters te verzinnen. Wat ik jammer vind, is dat de Hoge Raad niets zegt over een tekst “Met betalingsverplichting” onder de knop “Nu bestellen”.

Ook hier kwam natuurlijk het punt: wat doe je met de gevolgen van de overeenkomst, als die vernietigd wordt door rechtsgeldig klagen over die knop? Als je zegt “er hoeft geen geld terug” dan heeft de winkel geen prikkel om de site aan te passen. Maar als je zegt “ongeacht omstandigheden moet altijd het volledige bedrag terug”, dan straf je winkels wel weer érg hard, zeker in situaties waarin de consument eigenlijk niet geraakt is en ook al gewoon genoten heeft van de overeenkomst.

Een bijkomende uitdaging is dat men duidelijke regels wil  voor de webshop-incassopraktijk, waar vaak geen verweer wordt gevoerd. Kantonrechters moeten dan toch de wet toetsen (“ambtshalve”), en gaan dan na of die knop wel voldoet. Dan is het handig als men een simpele regel heeft die in het algemeen toegepast kan worden over wat dan te doen met het te betalen bedrag.

Daarom komt de HR met de op zich simpele regel: een korting van één derde op de betalingsverplichting van de consument is in beginsel redelijk. Dus als niemand er een punt van maakt, dan is dat het. Als er specifieke zaken aangedragen worden, dan mag de rechter het opnieuw bekijken.

Ik heb het vaker gevraagd, maar wat zouden jullie op je bestelknop zetten met dit arrest in het achterhoofd?

Arnoud

“Tesla roept Cybertrucks terug”, althans doet over-the-air update

Geplaatst op in Ondernemingsvrijheid, Regulering, Security, 1 reacties
Photo by Luke Miller on Pexels

Tesla start een terugroepactie voor de Cybertruck vanwege een te trage weergave van de achteruitrijcamera. Dat meldde Tweakers vorige week. De reacties klonken ergerlijk: de fabrikant brengt een over-the-airupdate uit, dus je hoeft niet met je Tesla terug. Bewuste propaganda van Teslahatende media?

Een willekeurige greep uit de reacties:

Het is geen terugroepactie, er hoeft niks terug naar de garage of dealer. Je auto update zijn firmware in de nacht via wifi / 5G op je eigen oprit en de volgende ochtend rij je gewoon weer weg. Als je dit een recall noemt, dan wordt je Windows / MacOS laptop ongeveer 2 x per maand ‘ge-recalled’.
Het heet natuurlijk een ‘recall’ of terugroepactie omdat dit de juridische bevoegdheid is van de toezichthouder. Dat is hier de de Amerikaanse verkeerstoezichthouder National Highway Traffic Safety Administration, die in haar rapport schetst wat er aan de hand was:
On September 12, 2024, as part of an internal compliance audit involving a MY 2024 Tesla Cybertruck, Tesla identified a potential FMVSS 111, S6.2.3 noncompliance. … On September 19, 2024, having completed its assessment, Tesla determined that a noncompliance exists and made a voluntary recall determination. … Beginning on or shortly after September 19, 2024, at no cost to customers, affected vehicles received an over-the-air (OTA) software remedy that ensures the back-up camera display complies with the two-second response time, as per FMVSS 111, S6.2.3.
Tesla heeft, zo lees ik bij Autoweek, het hoogste aantal recalls per autofabrikant in de VS. Dat is inclusief de dingen die met een OTA worden opgelost, en waarvoor je gewoon thuis kan blijven. Inderdaad, net zoals met je telefoon of laptop die een update krijgt.

Waarom noemen we dat niet ook een terugroepactie of recall? Inderdaad dus omdat het juridisch zo heet, maar ook omdat er een iets serieuzere ondertoon in zit dan ‘gewoon’ een bugfix. Anders gezegd, iets is een recall omdat er iets mis is, en wel iets dat mens of goed in gevaar kan brengen. Daarom die specifieke procedure met die zware term. Het triggert mensen dat er echt wat is, zodat ze actie ondernemen en zich bewust zijn van het probleem.

