Wanneer verdient gefotoshopte content het label “AI assisted”?

Geplaatst op in Innovatie, Uitingsvrijheid, 4 reacties
Photo by Florinel ZONE on Unsplash

Een probleem bij Facebook en collega’s: je krijgt al vrij snel het label “AI assisted” of vergelijkbaar aan je beeldmateriaal. Moederbedrijf Meta worstelt met hoe dit aan te pakken, omdat zij nepbeeld wil aanpakken maar er nauwelijks goede criteria zijn. Maar op dit moment is het “als je Adobe®? Photoshop gebruikt, krijg je het label” en dat is ook weer niet heel handig.

De opkomst van AI-beeldgeneratoren heeft geleid tot een stortvloed aan nepbeeld en AI-revisies. Soms bizar (zoals Shrimp Jesus), soms gewoon nieuwe kunst en soms welbewuste manipulatie van de werkelijkheid – en van alles daar tussenin.

Dit aanpakken begint bij het herkennen, en daar ligt ook meteen het probleem. De meeste bedrijven in deze sector doen mee aan wat Adobe Content Credentials heeft genoemd: een label in de metadata waarin kort opgesomd staan welke handelingen met AI zijn uitgevoerd. Deze is via een stevige hash verbonden aan de afbeelding, en kan dus ook geverifieerd worden als het label uit het beeld gehaald worden (en ook na bepaalde triviale manipulaties zoals roteren).

Facebook, Instagram en collega’s screenen op dit label, en tonen dan een waarschuwing: “Made with AI”, tegenwoordig “AI Info”. Van tegenhouden of andere maatregelen is (vooralsnog) geen sprake, en in het kader van transparantie is dit al een mooie stap natuurlijk. (Het moet ook in het kader van de zorgplicht onder de DSA die deze platforms hebben.)

Probleem is natuurlijk: wanneer is iets “made with AI” of “AI assisted”. Heel veel aanpassingen die we de afgelopen twintig jaar als “image was enhanced using Adobe® Photoshop® software” (deze frase is verplicht) hebben omschreven, worden tegenwoordig als AI-aanpassingen gezien. Niet alleen generatief (het uitbreiden van je canvas) maar ook basale zaken als objecten herkennen en vervangen. Dit speelt natuurlijk ook bij andere tools.

Ik denk niet dat je hier ooit echt uitkomt. Het compromis dat nu gevonden is, komt neer op een onderscheid tussen “de afbeelding kwam in de basis uit een genAI tool” en “de afbeelding is aangepast met AI-achtige tools”. Die eerste krijgen het label, bij die tweede zie je het pas als je de foto-informatie opvraagt. Ideaal is dat niet, maar ik weet niet hoe het beter zou moeten.

Arnoud

 

Aansprakelijkheid van de netwerkbeheerder voor schade ten gevolge van een ransomware aanval

Geplaatst op in Ondernemingsvrijheid, Security, 5 reacties
Photo by Michael Geiger on Unsplash

Als ict-beheerder 50.000 euro moeten betalen omdat je klant door ransomware werd getroffen, terwijl de netwerkbeveiliging eigenlijk bij een derde lag. Ja, dat kan: zorg dus dat je je documentatie goed op orde hebt, want dat is waar de zaak eigenlijk op mis ging voor de beheerder.

Dat vonnis gaat vooral in over verrekenen van de schadeclaim met openstaande facturen. Het echte verhaal lezen we in het tussenvonnis uit 2022 (nu pas gepubliceerd) waarin de rechter concludeerde dat de beheerder aansprakelijk was. Haar primaire taak was netwerkbeheer en onderhoud, maar ook een stukje security:

