Nieuw op Jurofoon: Wat zijn je rechten als slachtoffer van phishing?

Geplaatst op in Security, nog geen reacties

Een nieuw artikel op de juridische helpdesk Jurofoon over de rechten van slachtoffers van phishing, een vorm van oplichting waarbij men probeert inloggegevens voor webwinkels of internetbanken los te krijgen. Meer over phishing in de special van Planet en ook nog praktische tips bij XS4All. Maar wat kun je doen als je toch slachtoffer bent geworden van zo’n truc, en geld kwijt bent geraakt?

Banken zijn niet gauw geneigd om de schade te vergoeden als de klant beweert dat zijn pinpas is kwijtgeraakt en criminelen vervolgens daarmee hebben kunnen pinnen. Uit het feit dat de crimineel de pinpas met bijbehorende pincode kon bemachtigen leidt de bank af dat de klant zelf onzorgvuldig is geweest. Met een verwijzing naar de algemene voorwaarden wijst de bank vervolgens aansprakelijkheid af.

Wat zijn je rechten als slachtoffer van phishing?

Arnoud

Verstuur aanpasbare e-mails – alleen, komen ze wel aan?

Geplaatst op in Iusmentis, 1 reacties

Bij SOLV Advocaten een bericht over een nieuwe maildienst die de mogelijkheid biedt om de controle over verstuurde e-mails te behouden, zelfs als deze zich al in de mailbox van de ontvanger bevinden. Het idee is dat de mail die je ontvangt, alleen een hyperlink naar een plaatje op de site van Bigstring bevat. Zo kan de verzender het bericht weghalen of aanpassen door simpelweg het plaatje te wijzigen.

Bitstring ronkt vrolijk over deze ge-wel-dige dienst:

Now, with BigString, you can finally take the risk out of email and put an end to “sender regret.” It is the world’s first & only email service that thoroughly protects your safety and privacy.

BigString’s exclusive, patent-pending technology enables you to prevent your personal or business information from lingering indefinitely in someone else’s inbox. It also restricts private pictures or messages from being indiscriminately spread throughout cyberspace! Now your sensitive photos can’t be posted to unseemly web sites or printed for circulation amongst total strangers.

Het feit dat plaatjes net zo goed als e-mail opgehaald worden en dus op de PC van de ontvanger terechtkomen, vergeten ze voor het gemak maar even. Dus waarom ik niet gewoon een kopietje op kan slaan, ontgaat me enigzins. Dat het e-mail voor visueel gehandicapten totaal onbruikbaar maakt, is

Wat vooral zo sneu is voor deze dienst, is dat het versturen van mails met alleen links naar een plaatje nu net de populairste techniek is voor spam. Elk zichzelf respecterend mailfilter gooit dus zulke mails linea reacta in de prullenbak.

En daar krijgen ze 1.75 miljoen dollar voor?!

User Friendly is zoals altijd spot on:

User Friendly copyright Illias

Arnoud

Charles Dickens en de auteursrechtpiraterij

Geplaatst op in Intellectuele rechten, nog geen reacties

Over Charles Dickens en het auteursrecht (PDF). Aan de hand van Dickens’ bemoeienis met het auteursrecht laat Jan Kabel, hoogleraar informatierecht bij het IVIR, de mechanismen van piraterij (“het (toentertijd) mede van overheidswege ondersteunde business model van de verkoop en marketing van buitenlandse literatuur op een binnenlandse markt”) in de 19e eeuw zien.

De Engelse auteur Dickens ageerde veel tegen het kopiëren van zijn werk in de Verenigde Staten, dat op dat moment geen auteursrechtelijke bescherming voor buitenlandse auteurs erkende. Piraterij? Schandalig?

Integendeel: in de meeste landen werd piraterij juist als wettelijk gewaarborgde eerzame handel beschouwd, die bijdroeg aan de verspreiding van kennis en verlichting voor de natie en die ook veel goedkoper was dan het aanschaffen van de boeken bij de oorspronkelijke uitgever.

