ICTRecht Weblog » DigiD, een elektronische handtekening?

Digitale handtekeningen zijn rechtsgeldig, maar wanneer is iets een digitale handtekening? Steven Ras van ICTRecht pluist het uit voor de DigiD:

DigiD dient als middel voor authenticatie. DigiD als zodanig bestaat uit een gebruikersnaam en wachtwoord. Het verzorgt alleen niet zelf de vasthechting aan- of logische associatie met andere elektronische gegevens. Daarom is het niet aan te merken als een elektronische handtekening

Eerder vroeg Ras zich hetzelfde af voor OpenID. En de DigiD werd onlangs nog ingezet voor elektronische communicatie in Baarn.

Arnoud

Gamer ontvoerd om wachtwoord

Een Braziliaanse gamer en topscorer in het spel GunBound is ontvoerd en met een pistool bedreigd om zo zijn wachtwoord te krijgen, meldt Security.NL:

De bende wilde zijn wachtwoord van het online spel GunBound voor 8000 dollar verkopen. De gamer werd door een vriendin van één van de criminelen via Orkut verleid. Tijdens de afspraak met het meisje in een winkelcentrum werd de jongen ontvoerd. Ondanks het feit dat hij vijf uur lang bedreigd werd en al die tijd een pistool tegen zijn hoofd kreeg, weigerde hij zijn wachtwoord af te staan.

BRIGHT meldt nog dat het plan was om het wachtwoord voor 8000 dollar te verkopen.

Arnoud

Wijziging Amerikaanse octrooiwet stapje dichterbij

US patent reform clears House hurdle | OUT-LAW bericht dat de langverwachte wijzigingen van het Amerikaanse octrooistelsel weer een stapje dichterbij zijn gekomen.

De belangrijkste wijziging betreft het zogeheten “first to invent” systeem. In Amerika geldt dat wie het eerst de uitvinding doet, er octrooi op kan krijgen, ook als iemand anders het later bedacht maar er eerder octrooi op aanvroeg. De rest van de wereld werkt met “first to file”: de eerste bij de Octrooiraad krijgt het octrooi. Volgens dit voorstel gaan de Amerikanen nu eindelijk ook over naar “first to file”.

Een andere belangrijke wijziging gaat over de schadevergoeding bij inbreuk. Als bewezen wordt dat de inbreuk “opzettelijk” (wilful) gepleegd werd, dan wordt de schadevergoeding verdrievoudigd. Dit wetsvoorstel regelt de bewijslast: vanaf nu moet de octrooihouder bewijzen dat er sprake was van opzettelijke inbreuk. Vroeger moest juist de inbreukmaker bewijzen dat hij het per ongeluk deed.

Bij een duur apparaat kon de schadevergoeding behoorlijk hoog oplopen, omdat de schadevergoeding wordt vastgesteld als een percentage van de verkoopprijs. Dat is niet altijd even eerlijk. Bovendien moet de schadevergoeding nu worden vastgesteld aan de hand van de toegevoegde waarde van de uitvinding aan het product waar de uitvinding inzit.

Ook zou er een eis komen dat een aanvrager eerst zelf een onderzoek van de literatuur (prior art) moet doen alvorens hij de aanvraag mag indienen. Dat is nu vaak de praktijk maar lang niet altijd, waardoor er een hoop aanvragen ingediend worden die bij een eerste onderzoek al niet nieuw blijken.

Het voorstel verandert overigens niets aan de manier waarop Amerikaanse octrooiaanvragen beoordeeld worden op inventiviteit, noch aan wat er al of niet geoctrooieerd mag worden.

Arnoud

Filteren van filesharing verkeer: providers via achterdeur toch aansprakelijk?