A) Aangaande security dienen minimaal door Opdrachtgever de volgende maatregelen te zijn getroffen: ? Deugdelijke antivirusbeveiliging; ? Firewall. B) Uitvoerder zal de deugdelijkheid van de security [maandelijks] beoordelen en haar bevindingen aan Opdrachtgever mededelen. C) Indien de security door Uitvoerder als niet deugdelijk wordt beschouwd, dan is Uitvoerder niet aansprakelijk voor enige schade die als gevolg van de niet deugdelijke security is ontstaan of in de toekomst kan ontstaan. D) Uitvoerder kan op verzoek/aanvraag van Opdrachtgever zorgdragen voor een deugdelijke security. Deze aanvraag/opdracht zal worden behandeld als zijnde meerwerk als in art. 8 van deze overeenkomst.
Op enig moment werd de klant (opdrachtgever) getroffen door ransomware. Onduidelijk was hoe dat precies was gebeurd, maar de rechter is daar snel klaar mee:
Hoe de hackers het netwerk van [de klant] zijn binnengedrongen, kan naar het oordeel van de rechtbank echter in het midden blijven. Van belang is dat schade is ontstaan doordat bij de aanval niet alleen de werkbestanden maar ook de back-up bestanden van [de klant] versleuteld zijn geraakt. Niet in geschil is dat de bedrijfsvoering van [de klant] enige tijd belemmerd is geweest doordat [de klant] niet meer bij haar systemen en bestanden kon, en dat hierdoor schade is ontstaan. Netwerksegmentatie, een beter wachtwoordbeleid en een deugdelijk afgescheiden back-upvoorziening hadden dat kunnen voorkomen.
Het niet hebben van die drie dingen is iets waar de beheerpartij op had moeten screenen en waarschuwen. (Dit is niet zodanig subtiel dat je dat normaal mist.) Advies en waarschuwingen hierover ontbraken echter in het dossier.

Weliswaar was er een plan voor herziening van het netwerk, maar dat is niet echt hetzelfde als een waarschuwing:

Deze offerte behelst de installatie en configuratie van een nieuwe ICT-omgeving met nieuwe hardware en de aansluiting op de bestaande netwerk. Blijkens het bijbehorende werkplan is een vorm van netwerksegmentatie en een veiligere back-upvoorziening weliswaar onderdeel van de geoffreerde nieuwe ICT-omgeving, maar uit de offerte blijkt niet dat [de leverancier] de ondeugdelijkheid van de bestaande beveiliging en de noodzaak tot het nemen van maatregelen, laat staan de urgentie daarvan, aan [de klant] heeft meegedeeld.
Bij enkele andere problemen was wél duidelijk gewaarschuwd: “Dicht zetten RDP-poorten van alle servers! Of gaan whitelisten. Zie Risico.” Dat betrof een oude server die allang niet meer actief had moeten zijn. Er is een reële kans dat de criminelen via deze server zijn binnengedrongen, maar zoals gezegd maakt dat niet uit – de beveiliging elders had ze dan moeten stoppen.

Het lijkt er dus op dat de beheerder er op zich prima over nagedacht had, maar niet consequent handelde zoals ze had toegezegd. Ook schoten er dingen te kort in de uitvoering, bijvoorbeeld hetzelfde wachtwoord voor de backupserver als voor de gewone beheerserver. Maar uiteindelijk komt het neer op dit soort dingen:

[De leverancier] verwijst naar een e-mail van 3 oktober 2019 waarin staat vermeld: “Wachtwoordbeleid nakijken Done, geen eenduidig beleid”

Daaruit blijkt niet dat [de leverancier] [de klant] heeft gewezen op de noodzaak om een beter wachtwoordbeleid toe te passen, heeft geadviseerd welke verbeteringen nodig zijn en heeft gewezen op de urgentie voor het nemen van maatregelen.

Ik blijf het zeggen: je zorgplicht als ict-dienstverlener wordt ingevuld door je documentatie. Wat heb je toegezegd, wat heb je uitgesloten en wat heb je aangegeven in de uitvoering? Dat leg je dus vast, van mails met signaleringen tot bevestigingen van telefonische (of mondelinge) opmerkingen.

Arnoud

Minister Madlener trapt op rem: helmplicht en minimumleeftijd fatbike raken álle elektrische fietsers

Geplaatst op in Regulering, 30 reacties
Foto: Wikipedia

Als de Tweede Kamer wil dat er een helmplicht of een minimumleeftijd wordt ingevoerd voor fatbikes, gaat dat voor álle andere elektrische fietsen gelden. Dat standpunt van de minister meldde de Telegraaf vorige week. Dit naar aanleiding van een motie van VVD en NSC waarin een minimumleeftijd van 14 jaar wordt aangekondigd. Is het echt zo moeilijk een fatbike te onderscheiden van een ‘gewone’ e-bike?