Je zou een andere term kunnen bedenken (“verplichte update” of “mandatory security fix”) maar die heeft bij het beoogde publiek niet die associatie van urgent, gevaar, actie vereist. En het voelt wat overdreven om dan heel hard die associatie te gaan bouwen enkel om te voorkomen dat een OTA oplossing meegeteld wordt in dezelfde kolom als de terug-naar-de-dealer oplossing.

Arnoud

 

Hoe veel kost overname van andermans foto als je dat automatisch doet?

Geplaatst op in Intellectuele rechten, Uitingsvrijheid, 17 reacties
Photo by OpenClipart-Vectors on Pixabay

Hoe veel kost overname van een foto nou echt, en wat doe je als je heel verschillende tarieven ziet? Die vraag kreeg de rechtbank Gelderland recent in een zaak tussen twee fotografen en een regionale nieuwssite. De uitspraak raakt aan embedded linken, citaatrecht én de hoogte van de schadevergoeding.

De fotografen, althans de organisatie waar ze bij aangesloten waren, hadden gezien dat zo’n duizend foto’s verschenen op die nieuwssite. Reden voor een forse rekening, alleen bleek al snel dat de meesten daarvan via een embedded hyperlink (dieplink) vanaf hun eigen server werd ingeladen. Dat is dus geen inbreuk.

Van 82 foto’s (eiser 1) en 390 foto’s (eiser 2) stond vast dat ze waren gekopieerd (gedownload en ingeladen op de eigen server). Dat moet je niet doen: dat is inbreuk. Althans, tenzij je je kunt beroepen op citaatrecht, maar dat ligt moeilijker dan je zou denken, zeker als je alles volautomatisch doet:

Naar het oordeel van de rechtbank kan een beroep op het citaatrecht niet slagen als een nieuwsbericht, naast een koptekst, louter en alleen bestaat uit een foto. De gebruikte foto is dan namelijk niet van ondergeschikt belang ten opzichte van de uitlatingen van de gebruiker. Een uitlating van de gebruiker ontbreekt bovendien in dit concrete geval. Dat dit moet worden beoordeeld in de context van de gehele website en niet ten aanzien van een enkel nieuwsbericht, zoals [gedaagde] heeft betoogd, vindt naar het oordeel van de rechtbank geen steun in het recht. Die opvatting zou teveel afbreuk doen aan het beschermingsniveau van intellectuele eigendomsrechten zoals gewaarborgd door de Auteursrechtrichtlijn en de Aw.
Het achterliggende argument is dat een citaat wel wat toe moet voegen. Je toont niet een foto omdat je bron dat ook doet, je doet dat omdat die foto iets toevoegt. Je hebt de foto nodig, wellicht als bewijs, wellicht om je eigen betoog te versterken of juist om in te hakken op de foto, maar zoals ik altijd zeg: een overname is pas een citaat als je eigen verhaal onduidelijker wordt zónder de overgenomen foto.

Bij sites als deze wordt eigenlijk altijd standaard de foto van het bronartikel meegenomen, en naast de eerste alinea getoond. Als dat met embedden gebeurt, is dat prima (oordeelt ook deze rechter), maar als je foto’s overneemt dan kom je dus in een spannend gebied terecht. Een hele kleine overname (niveau postzegel) is traditioneel wel een citaat in de vorm van een aankondiging, maar zo te lezen waren de foto’s hier een stuk groter.

Dan blijft over de vraag, hoe veel schade moet de inbreukmaker vergoeden. Het gaat hier om professionele fotografen, dus als hoofdregel is dat de gemiste licentievergoeding. Daar stonden twee argumenten tegenover elkaar:

  1. De fotografen stelden dat ze normaal voor zulk gebruik €285 per foto betaald kregen, en hadden facturen overlegd die daadwerkelijk dat bedrag in rekening brachten.
  2. De gedaagde had gevonden dat de opdrachtgever van die fotografen (DPG media) eerder rond de 11 euro per foto rekende.
De rechtbank volgt (weinig verrassend) de bewijzen van de fotografen. Wat marktconform is, is niet relevant. Bij schade gaat het om de schade die jij leed, niet wat men gemiddeld aan schade heeft. Als je mijn dure Spkyer auto total loss rijdt, heb ik meer schade dan wanneer dat bij mijn 15 jaar oude Opel Corsa gebeurt.