In een opmerkelijk Belgisch vonnis is internetprovider Scarlet (Tiscali) veroordeeld om filesharing verkeer van klanten te voorzien van een filter. Dat filter moet materiaal detecteren waarvan de rechthebbenden de verspreiding hebben verboden. Sabam pakt gelijk maar door en eist dat ook alle andere Belgische ISP’s zo’n filter installeren. Scarlet gaat in hoger beroep trouwens.

Dat filteren werkt met zogeheten digitale vingerafdrukken, zoals bijvoorbeeld Audible Magic en Gracenote (dat het kocht van Philips trouwens). Van muziek en film worden dan bepaalde unieke kenmerken gemeten, zoals veranderingen in signaalsterkte binnen bepaalde frequentiebanden. Deze worden, net als echte vingerafdrukken, vergeleken met eerder opgeslagen kenmerken in een database. Staat het werk in die database, dan mag het werk niet verspreid worden. Dat werkt in principe dus betrouwbaarder dan het enkele filteren op bestandsnaam of titel en naam van de artiest (wat bij Napster een totale mislukking werd).

Juridisch gezien is deze beslissing opmerkelijk, omdat hiermee een provider via de achterdeur aansprakelijk gehouden wordt voor inbreukmakende handelingen van klanten. Zoals Christiaan Alberdingk Thijm schrijft:

Je bent misschien niet aansprakelijk voor het uitwisselen van muziek, maar wel voor het nalaten maatregelen daartegen te treffen. Scarlet moet voor de kosten van de maatregelen opdraaien en enorme boetes betalen indien deze inadequaat zijn.

De belangrijkste eis om niet aansprakelijk gehouden te worden is namelijk dat providers niet filteren. Artikel 6:196c BW zegt letterlijk dat een provider “niet aansprakelijk [is] voor de doorgegeven informatie, indien hij: … de doorgegeven informatie niet heeft geselecteerd of gewijzigd.” Filteren is een vorm van selecteren, je laat immers alleen door wat het filter niet tegenhoudt.

Bovendien is er nog een ander probleem. De vingerafdruk wordt genomen van ongeveer 10 seconden van de muziek. Als iemand nu zo’n stukje om legitieme redenen gebruikt (bijvoorbeeld een citaat), zal het werk toch tegengehouden worden. Op deze manier filteren zou dus hooguit toegestaan moeten zijn als vaststaat dat het gehele werk wordt gedeeld zonder toestemming.

Een creatief alternatief is in mei door de Amerikaanse profielensite Myspace ingevoerd: “Take down and stay down“. De vingerafdruk wordt daar pas genomen na de eerste klacht. Vanaf dat moment kan geen enkele gebruiker het werk meer publiceren bij zijn of haar profiel. Dit vind ik een stuk redelijker. Er ligt dan een concrete klacht over een specifiek werk. Dat is reactief in plaats van pro-actief. En het past ook binnen de wet: een provider die materiaal aanbiedt dat inbreukmakend blijkt te zijn, is niet aansprakelijk als hij “prompt de nodige maatregelen neemt om de informatie te verwijderen of de toegang daartoe onmogelijk te maken” na een klacht.

Arnoud

Richtlijn Audiovisuele media diensten

De Europese Commissie en het Parlement hebben overeenstemming bereikt over een nieuwe Audiovisual Media Services Directive. De richtlijn maakt een onderscheid tussen “lineaire” en “niet-lineaire” media, grofweg tussen televisie en Internet-televisie of radio. Niet-lineaire media zijn:

an audiovisual media service provided by a media service provider for the viewing of programmes at the moment chosen by the user and at his/her individual request on the basis of a catalogue of programmes selected by the media service provider;

Deze niet-lineaire media worden weliswaar gereguleerd, maar veel minder dan de lineaire media. De reden hiervoor is de mate van keuze en controle die de gebruiker heeft. Als je ergens om moet vragen, is de kans kleiner dat je ongewenst materiaal over je heen krijgt, tenslotte.