In vergelijking met ‘normale’ elektrische fietsen zijn fatbikes over het algemeen goedkoper en worden ze door hun uiterlijk vaak gezien als stoerder, aldus Wikipedia. Dat is inderdaad iets waar je weinig mee kan als wetgever. Er zijn wel kenmerken, zoals opvallend dikke banden of een tweezitszadel maar ook dat is niet heel technisch bepaald.

Het probleem lijkt in de praktijk vaak te zitten in het eenvoudig kunnen opvoeren. Ik lees dat het motorvermogen van een fatbike kan oplopen tot maar liefst 4.000 watt (in plaats van de toegestane 250 watt). Met een paar eenvoudige codes ontsluit je dan een snelheid van 45km/u in plaats van de toegestane 25.

Een oplossing zou dan ook zijn dat het verboden moet zijn om een e-bike eenvoudig op te voeren te maken (of te laten). Dat kan alleen niet binnen de huidige wetgeving; de aankomende Europese Cyber Resilience Act (CRA) zou hier wel haakjes voor bieden maar dat zal nog een jaar duren verwacht ik.

De andere eenvoudige oplossing is een verbod voor mensen onder de zestien, omdat bij veel ongelukken zestienminners als bestuurder (of passagier) betrokken zijn. Dat heeft dan alleen tot gevolg dat kinderen ook niet meer op gewone e-bikes mogen. Daar kun je op tegen zijn, maar argumenten die buiten “vroeger moest ik heen én terug 25 kilometer berg op” gaan, heb ik daarvoor nog niet gevonden.

Toch een poging, met dank aan RTV Utrecht:

Groepsdruk is een van de redenen dat steeds meer jongeren elektrisch fietsen, denkt Reenalda. Maar een e-bike is duur en het zijn vaak de ouders die de portemonnee trekken. “Het is makkelijk en we leven in een maatschappij waarbij gemak enorm voorop staat.” Er ligt een verantwoordelijkheid bij de ouders om zorgvuldig over de aanschaf na te denken, zegt [bewegingswetenschapper Jasper] Reenalda. “Educatie is daarvoor belangrijk zodat we ons bewust worden van de feiten.”
Als een kind bijvoorbeeld met een e-bike naar school gaat en daarmee de bus (of auto van de ouders) vermijdt, dan is dat positief. Maar wie de gewone fiets inruilt voor een e-bike, doet zhaar gezondheid juist tekort. Ook zijn er vaak meer buitenschoolse activiteiten waar je een eind voor moet fietsen, wat in totaliteit tot meer vermoeidheid kan leiden.

Arnoud

 

Mag verkoper verkoop weigeren vanwege “onethisch” koopgedrag?

Geplaatst op in Ondernemingsvrijheid, 9 reacties
Photo by geralt on Pixabay

Via Reddit:

Er is een aanbieder van een erg populair product X, waar regelmatig een nieuwe voorraad van komt die op first-come first-serve wordt verkocht. Ik heb een scriptje geschreven dat op een reguliere interval kijkt of er een nieuwe drop is, en zo ja, dat ik automatisch ingeschreven word. Maar niet iedere drop vind ik interessant, dus ik had inmiddels al enkele tientallen inschrijvingen “gewonnen”, maar nooit gekocht…. tot ik enkele dagen geleden door mijn inschrijvingen ging en een bepaalde drop zag die om wat voor reden dan ook niet zo populair was en na 2 maanden nog niet uitverkocht was (sommige drops zijn echt binnen minuten weg). … Maar nu werd ik na enkele dagen gebeld door de leverancier van X, en ze gaven aan dat ze wat ongebruikelijke activiteit in mijn account hadden gezien, omdat ik nagenoeg iedere drop als eerste in lijn was, maar nu ineens een impopulaire X wilde kopen.
De constructie lijkt wat apart, maar er zijn ondertussen genoeg aanbieders (in specifieke niches) die hiermee een zeer succesvolle business hebben opgebouwd. Je creëert schaarste en aandacht met zo’n “drop” elke zo veel maanden, je kunt je benodigde productie vrij goed afstemmen en je krijgt de aandacht van “uitverkocht binnen 24 uur”.