Met een mooi overzicht van de ontwikkeling in de wetgeving.

Dickens schreef overigens ook een mooi verhaal over de moeite die het in die tijd kostte om een Engels octrooi op je uitvinding te krijgen.

Arnoud

Kan SIDN persoonsgebonden domeinnamen wel opheffen?

Geplaatst op in Intellectuele rechten, 1 reacties

Bram Heerink, inderdaad die van 112.nl, maakt zich boos over de geplande opheffing van de persoonsgebonden domeinnamen. Hij citeert artikel 13 lid 2 van het Reglement voor registratie van .nl-domeinnamen:

SIDN stelt de domeinnaamhouder rechtstreeks en/of via de betrokken Deelnemer op de hoogte van haar voorgenomen besluit het gebruik van de Domeinnaam te ontzeggen en de registratie daarvan in het Register door te halen.

en signaleert dan een gapend gat in de wet:

Want stel nu eens dat rechtsgeldig zou zijn, dat zou betekenen dat met een briefje van de SIDN alle domeinnamen in het register kunnen worden opgeheven. Dat geldt niet alleen voor persoonsdomeinnamen dat geldt voor alle domeinnamen. Het Register maakt hier immers helemaal geen onderscheid. Dat geldt dus ook voor nu.nl, abnamro.nl, gay.nl, microsoft.nl, postbank.nl, google.nl. Volgens het reglement volstaat een kennisgeving van de SIDN met het bericht dat de domeinnaam vervalt.

Een terechte zorg. Wat mij nog steeds niet duidelijk is, is welke grond uit het reglement SIDN wil gaan hanteren om de persoonsgebonden domeinnamen op te heffen. Artikel 13.2 is immers de procedure, en die kan alleen gebruikt worden als een grondslag voor opheffing uit artikel 13.1 van toepassing is. Een contract mag je alleen opheffen (ontbinden) op de manier die in het contract staat, tenzij er sprake is van een tekortkoming in de nakoming bij je wederpartij.

Artikel 13.1 van het Reglement zegt dat opheffing alleen kan als

(a) SIDN terzake een authentiek afschrift van een uitvoerbaar bij voorraad verklaard of een in kracht van gewijsde gegaan vonnis van een Nederlandse rechtbank of een arbitraal vonnis van het Scheidsgerecht Domeinnamen heeft ontvangen, waarbij Opheffing wordt bevolen;<br/> (b) het contract tussen de betrokken Deelnemer en SIDN eindigt of beëindigd wordt;<br/> (c) de Domeinnaamhouder niet langer door een Deelnemer vertegenwoordigd wordt;<br/> (d) de Domeinnaamhouder om opheffing van de (Persoons)Domeinnaam verzoekt;<br/> (e) het Registratiecontract tussen de Domeinnaamhouder en SIDN beëindigd wordt;<br/> (f) de (Persoons)Domeinnaam niet (langer) blijkt te voldoen aan de door SIDN gestelde Technische eisen en niet binnen een door SIDN te stellen termijn wel aan de Technische eisen voldoet.

Opties (a), (c) en (d) zijn duidelijk niet van toepassing. Ook optie (f), de technische eisen, lijken me niet op te gaan. Het systeem werkt gewoon, dat er slechts 500 gebruikers zijn op een totaal van 2,4 miljoen .nl-domeinnamen is geen technisch probleem.

Dan blijven opties (b) en (e) over. (b) gaat over de Deelnemer, de provider dus, die zijn contract met SIDN opzegt. Wederom niet van toepassing. Kan SIDN dan het Registratiecontract met de eigenaar van de Persoonsdomeinnaam opzeggen? Alleen, zo bepaalt artikel 14 van dat contract, “in de in het Reglement beschreven gevallen.” En dan zijn we weer terug bij de opsomming hierboven.