Zo mag een Europees land alleen niet-lineaire media beperkingen stellen op grond van een bedreiging voor de openbare orde, de volksgezondheid, de nationale veiligheid of de bescherming van consumenten of investeerders (artikel 2a lid 4). Artikel 3b noemt nog specifiek haatzaaien en discrimineren als gronden voor zulke beperkingen. Bij traditionele media mag een land verdergaande maatregelen invoeren.

Eerder was er zorg over de vraag of deze regels ook zouden gelden voor individuele content op Internet. Overweging 13 beperkt de scope van zulke regels nu tot “massamedia” en sluit toepasselijkheid op blogs en m.i. ook Youtube en aanverwante diensten uit:

The definition of audiovisual media services covers only audiovisual media services, whether scheduled or on-demand, which are mass media, that is, which are intended for reception by, and which could have a clear impact on, a significant proportion of the general public. The scope is limited to services as defined by the Treaty and therefore covers any form of economic activity, including that of public service enterprises, but does not cover activities which are primarily non-economic and which are not in competition with television broadcasting, such as private websites and services consisting of the provision or distribution of audiovisual content generated by private users for the purposes of sharing and exchange within communities of interest.

Arnoud

Vraag het Mr. Ras op ISPam.nl

ISPam.nl heeft een nieuwe rubriek: “Vraag het Mr. Ras”, waarin de bezoekers van ISPam.nl juridische vragen kunnen stellen aan mr. Steven Ras van ICTRecht. Goeie actie Steven!

De eerste vraag die hij behandelt, is of een elektronische handtekening rechtsgeldig is. Dat is een andere dan de digitale handtekening trouwens. Een digitale handtekening gebruikt encryptie, certificaten en andere technische toestanden (en is rechtsgeldig). Een elektronische handtekening is een handtekening die, eh, elektronisch geplaatst wordt.

Dat kan bijvoorbeeld door met je muis een tekening te maken die lijkt op je papieren handtekening. Zo doen sommige Internetproviders het, bijvoorbeeld bij de aanvraagformulieren voor domeinnamen van de SIDN. Maar dat levert een probleem op:

Waarschijnlijk worden de elektronische gegevens van de applet vastgehecht aan andere elektronische gegevens (gegevens van bijvoorbeeld een contract). Het is nog maar de vraag of deze gegevens kunnen worden gebruikt als middel voor authentificatie. Het is naar mijn mening bijna onmogelijk om dezelfde elektronische handtekening nogmaals te zetten of daar een unieke schrijfwijze uit af te leiden. Daarbij wordt er geen druk/snelheid gemeten. De gegevens van de applet maken het dan ook niet mogelijk de ondertekenaar te identificeren.

En daarom is zo’n applet-(hand)tekening geen elektronische handtekening in de zin van de wet. Zoals Steven vorig jaar ook al schreef trouwens.

Arnoud<BR/> (UPDATE: enkele typos in het citaat gefixed)

GPL versie 3 is in feite tegen open source

Vandaag op Livre mijn artikel GPL versie 3 is in feite tegen open source. Ik heb me al eerder druk gemaakt over GPL versie 3 en vrije software versus open source. Naar aanleiding van deze post over drie stromingen in open source nu dan dit artikel over de problemen die open source kan verwachten als GPL versie 3 aanslaat.

GPLv3 is tegen. Tegen DRM, tegen software-octrooien en vooral tegen bedrijven die hun hardware beperkt toegankelijk maken. En dat is een slechte zaak voor open source. Waar versie 2 een goede, pragmatische basis voor samenwerking bood, dringt versie 3 van de populairste open source licentie een rigide ‘vrije software’ regime op. Dit regime verstoort de balans die ten grondslag ligt aan het zo succesvolle model van open source. En daarmee, zo zegt Arnoud Engelfriet*, is GPL versie 3 in feite tegen open source.

Enige inspiratie uit het Jem Report verhaal over GPLv3 kan ik niet ontkennen.

Wie het verhaal live wil horen, kan zich aanmelden voor mijn lezing in oktober.