Natuurlijk zijn er dan handige jongens (m/v) die hierop automatiseren. Zo ook hier. Omdat de inschrijving juridisch vrijblijvend is, is het risicoloos om dit zo aan te pakken. Je bent altijd de eerste, en als je niet hoeft dan kun je er gratis vanaf. Ideaal.

Ideaal, maar weinig ethisch misschien: het omzeilt het hele concept, en jaagt mensen weg die wél echt op die inschrijving zitten te wachten. Het verbaast me dan ook niet dat de leverancier op dit soort activiteit monitort en dan besluit dat ze geen zaken willen doen met zo iemand.

Als winkel ben je inderdaad in principe vrij om iemand als klant te weigeren. Huisregels helpen daarbij, en uiteraard mag je weigering niet in strijd zijn met basale regels zoals die van discriminatie. (En iets met automatisch weigeren op basis van profilering onder de AVG, nu niet relevant.)

Punt daarbij is wel: dat moet je vóór het sluiten van de overeenkomst doen. De wet biedt geen grond om een overeenkomst ongedaan te maken op basis van ongewenst gedrag of kenmerken van de persoon van de koper.

Meestal is het bij webwinkels zo dat je direct koopt. Je ziet een product, doet het in je mandje en rekent af. Tegen de tijd dat de winkelier iets van jou merkt, is de overeenkomst dan al tot stand gekomen. Ingrijpen “jou moet ik niet” is dus niet meer mogelijk.

Hier ligt dat anders: de inschrijving is vrijblijvend, dus er is dan nog géén overeenkomst. De verkoper mag dan op dat moment zeggen “nee, jou wil ik niet met je scriptje”. Mogelijk dat je dan in het systeem van de shop nog een bestelling kunt afronden, maar die mag de winkelier dan wél weigeren of ongedaan maken omdat dit vooraf gemeld is.

Terzijde: sommige winkeliers hanteren algemene voorwaarden met als strekking “Wij mogen wél de overeenkomst ongedaan maken als wij achteraf bedenken dat u een onplezier/ongewenst persoon bent”. Dat is te generiek en niet redelijk. Bij specifiek gedrag (denk aan valsspelen bij games) is dat wellicht nog mogelijk, maar het is vrij moeilijk om op voorhand zulk gedrag op te sommen.

Eén gedraging die in ieder geval niet kan, is “als u te vaak producten retourneert binnen de wettelijke termijn, gaan wij u weigeren”. Dat is namelijk in strijd met het consumentenrecht; een straf zetten op het uitoefenen van een wettelijk recht is niet toegestaan.

Arnoud

Moeten games niet op zijn minst een houdbaarheidsdatum meekrijgen?

Geplaatst op in Ondernemingsvrijheid, 12 reacties
Photo by Element5 Digital on Pexels

Stop Killing Games vecht voor de rechten van gamers en de preservering van games, met consumentenrecht en wetgeving als wapen. Dat meldde Tweakers onlangs. De kern: mag een game-ontwikkelaar een spel actief onspeelbaar maken door servers en ondersteuning uit te zetten? En denk ik dan, moet daar dan niet op zijn minst over geïnformeerd worden?

De game-industrie is al een fors aantal jaren verschoven naar een GaaS-model: games as a service. Je kunt een basisspel krijgen, maar om te spelen en om uitbreidingen te krijgen moet en zal je online zijn en een (al dan niet betaald) account hebben. Stop je daarmee, dan gaat je spel weg.

Dat is tot daar aan toe, maar als de game-ontwikkelstudio stopt met het spel dan gaat óók je spel weg. De server gaat uit, de authenticatie werkt niet meer, allerlei redenen maar hoe dan ook, geen spel meer voor jou. Dit is dus wel even iets meer dan “de fabrikant heeft geen reserveonderdelen meer” zoals bij auto’s of je zitbank van 8 jaar oud. Deze optie tot uitzetten van je game zit ingebouwd.