Bovendien hebben we hier te maken met een contract tussen SIDN en een natuurlijke persoon, want het gaat immers om persoonsgebonden domeinnamen. En dan zegt de wet (art. 6:237 sub d) dat een algemene voorwaarden zoals deze vermoed wordt onredelijk bezwarend te zijn als het

de gebruiker van zijn gebondenheid aan de overeenkomst bevrijdt of hem de bevoegdheid daartoe geeft anders dan op in de overeenkomst vermelde gronden welke van dien aard zijn dat deze gebondenheid niet meer van hem kan worden gevergd

Welk artikel SIDN dus ook aandraagt, SIDN zal moeten aantonen dat het laten voortduren van de persoonsgebonden domeinnamen niet meer redelijkerwijs van haar kan worden gevergd.

UPDATE: (1 augustus) op ISPam.nl meldt Arnout Veenman in de comments:

Op dit moment heeft SIDN naast het reguliere DRS (Domein Registratie Systeem) voor persoonsdomeinnamen er nog een apart systeem naast draaien. Dat zou de belangrijkste reden zijn waarom SIDN van de persoonsdomeinnamen af wil.

En dat zou wellicht een overtuigende dwingende reden zijn.

Arnoud

ICTRecht Weblog » DigiD, een elektronische handtekening?

Geplaatst op in Informatiemaatschappij, Security, nog geen reacties

Digitale handtekeningen zijn rechtsgeldig, maar wanneer is iets een digitale handtekening? Steven Ras van ICTRecht pluist het uit voor de DigiD:

DigiD dient als middel voor authenticatie. DigiD als zodanig bestaat uit een gebruikersnaam en wachtwoord. Het verzorgt alleen niet zelf de vasthechting aan- of logische associatie met andere elektronische gegevens. Daarom is het niet aan te merken als een elektronische handtekening

Eerder vroeg Ras zich hetzelfde af voor OpenID. En de DigiD werd onlangs nog ingezet voor elektronische communicatie in Baarn.

Arnoud

Gamer ontvoerd om wachtwoord

Geplaatst op in Security, nog geen reacties

Een Braziliaanse gamer en topscorer in het spel GunBound is ontvoerd en met een pistool bedreigd om zo zijn wachtwoord te krijgen, meldt Security.NL:

De bende wilde zijn wachtwoord van het online spel GunBound voor 8000 dollar verkopen. De gamer werd door een vriendin van één van de criminelen via Orkut verleid. Tijdens de afspraak met het meisje in een winkelcentrum werd de jongen ontvoerd. Ondanks het feit dat hij vijf uur lang bedreigd werd en al die tijd een pistool tegen zijn hoofd kreeg, weigerde hij zijn wachtwoord af te staan.

BRIGHT meldt nog dat het plan was om het wachtwoord voor 8000 dollar te verkopen.

Arnoud

Wijziging Amerikaanse octrooiwet stapje dichterbij

Geplaatst op in Intellectuele rechten, nog geen reacties

US patent reform clears House hurdle | OUT-LAW bericht dat de langverwachte wijzigingen van het Amerikaanse octrooistelsel weer een stapje dichterbij zijn gekomen.

De belangrijkste wijziging betreft het zogeheten “first to invent” systeem. In Amerika geldt dat wie het eerst de uitvinding doet, er octrooi op kan krijgen, ook als iemand anders het later bedacht maar er eerder octrooi op aanvroeg. De rest van de wereld werkt met “first to file”: de eerste bij de Octrooiraad krijgt het octrooi. Volgens dit voorstel gaan de Amerikanen nu eindelijk ook over naar “first to file”.

Een andere belangrijke wijziging gaat over de schadevergoeding bij inbreuk. Als bewezen wordt dat de inbreuk “opzettelijk” (wilful) gepleegd werd, dan wordt de schadevergoeding verdrievoudigd. Dit wetsvoorstel regelt de bewijslast: vanaf nu moet de octrooihouder bewijzen dat er sprake was van opzettelijke inbreuk. Vroeger moest juist de inbreukmaker bewijzen dat hij het per ongeluk deed.