Arnoud

Hyperlinken mogelijk strafbaar feit

Sites die links naar illegale bestanden aanbieden kunnen medeplichtig zijn aan een strafbaar feit, juicht BREIN op Boek 9. ‘Internetpiraten’ grotendeels vrijgesproken, kopt daarentegen Nu.nl. Toch was er, zoals Planet terecht opmerkt, sprake van een principiële overwinning voor Brein in een recente strafzaak tegen twee eDonkey-sites. Update (23 december 2010) het vonnis is vernietigd in hoger beroep omdat het OM lui achter BREIN aanliep en geen eigen onderzoek heeft gedaan.

Via eDonkey kunnen mensen bestanden met elkaar uitwisselen. Daarbij wordt gebruik gemaakt van hashcodes, die uniek zijn voor een bestand. Wie dus een bepaald bestand zoekt, moet weten welke hashcode het heeft. Op de sites Releases4u en Shareconnector van de verdachten was te zien welke code bij illegaal aangeboden films en muziek hoorde.

Nu werden er inderdaad opzettelijk en zonder toestemming werken verspreid, dus de aanbieders op eDonkey pleegden een misdrijf. Ben je nu medeplichtig aan dat misdrijf als je de hashcodes aanbiedt waarmee anderen de werken kunnen verspreiden? Ja, oordeelde de rechtbank:

[H]et handelen van de bij de website betrokken personen, onder wie verdachte als administrator, [kan] in beginsel beschouwd worden als medeplichtigheid aan de door de gebruikers van de website gepleegde inbreuken op auteursrechten door middel van het uploaden, doordat met de website de gelegenheid wordt geboden tot snelle verspreiding van de bestanden.

Wel moet worden bewezen dat bezoekers van de website via de aangeboden hashcodes werken hebben gevonden en die vervolgens ook weer hebben verspreid (geupload). Want zonder plegers geen medeplichtigen. Dat lukte in dit geval niet, waardoor de verdachten werden vrijgesproken.

Het vonnis bespreekt ook nog de vraag of de beheerders van de site schuldig waren aan medeplegen van de inbreuk. Bij medeplegen pleeg je het misdrijf zelf, in samenwerking met anderen. Er moet dan sprake zijn van “bewuste, nauwe en volledige samenwerking” tussen de betrokkenen. Bij medeplichtigheid help je of geef je gelegenheid tot het plegen. De mate van samenwerking mag dan een stuk minder zijn.

De legaliteit van torrentsites, maar ook van linksites in het algemeen, komt met dit vonnis onder druk te staan. De bekende vraag zijn hyperlinks legaal heeft er daarmee weer een nuance bij.

Arnoud

Skype veroordeeld wegens schenden GPL

In Duitsland is het bedrijf Skype veroordeeld voor schending van de GPL, melden onder andere Heise en Slashdot. Het bedrijf gebruikt open source in haar Voice-over-IP telefoon WSKP100, en bood de broncode daarvan aan op haar website (een 106 MB zipfile met een Linux kernel, Busybox, GNU binutils, curl, glibc, libjpeg, u-Boot en wpa_supplicant).

Punt is alleen dat dat niet genoeg is. De GPL eist dat je de broncode meelevert of op zijn minst een schriftelijk aanbod bijsluit om mensen de broncode toe te sturen als ze daar om vragen. Verwijzen naar een website mag alleen als de software zelf ook via een website wordt verspreid. Verspreid je de software anders, bijvoorbeeld in een telefoon dus, dan moet je meeleveren of dat aanbod bijsluiten. Verder bleek de handleiding geen kopie van de tekst van de GPL te bevatten, wat ook verplicht is.