Zoals Tweakers het uitlegt:

In de praktijk wil de beweging dat dergelijke spellen in de toekomst, ook nadat de ondersteuning van de maker stopt, in een ‘redelijke staat’ speelbaar blijven, niet per se in de staat waarin een game tijdens actieve ondersteuning verkeerde. … Voorbeelden van kleine functies die daar niet onder vallen en volgens [initiatiefnemer Ross Scott/Accursed Farms] dus eventueel verloren mogen gaan zijn ‘achievements, leaderboards, matchmaking, een gecentraliseerde virtuele marktplaats, privéberichten en integratie van sociale media’.
Het Europese consumentenrecht kent diverse regels over “digitale inhoud” en “digitale diensten” (zie vanaf art. 7:50aa BW). Grofweg worden de regels van koop van fysieke dingen hier ook toegepast, aangepast naar de aard van deze bittenstromen. Zo is er een informatieplicht over interoperabiliteit, en is de conformiteitseis specifieker uitgewerkt.

Wat echter mist, is een bepaling hoe lang zo’n dienst geleverd moet zijn of digitale inhoud bruikbaar. Dat kun je alleen afleiden uit een invulling van dat begrip conformiteit: “de periode die de consument redelijkerwijs kan verwachten”, aldus bijvoorbeeld art. 7:50ae lid 4 BW. Hoe lang dat is, is daarmee dus niet op voorhand te zeggen.

Het voorstel van Stop Killing Games kiest een andere insteek. Het maakt niet perse uit hoe lang het spel speelbaar is, maar leveranciers moeten verplicht zijn een speelbaar spel over te laten. Inbouwen van verplichte servercontrole of inloggen mag dus niet voor álle spelmodi. Bijvoorbeeld wel de multiplayer-optie maar niet single player. Prima als je updates pas krijgt na inloggen, maar stoppen omdat “u zes maanden geen updates heeft gedownload” kan dan weer niet.

Game-ontwikkelaars stellen daar vaak mooie woorden over veiligheid, speelbaarheid en bijbehorend hun reputatie tegenover. Een brak oud spel met wel de merknaam erop komt natuurlijk wat raar over, net zoals die ouwe roestbak met nog een Opel logo erop, zoiets. Maar er zijn specifiekere zorgen:

Ubisoft noemt aflopende licenties als een van de redenen waarom [racegame The Crew] niet meer beschikbaar is. Het bedrijf moest immers licentiedeals afsluiten met autofabrikanten om de echte voertuigen in The Crew te mogen verwerken. … Ontwikkelaars, zeker kleinere studio’s, zijn in het verlengde daarvan bijvoorbeeld ook afhankelijk van derden voor fundamentele gameonderdelen zoals de engine, serverruimte of anticheatsoftware.
Die zorgen begrijp ik wel, maar het voelt nog steeds erg raar dat daarmee zomaar een “dit spel stopt over zes maanden, sorry” bericht zou kunnen worden gegeven. Want je weet wanneer je licenties aflopen, dus dat kun je gewoon inplannen.

Mijn simpele doch doeltreffende oplossing zou dan ook zijn dat games een houdbaarheidsdatum moeten krijgen: tenminste speelbaar tot dd/mm/jjjj. Wat je daar invult is aan jou, maar die toezegging moet je dan waar maken. (De reden hoef je er niet bij te zetten.)

Dit is iets dat prima binnen de bestaande wetgeving handhaafbaar is, en zou de bestaande situatie niet wezenlijk veranderen want je hóeft niets behalve die tekst op de doos of in de productinformatie opnemen. Het enige is natuurlijk dat consumenten dan denken, ik speel liever dat andere spel want dat is drie jaar langer houdbaar. Maar dat is dan ook weer soort van de bedoeling.

Arnoud

Ook op basisscholen verbod op telefoon in klas: hoe zit dat juridisch?

Geplaatst op in Regulering, 18 reacties
Foto: Joris, Wikipedia (CC-BY-SA 4.0)

Vnaf deze week mogen mobieltjes niet meer mee de klas in op basisscholen. Dat las ik bij Nu.nl. Het is de vervolgstap van de al eerder genomen keuze om mobieltjes op middelbare scholen niet meer toe te staan. Een aantal lezers vroeg zich wel af hoe dit nou precies wettelijk geregeld was, met name rond aansprakelijkheid.