De rechter neemt hier (wel ietwat verrassend) de staffelkorting over die de fotografen hanteren. Hierdoor komt het tarief op ongeveer 192 (eiser 1) en 100 euro (eiser 2) per foto. En in het eindvonnis (er was wat procedurele discussie) gaat het dan hard – 16k respectievelijk 40k schadevergoeding.

Weliswaar zonder allerlei opslagen voor naamsvermelding, gemiste exclusiviteit en weet ik veel. Maar desondanks een enorm bedrag. Daar komen dan nog de proceskosten bij, die in auteursrechtzaken normaal neerkomen op de échte rekening van de advocaat (en niet het forfaitaire tarief). Alleen zijn er sinds enkele jaren richtsnoeren dat het bij “eenvoudige” zaken – zoals deze – gemaximeerd moet zijn op 8000 euro in een bodemprocedure. En dat doet de rechtbank dan ook.

Arnoud

Mag mijn werkgever mijn laptop afpakken als ik weer begin met werken?

Geplaatst op in Ondernemingsvrijheid, 8 reacties
Free-Photos / Pixabay

Een lezer vroeg me:

Na een tijd ziek te zijn geweest, ben ik maandag begonnen met reïntegreren op het werk. Alleen heeft de werkgever direct mijn laptop ingevorderd, en krijg ik nu een ouderwetse desktopcomputer. De reden “we moeten weer aan elkaar wennen”. Is dit juridisch toegestaan?
Wie nu denkt “ja, want die laptop is eigendom van de werkgever”, die moet het vak arbeidsrecht opnieuw gaan doen. Je moet als werkgever actief behulpzaam zijn bij het reïntegreren van de werknemer, naast dat je werknemers de middelen moet geven om hun werk te kunnen doen. Artikel 7:658a lid 1 BW verplicht de werkgever om de inschakeling van de arbeidsongeschikte werknemer in het arbeidsproces te bevorderen. Dit omvat het treffen van maatregelen en het geven van voorschriften die redelijkerwijs nodig zijn voor een succesvolle reïntegratie. Zomaar de spullen innemen botst daar natuurlijk heel hard mee.

Ook vanuit het goed werkgeverschap (art. 7:611 BW) zou ik dit problematisch vinden. Dit principe impliceert dat de werkgever de werknemer in staat moet stellen zijn werk naar behoren uit te voeren, inclusief het verstrekken van de nodige hulpmiddelen. En ook om niet zomaar grote veranderingen door te voeren in een gevoelige situat

Er kan een reden zijn waarom de werknemer geen laptop meer nodig heeft en een desktopcomputer volstaat. In dat geval kan de werkgever dat prima omruilen. “Moeten wennen aan elkaar” vind ik dan wel wat mager, mede omdat het klinkt als “we denken dat je niet kunt thuiswerken” en dat komt een reïntegratietraject natuurlijk niet ten goede. Maar als er inderdaad geen reden voor thuiswerk is (wat bij reïntegratie prima kan), dan is dit een optie.

De werkgever moet dan wel kunnen aantonen dat deze beslissing in lijn is met het reïntegratieplan en de behoeften van de werknemer. Ten eerste kan het zijn dat de werknemer, als onderdeel van het reïntegratietraject, voorlopig uitsluitend op kantoor werkt om directe begeleiding en ondersteuning te krijgen van collega’s en leidinggevenden, waardoor een vaste werkplek met desktopcomputer meer geschikt is voor deze fase van het herstelproces. Ten tweede kan de overstap naar een desktopcomputer onderdeel zijn van een ergonomisch verantwoorde werkomgeving. Deze opstelling biedt vaak betere mogelijkheden voor het instellen van een ergonomisch correct werkstation, inclusief een groot, verstelbaar beeldscherm, een aangepast toetsenbord en een ergonomische muis.