Bij een duur apparaat kon de schadevergoeding behoorlijk hoog oplopen, omdat de schadevergoeding wordt vastgesteld als een percentage van de verkoopprijs. Dat is niet altijd even eerlijk. Bovendien moet de schadevergoeding nu worden vastgesteld aan de hand van de toegevoegde waarde van de uitvinding aan het product waar de uitvinding inzit.

Ook zou er een eis komen dat een aanvrager eerst zelf een onderzoek van de literatuur (prior art) moet doen alvorens hij de aanvraag mag indienen. Dat is nu vaak de praktijk maar lang niet altijd, waardoor er een hoop aanvragen ingediend worden die bij een eerste onderzoek al niet nieuw blijken.

Het voorstel verandert overigens niets aan de manier waarop Amerikaanse octrooiaanvragen beoordeeld worden op inventiviteit, noch aan wat er al of niet geoctrooieerd mag worden.

Arnoud

Filteren van filesharing verkeer: providers via achterdeur toch aansprakelijk?

Geplaatst op in Informatiemaatschappij, Intellectuele rechten, Ondernemingsvrijheid, 2 reacties

In een opmerkelijk Belgisch vonnis is internetprovider Scarlet (Tiscali) veroordeeld om filesharing verkeer van klanten te voorzien van een filter. Dat filter moet materiaal detecteren waarvan de rechthebbenden de verspreiding hebben verboden. Sabam pakt gelijk maar door en eist dat ook alle andere Belgische ISP’s zo’n filter installeren. Scarlet gaat in hoger beroep trouwens.

Dat filteren werkt met zogeheten digitale vingerafdrukken, zoals bijvoorbeeld Audible Magic en Gracenote (dat het kocht van Philips trouwens). Van muziek en film worden dan bepaalde unieke kenmerken gemeten, zoals veranderingen in signaalsterkte binnen bepaalde frequentiebanden. Deze worden, net als echte vingerafdrukken, vergeleken met eerder opgeslagen kenmerken in een database. Staat het werk in die database, dan mag het werk niet verspreid worden. Dat werkt in principe dus betrouwbaarder dan het enkele filteren op bestandsnaam of titel en naam van de artiest (wat bij Napster een totale mislukking werd).

Juridisch gezien is deze beslissing opmerkelijk, omdat hiermee een provider via de achterdeur aansprakelijk gehouden wordt voor inbreukmakende handelingen van klanten. Zoals Christiaan Alberdingk Thijm schrijft:

Je bent misschien niet aansprakelijk voor het uitwisselen van muziek, maar wel voor het nalaten maatregelen daartegen te treffen. Scarlet moet voor de kosten van de maatregelen opdraaien en enorme boetes betalen indien deze inadequaat zijn.

De belangrijkste eis om niet aansprakelijk gehouden te worden is namelijk dat providers niet filteren. Artikel 6:196c BW zegt letterlijk dat een provider “niet aansprakelijk [is] voor de doorgegeven informatie, indien hij: … de doorgegeven informatie niet heeft geselecteerd of gewijzigd.” Filteren is een vorm van selecteren, je laat immers alleen door wat het filter niet tegenhoudt.

Bovendien is er nog een ander probleem. De vingerafdruk wordt genomen van ongeveer 10 seconden van de muziek. Als iemand nu zo’n stukje om legitieme redenen gebruikt (bijvoorbeeld een citaat), zal het werk toch tegengehouden worden. Op deze manier filteren zou dus hooguit toegestaan moeten zijn als vaststaat dat het gehele werk wordt gedeeld zonder toestemming.

Een creatief alternatief is in mei door de Amerikaanse profielensite Myspace ingevoerd: “Take down and stay down“. De vingerafdruk wordt daar pas genomen na de eerste klacht. Vanaf dat moment kan geen enkele gebruiker het werk meer publiceren bij zijn of haar profiel. Dit vind ik een stuk redelijker. Er ligt dan een concrete klacht over een specifiek werk. Dat is reactief in plaats van pro-actief. En het past ook binnen de wet: een provider die materiaal aanbiedt dat inbreukmakend blijkt te zijn, is niet aansprakelijk als hij “prompt de nodige maatregelen neemt om de informatie te verwijderen of de toegang daartoe onmogelijk te maken” na een klacht.