“In groep 7 en 8 staat bijvoorbeeld gewoon een bakje waar leerlingen hun telefoon in kunnen doen”, zegt een woordvoerder van een Almeerse school bijvoorbeeld. Daar zie ik als jurist gelijk risico’s: wat als men andermans telefoon meeneemt, of er gaat een kop koffie of beker appelsap over die bak heen?

Wie graag de wet hierop wil lezen, moet ik teleurstellen. Dit is geen wettelijke regeling maar een “afspraak” tussen “vertegenwoordigers van docenten, bestuurders, ouders en leerlingen onder leiding van [het ministerie van] OCW”, aldus de recente Kamerbrief hierover.

De afspraken zelf zijn dan in een andere brief uit 2023 vastgelegd: “Mobiele telefoons en andere devices zijn niet toegestaan in de klas, tenzij ze educatief worden gebruikt tijdens de les.” Daar is vervolgens een uitzondering bijgekomen voor leerlingen die de telefoon voor medische of andere zware redenen nodig hebben, zoals gebruik als leeshulp bij slechtzienden of alerts voor bloedsuiker.

Verdere details werk je als school zelf uit (met hulp van Kennisnet). Bied je kluisjes aan waar telefoons veilig in kunnen, en moet dat dan de hele schooldag of mogen ze eruit tijdens pauzes? Kies je voor het advies thuislaten en wat doe je dan als ouders erop staan? Of ga je voor de kartonnen doos bij de deur, en hoe zit het dan met je aansprakelijkheid?

Wat dat laatste betreft, dat legt de VO-raad helder uit:

Als de school aan het begin van de dag telefoons inneemt, dan draagt de school de verantwoordelijkheid dat de telefoon niet beschadigd raakt of kwijtraakt. De school heeft hiervoor een aansprakelijkheidsverzekering. De school kan de aansprakelijkheid niet ondervangen door in de regels op te nemen dat ze niet verantwoordelijk zijn voor diefstal of schade van ingenomen telefoons.
De school is dus aansprakelijk voor schade of diefstal, maar kan dat gewoon via haar verzekering laten lopen. In de schoolregels opnemen dat het eigen risico is, is daarmee niet rechtsgeldig.

Bij de regel “telefoons weg in de les” is het wél gewoon risico en verantwoordelijkheid leerling als er schade optreedt. Daar doet zich weer een ander punt voor: wat als er toch een telefoon aan staat of op tafel ligt?

Dit is op zich niet nieuw, diverse scholen hadden al langer regels hierover. Net als over jassen aan in de klas bijvoorbeeld. Innemen mag, fysiek afpakken niet. Je kunt als school wel een consequentie zetten op niet afgeven, zoals de les uit moeten, of nablijven of iets dergelijks.

Arnoud

 

 

Pop-up winkel verkoopt 7 ton ‘verloren pakjes’ in Hoog Catharijne

Geplaatst op in Internetrecht, 16 reacties
Photo by Bastian Riccardi on Unsplash

Het Franse bedrijf King Colis wil met een pop-up winkel in het Utrechtse winkelcentrum Hoog Catharijne in 5 dagen 7 ton aan verloren e-commercepakketten verkopen. Dat meldde vakblad Retail Trends onlangs. Het riep bij een aantal lezers de vraag op of dat wel mag, zomaar pakketjes verkopen die eigenlijk van een ander waren.

Retail Trends legt uit:

Klanten hebben 10 minuten om hun keuze te maken uit de pakketten die in houten stortbakken op pallets staan gepresenteerd. Uiteraard is het verboden om de pakketten voor aankoop te openen. King Colis maakt de ‘schattenjagers’ lekker met de suggestie dat er misschien wel high tech, desigber kleding, schoenen, horloges of videospellen in de ongeopende pakketten zitten. In elk geval zijn volgens het Franse bedrijf ‘verrassingen en koopjes gegarandeerd’.
Het deed me denken aan een bericht uit 2021 over een ouder initiatief waarbij zakken met pakjes voor 50 euro werden verkocht. (De adreslabels zaten er nog aan.) Gestolen waar is het niet, het gaat om niet-bezorgbare of geweigerde zendingen en dergelijke.

AVG-technisch zou het wel zo handig zijn als de adreslabels eraf gehaald worden voordat de pakketjes de bulkverkoop in gaan, maar hier kan ik zo snel even niets over vinden. (Eventuele facturen of besteloverzichten met namen en adressen idem dito.)