Het zou kunnen dat de werkgever vermoedens heeft dat de werknemer ongewenste dingen doet met de laptop, zoals het bedrijven van een side business tijdens werktijd of het delen van vertrouwelijke bedrijfsinformatie met concurrenten. Echter, louter vermoedens zijn geen juridische grondslag om de werkmiddelen van een werknemer in te nemen, zeker niet tijdens een reïntegratietraject. De werkgever dient eerst concrete bewijzen te verzamelen en de juiste procedures te volgen voordat zulke ingrijpende maatregelen genomen kunnen worden. Bovendien staat een dergelijke actie haaks op de wettelijke verplichting om de reïntegratie te bevorderen en kan het zelfs gezien worden als een vorm van belemmering in de uitvoering van het werk.

Arnoud

Meerverbruik werkgeheugencapaciteit en de zorgplicht van de ICT-leverancier

Geplaatst op in Ondernemingsvrijheid, 3 reacties
Photo by Liam Briese on Unsplash

Als je als klant meer RAM-geheugen gebruikt dan contractueel was overeengekomen, heeft je hostingprovider of ict-dienstverlener dan een informatieplicht over d ekosten? Nee, niet als je zelf weet hoe dat zit. Dat maak ik op uit een recent arrest (via) van het Hof Den Bosch. Ik ben opgehouden te tellen hoe veel zorgplicht-arresten er zijn, ondertussen.

Hoe kun je nou per ongeluk meer werkgeheugen in gebruik nemen dan waar je contractueel recht op had? In grootzakelijke situaties kan dat, zo ook hier. Die extra geheugencapaciteit is dan gereserveerd, maar niet daadwerkelijk gebruikt (“powered off”). Het doel was in dit geval uitwijkcapaciteit bij calamiteiten.

Op zeker moment had de klant deze reservecapaciteit daadwerkelijk geactiveerd en in gebruik genomen. De leverancier stuurde daarop een rekening, want hoeveelheid gebruikt geheugen was contractueel een punt waarvoor gefactureerd mocht worden.

Allereerst maakte de klant daartegen bezwaar omdat zij de meting niet kon verifiëren. Alleen de leverancier had de logs, en dat voelde oneerlijk. Dat is echter voor de rechter te weinig, zeker omdat in de algemene voorwaarden afgesproken was dat logs binden tenzij tegenbewijs wordt geleverd. Bovendien – en belangrijker – zag het hof wel degelijk mogelijkheden voor de klant om eigen meetgegevens over in gebruik zijnde geheugen te verzamelen.

Ten tweede stelde de klant dat de ict-leverancier, als specialist en voorzien van logging en monitoring, haar had moeten waarschuwen over de toegenomen hoeveelheid werkgeheugen (en de bijkomende kosten). En inderdaad, het is deel van je zorgplicht om duidelijk te maken wat je levert en wat de (meer)kosten zijn. Een klant die per ongeluk over een limiet gaat, daar moet je wat mee – en wel meer dan alleen een meerfactuur sturen.

Hier speelde dat echter niet. Het Hof ziet duidelijk bewijs

dat het aanmaken en uitbreiden van de hoeveelheid daadwerkelijk gebruikt werkgeheugen een actieve handeling was die op een eigen interne afdeling van [de klant] plaatsvond. Dat handelen van de eigen afdeling van [de klant], en de wetenschap omtrent uitbreidingen van het werkgeheugen die bij die afdeling bestond, moet aan [de klant] worden toegerekend.
Immers, in een van de mails tussen klant en leverancier ging het hier over:
Daarbij wordt ook gesteld, zo verstaat het hof, dat men bij [de klant] niet erg verbaasd is over het feit dat meer werkgeheugen wordt gebruikt dan waarvoor is gefactureerd, omdat het aanmaken en uitbreiden van werkgeheugen bij [de klant] gebeurt en men er bij [de klant] vanuit ging dat [de leverancier] het maximaal te gebruiken werkgeheugen had gelimiteerd en er daarom nooit een controle op heeft plaatsgevonden.
Als je zelf op de knop moet drukken en weet wat er dan gebeurt, dan houdt de zorgplicht van de leverancier daar op. De veronderstelling dat er een harde limiet zit op wat je kunt afnemen is er eentje die je zelf moet verifiëren (of navragen), daar mag je niet blind op vertrouwen.

In dit geval met grote gevolgen: een rekening achteraf van een slordige vijf ton. Voor andere bedrijven wellicht een prikkel om even na te vragen hoe hun ict-omgeving ingericht is en welke zachte (zelf uit te zetten) limieten daarbij bestaan?