Arnoud

Richtlijn Audiovisuele media diensten

Geplaatst op in Informatiemaatschappij, nog geen reacties

De Europese Commissie en het Parlement hebben overeenstemming bereikt over een nieuwe Audiovisual Media Services Directive. De richtlijn maakt een onderscheid tussen “lineaire” en “niet-lineaire” media, grofweg tussen televisie en Internet-televisie of radio. Niet-lineaire media zijn:

an audiovisual media service provided by a media service provider for the viewing of programmes at the moment chosen by the user and at his/her individual request on the basis of a catalogue of programmes selected by the media service provider;

Deze niet-lineaire media worden weliswaar gereguleerd, maar veel minder dan de lineaire media. De reden hiervoor is de mate van keuze en controle die de gebruiker heeft. Als je ergens om moet vragen, is de kans kleiner dat je ongewenst materiaal over je heen krijgt, tenslotte.

Zo mag een Europees land alleen niet-lineaire media beperkingen stellen op grond van een bedreiging voor de openbare orde, de volksgezondheid, de nationale veiligheid of de bescherming van consumenten of investeerders (artikel 2a lid 4). Artikel 3b noemt nog specifiek haatzaaien en discrimineren als gronden voor zulke beperkingen. Bij traditionele media mag een land verdergaande maatregelen invoeren.

Eerder was er zorg over de vraag of deze regels ook zouden gelden voor individuele content op Internet. Overweging 13 beperkt de scope van zulke regels nu tot “massamedia” en sluit toepasselijkheid op blogs en m.i. ook Youtube en aanverwante diensten uit:

The definition of audiovisual media services covers only audiovisual media services, whether scheduled or on-demand, which are mass media, that is, which are intended for reception by, and which could have a clear impact on, a significant proportion of the general public. The scope is limited to services as defined by the Treaty and therefore covers any form of economic activity, including that of public service enterprises, but does not cover activities which are primarily non-economic and which are not in competition with television broadcasting, such as private websites and services consisting of the provision or distribution of audiovisual content generated by private users for the purposes of sharing and exchange within communities of interest.

Arnoud

Vraag het Mr. Ras op ISPam.nl

Geplaatst op in Informatiemaatschappij, nog geen reacties

ISPam.nl heeft een nieuwe rubriek: “Vraag het Mr. Ras”, waarin de bezoekers van ISPam.nl juridische vragen kunnen stellen aan mr. Steven Ras van ICTRecht. Goeie actie Steven!

De eerste vraag die hij behandelt, is of een elektronische handtekening rechtsgeldig is. Dat is een andere dan de digitale handtekening trouwens. Een digitale handtekening gebruikt encryptie, certificaten en andere technische toestanden (en is rechtsgeldig). Een elektronische handtekening is een handtekening die, eh, elektronisch geplaatst wordt.

Dat kan bijvoorbeeld door met je muis een tekening te maken die lijkt op je papieren handtekening. Zo doen sommige Internetproviders het, bijvoorbeeld bij de aanvraagformulieren voor domeinnamen van de SIDN. Maar dat levert een probleem op:

Waarschijnlijk worden de elektronische gegevens van de applet vastgehecht aan andere elektronische gegevens (gegevens van bijvoorbeeld een contract). Het is nog maar de vraag of deze gegevens kunnen worden gebruikt als middel voor authentificatie. Het is naar mijn mening bijna onmogelijk om dezelfde elektronische handtekening nogmaals te zetten of daar een unieke schrijfwijze uit af te leiden. Daarbij wordt er geen druk/snelheid gemeten. De gegevens van de applet maken het dan ook niet mogelijk de ondertekenaar te identificeren.

En daarom is zo’n applet-(hand)tekening geen elektronische handtekening in de zin van de wet. Zoals Steven vorig jaar ook al schreef trouwens.

Arnoud<BR/> (UPDATE: enkele typos in het citaat gefixed)