De telefoon in kwestie is overigens afkomstig van SMC. Maar omdat Skype deze op de markt bracht, zijn zij toch verplicht om zich aan de GPL te houden. Het bedrijf kan zich niet verschuilen achter de toeleverancier (wat eerder ook D-Link niet lukte). Tegen SMC loopt een identieke rechtszaak trouwens.

iFross merkt nog op:

Zudem macht das Urteil in unmissverständlicher Weise klar, dass eine nur ungefähre Beachtung der GNU GPL nicht ausreichend ist, sondern auch Verletzungen von Lizenzdetails zum Rechtsverlust des Lizenznehmers und damit zur rechtswidrigen Nutzung der GPL-Software führen.

In het eerste vonnis inzake Sitecom werd namelijk nog simpelweg gezegd dat Sitecom niet mocht verspreiden

without at the same time – in accordance with the license conditions of the GNU General Public License, Version 2 (GPL) – making reference to the licensing under the GPL and attaching the license text of the GPL as well as making available the source code of the software “netfilter/ iptables free of any license fee.

Sitecom maakte vervolgens de software als download beschikbaar, met de zure opmerking “that these downloads are completely unnecessary unless you plan to do programming to alter the code.” Dat blijkt nu dus onvoldoende te zijn.

Op Slashdot wordt nog wat gemopperd over het Duitse vonnis, want dat gaat er vanuit dat de GPL een contract is. Maar naar Duits recht is de GPL ook een contract. Naar Nederlands recht ook.

Arnoud

Boek “Innovation at Risk”: octrooien hebben duidelijke grenzen nodig

Via Slashdot vond ik de site van Innovation at Risk, een nieuw boek over de problemen met het (Amerikaanse) octrooisysteem. Het boek is geschreven door James Bessen en Michael Meurer, beiden ervaren researchers in dit onderwerp. Bessen publiceerde o.a. het veel geciteerde paper An Empirical Look at Software Patents.

Het boek is zo nieuw dat het nog niet uit is, maar via de site zijn een aantal hoofdstukken al in te zien.

Het basisargument is dat

patents today often fail to grant well-defined property rights. Over the last two decades, the courts have made patent boundaries less certain, most notably by permitting increasingly abstract patent claims and tolerating patents on a growing number of obvious inventions. As a result, most innovators cannot easily and reliably determine whether their technology infringes others’ patents. Institutions that effectively support clear property boundaries for real property are dysfunctional or non-existent for patents.

Zij noemen dit het “notice problem” en stellen dat dit aan de basis ligt van de problemen met octrooien. Als mensen niet goed kunnen zien wat welk octrooi afdekt, kunnen ze de risico’s van inbreuk (of de mogelijkheid van omzeilen) niet meer inschatten, en dat maakt bedrijven terughoudend bij het introduceren van nieuwe innovaties.

Zonder duidelijke grenzen dekken octrooien abstracte technnieken af. Nu kan dat formeel niet, want octrooiwetten verbieden octrooi op ideeën, principes en abstracte zaken. Maar zeker wanneer software gebruikt wordt, kan een claim veel meer afdekken dan alleen die ene concrete machine. Bessen en Meurer signaleren twee problemen:

First, these claims reward patentees for inventions they do not invent. This means that the actual, future inventors face reduced incentives because they have to obtain a license from the patentee to develop or to commercialize their inventions. Clearly this counters the social benefit of the patent system.

Second, it may be difficult to determine the boundaries of such claims and thus it may be difficult to provide notice, to conduct clearance searches, or to even determine the content of the prior art. The problem of mapping words to technology is difficult and it is made more difficult if the claims are not tethered to a specific device or to a specific physical or chemical process.

In hoofdstuk 9 leggen ze uitgebreid uit waarom dit specifiek een probleem is voor software, veel meer dan voor andere technologie.

Software patents are, in fact, responsible for a major share of patent lawsuits. They thus play a central role in the failure of the patent system as a whole. Any serious effort at patent reform must address these problems and failure to deal with the problems of software patents—either with software specific measures or general reforms—will likely doom any reform effort.

Arnoud