Arnoud

 

EU-Hof: data doorverkopen is onder privacywet soms toegestaan

Geplaatst op in Ondernemingsvrijheid, Privacy, 26 reacties
Photo by Pankaj Patel on Unsplash

Het verkopen van gegevens van klanten aan commerciële bedrijven mag onder de AVG, concludeert het Europees Hof van Justitie. Dat meldde Tweakers vorige week. Hiermee is het standpunt van onze AP eindelijk naar de prullenbak verwezen: ook commerciële belangen kunnen en mogen de basis zijn voor een “gerechtvaardigd belang” onder de AVG. Maar we zijn nog lang niet bij “verkopen van data mag als je een commercieel belang verzint”.

De zaak begon in 2018, toen de Koninklijke Nederlandse Lawn Tennis Bond (Knltb) een nieuwe stap deed:

Tussen de regels door lees ik dat de KNLTB op zoek is naar extra bronnen van inkomens, en haar ledenlijst als een waardevol betaalmiddel ziet. Daarom is besloten om die ledenlijst eens commercieel te activeren, door ze aan (ongetwijfeld zorgvuldig geselecteerde) partners te geven. Deze mogen dan bellen of brieven sturen met reclame, totaal maximaal drie keer per kwartaal. E-mail is uitgezonderd, daarvoor moeten leden een aparte opt-in geven vanwege het spamverbod uit de Telecomwet.
De Knltb beriep zich daarbij op het gerechtvaardigd belang, een van de zes grondslagen uit de AVG. De AP was het daar niet mee eens en deelde een half miljoen boete uit:
De AP komt nu met het strenge standpunt dat commerciële belangen nooit gerechtvaardigd kunnen zijn. Die zijn namelijk niet als zodanig in de wet erkend, in tegenstelling tot zeg eigendomsrecht of de vrijheid van meningsuiting. Er is natuurlijk het grondrecht van de ondernemingsvrijheid, maar dat vindt men te onbepaald en generiek om als grondslag te kunnen dienen voor de handel in persoonsgegevens. Daarmee is er dus eigenlijk nóóit een rechtvaardiging te verzinnen om in persoonsgegevens te handelen, als ik even tussen de regels samenvat.
De bond satpte daarop naar de rechter, en die besloot vragen aan het Hof van Justitie te stellen. Iets dat moet, als er een nieuwe en creatieve lezing van een term uit een Europese wet wordt gehanteerd. En nu eindelijk hebben we het verlossende woord:
In die omstandigheden kan een commercieel belang van de verwerkingsverantwoordelijke, zoals het in punt 47 van het onderhavige arrest genoemde belang, een gerechtvaardigd belang in de zin van artikel 6, lid 1, eerste alinea, onder f), AVG vormen, voor zover het niet in strijd is met de wet. Het staat evenwel aan de verwijzende rechter om van geval tot geval te beoordelen of een dergelijk belang bestaat, rekening houdend met het toepasselijke rechtskader en alle omstandigheden van de zaak.
Hieruit concludeerden velen dat je dus gewoon mag handelen in persoonsgegevens als je het maar even snel “gerechtvaardigd belang moehaha” noemt. Dat is dus onjuist.

De wet stelt namelijk vier eisen aan gerechtvaardigd belang:

  1. Het belang is op zichzelf legitiem,
  2. Het gebruik van de gegevens is proportioneel en redelijk voor dat belang,
  3. Er is goed rekening gehouden met de privacy, zoals door privacyvriendelijke maatregelen inbouwen,
  4. Er is een opt-out ingebouwd, die bij marketing/reclame altijd ingeroepen mag worden en bij andere dingen als je persoonlijke redenen hebt.
De AP zei dus dat bij stap 1 je nóóit aan mocht komen met commerciële belangen. Dat keurt het Hof nu af, dat kan wel. De grens ligt grofweg bij of het belang iets legaals is, dus tenzij wettelijk verboden kan het een belang zijn.

Blijven over 2 en 3: is dit proportioneel en heb je maatregelen genomen. De tennisbond kan bijvoorbeeld tegen juridisch uitgever Kluwer zeggen, ik heb 230 leden die advocaat zijn, welke reclame zullen wij ze sturen? Of contractueel afspreken dat er eenmalig een brief naar een lijst adressen mag en dat die daarna vernietigd wordt, op straffe van boetes.