Als dat is gebeurd, dan zie ik verder niet echt bezwaren. Die producten zijn eigenaar van de fabrikant of winkel die ze opstuurde, ze zijn teruggekomen en deze heeft ze verkocht aan King Colis. Ik zie daar verder geen problemen mee.

De verrassing kan zomaar zijn dat het product defect is, overigens. Wat de vraag oproept: is dat een conformiteitsgebrek, kun je bij King Colis dan de wettelijke regels rond redelijke verwachting inroepen?

Dat denk ik niet, vanwege de unieke omstandigheid van de verkoop: je koopt een doos met onbekende inhoud, waarbij je dus geen verwachting kunt hebben over wat er in zit. Dat iets een kapotte iPhone is (of een doosje batterijen waar de helft van weg is), is dan dus géén probleem waar je wat mee kunt. Dat past gewoon binnen de verwachting die je redelijkerwijs had moeten hebben.

Arnoud

Mag mijn ict-leverancier oude mailboxen zomaar weggooien na 30 dagen?

Geplaatst op in Ondernemingsvrijheid, Security, 7 reacties
Photo by Pixabay on Pexels

Een lezer vroeg me:

Wij zijn een klein adviesbureau en besteden al onze ict-dienstverlening uit. Nu hebben wij recent ontdekt dat oude mailboxen (ex-werknemers) na 30 dagen worden gewist. Dit is erg vervelend, omdat wij nu geen oude correspondentie terug kunnen halen die nodig is voor een juridisch geschil met een klant. Kunnen wij de dienstverlener hierop aanspreken?
Het antwoord begint zoals altijd bij de zorgplicht van de ict-dienstverlener. Iets specifieker diens informatieplicht, uitleggen hoe je werkt en welke keuzes je daarin maakt. Op zich is die 30 dagen een prima keuze, maar de klant moet dat wel weten zodat deze erop kan acteren. Ik twijfel of je per mailbox nog laatste herinneringen moet mailen (“Let op: over 3 dagen wordt een oude mailbox gewist” naar de contactpersoon), maar netjes zou dat wel zijn.

Tegelijkertijd heeft ook de klant natuurlijk een zekere verantwoordelijkheid. Als een werknemer vertrekt, is opschonen van diens mailbox een standaardactie. Belangrijke mails, zoals toezeggingen aan een klant, horen in dossiers of klantadministraties te zitten en niet in een mailbox. Ik snap dat dat vaak niet gebeurt, maar dan krijg je dus wel dit soort problemen.

Voor dit concrete geval zie ik niet echt een oplossing. Die mailbox is weg, en die komt niet terug als de leverancier bedrag X als schadevergoeding betaalt. Dit nog los van de vraag óf er vergoedbare schade is. De gevolgschade zoals de klant moeten afkopen valt buiten de risicosfeer van de leverancier, dit zal het adviesbureau zelf moeten dragen. Dit is te zeer hun eigen risico om nog 100% op het bordje van de ict-leverancier te leggen.

Het beste advies is dus om dit als aanleiding te gebruiken om de beheersovereenkomst te herzien. Maak afspraken over bewaartermijnen, over het aanleveren van een statische kopie of export dan wel over herinneringen om te downloaden voor het te laat is. En herzie je eigen procedures over wat er (uitsluitend) in mailboxen mag staan.

(Ik las ooit ergens dat e-mail eigenlijk een transportmedium is en geen opslagmedium. Vanuit dat standpunt zou het wellicht een goede zaak zijn als mails standaard gewist worden een week na geopend te zijn.)

Arnoud

Ik heb persoonsgegevens van het werk gedownload, kan ik nu een boete krijgen van de AVG?

Geplaatst op in Ondernemingsvrijheid, Privacy, 9 reacties
Photo by Miguel Á. Padriñán on Pexels

Via Reddit:

Six weeks ago, a coworker messaged me he wanted to talk to me in private, and told me HR files were online and unprotected. He sent me the website with the unprotected files, and I went to the website and downloaded the files on my work PC and my private desktop at home, just to confirm it was actual protected data that was at risk of getting leaked. …

HR told me they wanted to speak to me and they questioned me about what happened with a lawyer present. Afterwards, they told me I had two options, either leave the company or they would fire me. If I left the company, they said they wouldn’t press charges. Otherwise, they said I could get a fine of up to 100k euros and a prison sentence of 6 months up to two years based on GDPR laws.