Waar ineens vandaan komt dat “datahandel” legaal is, weet ik niet. Die term associeer ik met het doorverkopen van Excellijsten als zodanig, waarna de ontvanger daarmee mag doen wat die goeddunkt. Iets dat sowieso niet mag van de AVG.

Wat mij betreft verandert er dus weinig aan de praktijk. We weten nu dat je in principe mag zeggen dat je een commercieel belang gebruikt voor gegevensverwerking. Maar je moet nog steeds je belangenafweging rond krijgen, maatregelen inbouwen en met een opt-out rekening houden. Dat was altijd al zo.

En ja, ik snap het dat het Hof de gelegenheid niet te baat nam om persoonsgebonden marketing illegaal te verklaren. Maar de wet biedt deze ruimte nadrukkelijk, en dus moet de wetgever nieuwe regels maken als we als maatschappij dit willen afschaffen.

Arnoud

 

 

 

 

 

DTC mag vertrouwelijke informatie over cyberdreigingen met meer bedrijven delen

Geplaatst op in Security, 2 reacties
Photo by Towfiqu barbhuiya on Unsplash

Door de Wet bevordering digitale weerbaarheid bedrijven mag het DTC beschikbare specifieke vertrouwelijke informatie over cyberdreigingen delen met individuele bedrijven in Nederland,  las ik bij Tweakers. Het lijkt een detail maar het was al langer een ergernis van mij dat dit niet kon, helemaal omdat dit als “mag niet van de AVG” werd gebracht.

De Rijksoverheid legt uit:

In de praktijk zal het Digital Trust Center (DTC) vanuit het ministerie van Economische Zaken hieraan uitvoering geven. Door de wet mag het DTC beschikbare specifieke vertrouwelijke informatie over cyberdreigingen ook daadwerkelijk delen met individuele bedrijven in Nederland. De wet maakt bijvoorbeeld een rechtstreekse informatie-uitwisseling mogelijk tussen overheidsorganisaties die zich met digitale beveiliging bezighouden. Dit zijn het Nationaal Cyber Security Centrum (NCSC), het Computer Security Incident Response Team (CSIRT) voor digitale diensten en het DTC.
Je zou zeggen dat er weinig bijzonders is aan het informeren van partijen die geraakt kunnen worden door een cyberbedreiging. Je bent de overheid, je weet van een risico, dan benader je zo’n bedrijf toch even?

Helaas lag dat iets ingewikkelder. Ik heb diverse redenen gehoord:

  • Willekeurige marktpartijen benaderen is lastig, want hoe weet je die te vinden en bij welke ingang moet je zijn?
  • Er is te weinig menskracht om al die meldingen te doen, want je kunt niet een paar bedrijven informeren.
  • Dit mag niet van de AVG want er kunnen persoonsgegevens betrokken zijn (denk aan IP-adressen van gehackte computers die van eenmanszaken zijn).
  • De doelstelling van de genoemde organisaties is beperkt tot informeren van aangewezen instanties, dus men treedt dan buiten de wettelijke taakstelling.
  • De overheid concurreert zo met private partijen die security alert diensten bieden, en dat is oneerlijk als het geen wettelijke taak is.
De Wbdw is kort maar krachtig en noemt twee nieuwe taken voor het DTC:
  1. het analyseren en het onderzoeken van gegevens over kwetsbaarheden, dreigingen en incidenten die betrekking kunnen hebben op netwerk- en informatiesystemen van bedrijven;
  2. het informeren en adviseren van bedrijven over kwetsbaarheden, dreigingen en incidenten die betrekking kunnen hebben op hun netwerken informatiesystemen.
Deze taakstelling creëert in ieder geval een duidelijke grondslag onder de AVG om deze gegevens over te brengen. Het probleem van capaciteit of prioriteiten blijft bestaan, maar daar is nu meer ruimte voor te maken. Het stuk concurreren is nu in ieder geval wettelijk geregeld, en wat mij betreft blijft er genoeg ruimte over voor commerciële partijen.

Arnoud