Uit de discussie blijkt dat deze bestanden met persoonsgegevens ergens in de bedrijfsomgeving voor iedereen toegankelijk waren. Wel moest je ingelogd zijn met je werknemersaccount, en je moest maar net weten wat de (niet te raden) URL precies was. Dat klinkt wel als een stukje gebrekkige beveiliging.

Is het handig zoiets te doen? Nee, maar tegelijk snap ik wel dat je toch even wil kijken als je zoiets raars tegenkomt. Ik zou alleen wél verwachten dat je daarna aan de bel trekt bij de CISO, FG of je manager en daarna de gegevens wist. Je wenkbrauwen optrekken en wat anders gaan doen (en de bestanden laten staan) is, hoe zeg je dat, niet aan te raden.

De reactie van het bedrijf is ook weer enigszins overtrokken. Allereerst kun je iemand op grond van een datalek veroorzaken al niet ontslaan, laat staan iemand die alleen kéék naar een datalek. Ten tweede is het volstrekt idioot en actief onwaar dat je als werknemer een wettelijke boete of celstraf kunt krijgen als je de AVG overtreedt.

De enige die een boete kan krijgen, is het bedrijf zelf. Heel misschien kom je uit bij persoonlijke aansprakelijkheid van de directie, maar afgezien daarvan zijn er geen personen die boetes kunnen krijgen. Mogelijk dat men hier indirect dreigde met aangifte voor computervredebreuk. Maar nog steeds: zwáár overtrokken reactie.

Desondanks natuurlijk buitengewoon vervelend om in zo’n situatie te komen. De kans is groot dat hoe je dit geschil ook vlot trekt, de werkrelatie blijvend verstoord is. Daar is alleen geen juridisch antwoord op.

Arnoud

Deense fitnessketen berispt voor toegang via gezichtsherkenning

Geplaatst op in Ondernemingsvrijheid, Privacy, 21 reacties
Photo by Danielle Cerullo on Unsplash

De Deense privacytoezichthouder Datatilsynet heeft fitnessketen Sporting Health Club berispt voor het invoeren van toegang door middel van gezichtsherkenning. Dat meldde Security.nl vorige week. De kern: je moet héél duidelijk zijn over de alternatieven en die als gelijkwaardig presenteren.

De sportschool wilde 24/7 open zijn, maar kon (of wilde) niet altijd personeel daar aanwezig laten zijn. De oplossing is dan vaak biometrie, in dit geval gezichtsherkenning, om naar binnen te mogen.

Onder de AVG is biometrie voor authenticatiedoeleinden een moeilijke optie, omdat het een zwaar middel is. De sportschool koos dan ook voor de grondslag van toestemming, waarmee je de complicaties van de andere grondslagen omzeilt. Alleen moet die dan wel vrijwillig worden gegeven, en deel daarvan is dat er een equivalent alternatief is.

Dat ging hier niet helemaal goed:

De Deense Autoriteit voor Gegevensbescherming is van oordeel dat het feit dat u tijdens de openingstijden van de receptie de mogelijkheid heeft om via persoonlijke service in te checken bij de receptie tijdens de openingstijden van de receptie op zichzelf niet als een soortgelijk alternatief kan worden beschouwd, aangezien u daardoor beperkt wordt in uw toegang tot het centrum vergeleken met wanneer u toestemming geeft voor gezichtsherkenning.
Tijdens de bemensde openingstijden binnengelaten worden is niet hetzelfde als 24/7 automatisch naar binnen kunnen. Maar omdat er ook een optie was om op ieder moment (24/7 dus) een externe ondersteuning te bellen die je dan binnenlaat, was uiteindelijk het alternatief toch equivalent.

Alleen, dat alternatief was niet duidelijk aangegeven bij de toestemmingsvraag. Die was op zich uitdrukkelijk en expliciet genoeg over wat er zou gebeuren met je gegevens (niets raars, overigens), maar die moet dus ook benoemen wat er gebeurt als je géén toestemming geeft.

Arnoud