Amnesty: Europese landen gebruiken dubieuze AI-technologieën bij grensbewaking

Geplaatst op in Innovatie, Regulering, Security, 2 reacties
a couple of men standing on top of a lush green field
Photo by Carl Tronders on Unsplash

Europese landen gebruiken in toenemende mate digitale technologieën om migratie in te perken, waardoor de kans op „discriminatie, racisme en disproportionele en onwettige surveillance” wordt vergroot. Dat las ik bij NRC vorige week. Men zet daar namelijk een AI-leugendetector in, en omdat ik dus de hele AI Act aan het doorakkeren ben wilde ik me hier even boos over maken.

Uit het artikel:

Sinds 2018 wordt het systeem in ieder geval gebruikt door Hongarije, Griekenland en Letland. Het systeem analyseert „details van gelaatsuitdrukkingen met behulp van gezichts- en emotieherkenningstechnologieën”. Het systeem „toetst” of migranten antwoorden over bijvoorbeeld hun herkomst naar waarheid beantwoorden. Er is geen wetenschappelijke consensus dat leugendetectors, ook die gerund worden door AI, betrouwbare resultaten afleveren.
Het betreffende systeem heet iBorderCtrl en komt uit een Europees researchproject dat al een paar jaar loopt. De kern is dat men een machine learning model heeft getraind om emotieherkenning te doen om zo de mate van eerlijkheid van antwoorden van migranten in te schatten.

Er is een zeer hardnekkige overtuiging dat als we maar goed genoeg ons best doen, het ons moet lukken om mensen eerlijk te beoordelen met een computersysteem. Waar dat vandaan komt weet ik niet (“techno-optimisme”) maar elke keer als je dan even verder kijkt wat erachter zit, dan schrik je je wezenloos.

Het model van iBorderCtrl kent bijvoorbeeld diverse factoren zoals “knippert met linkeroog” of “beweegt hoofd”, en als je genoeg van die factoren zou hebben dan zou je met hoge betrouwbaarheid de leugenaars van de eerlijkerds kunnen scheiden. Dat vereist “alleen maar” een dataset met leugenaars en eerlijkerds met een hoop van die factoren. Dit is een beetje lastig om in het wild voor elkaar te krijgen, al is het maar omdat het niet eenvoudig is leugenaars te betrappen.

Hoe loste men dat op? Ga even op de grond zitten want anders val je van je stoel:

To create the dataset, 32 participants (actors) were assigned a “truthful” or “deceptive” role to perform during the interview. Each participant had to answer 13 questions (see Table 1) with each answer segmented in many vectors. According to the authors, this procedure generated 86,586 vectors. The dataset consisted of 10 participants classified as having Asian/Arabic ethnic background and 22 as White European background, and 22 classified as male and 10 as female.
Inderdaad, we doen grenscontroles op basis van een ML-model dat met n=32 is opgebouwd waarbij de antwoorden geacteerd zijn. Was er iemand bij die zei dat dit een leuk idee was maar zeker niet in de praktijk ingezet kon worden?

De AI Act bepaalt dat systemen voor grenscontrole hoogrisico kunnen zijn, wanneer ze specifiek een van deze usecases betreffen:

  1. Leugendetectors gebruikt door publieke autoriteiten
  2. Risico-assessments bij grenscontroles
  3. Onderzoek van visum- en asielaanvragen
  4. Het detecteren, herkennen en identificeren van personen (behalve bij verificatie van reisdocumenten)
Een hoogrisico-AI moet aan strenge eisen voldoen, waaronder de eis van een kwalitatief goede dataset (artikel 10, lid 2-5). In de woorden van artikel 3:
Training, validation and testing datasets shall be relevant, sufficiently representative, and to the best extent possible, free of errors and complete in view of the intended purpose. They shall have the appropriate statistical properties, including, where applicable, as regards the persons or groups of persons in relation to whom the high-risk AI system is intended to be used.
Hoe je dat precies voor elkaar krijgt, leer je op mijn opleiding AI Compliance Officer, maar het moge duidelijk zijn dat dit systeem niet zal voldoen. Toch blijft het gewoon doorhobbelen, want de Europese IT-systemen voor grenscontroles zijn tot 2030(!) vrijgesteld van de plicht aan de AI Act te voldoen (artikel 83).

Arnoud

 

 

Chinese spionagesoftware ontdekt op computersysteem van Nederlandse krijgsmacht

Geplaatst op in Informatiemaatschappij, 4 reacties
white Macintosh computer
Photo by bert b on Unsplash

China heeft een computersysteem van de Nederlandse krijgsmacht geïnfecteerd met geavanceerde spionagesoftware, meldt de MIVD dinsdag. Dat las ik bij Nu.nl. De impact lijkt beperkt maar de ontdekking is bijzonder genoeg. Het riep ook vele vragen op: is dit juridisch gezien bijvoorbeeld een oorlogsdaad?

Het achterliggende rapport is bij de NCSC te downloaden. De kern is dat de malware via een bekende kwetsbaarheid in FortiGate-apparaten van leverancier Fortinet binnendringt en toegang op afstand faciliteert. Technisch niet heel spannend, het is vooral opmerkelijk dat de MIVD hiermee naar buiten treedt én zo expliciet China aanwijst als organisator.

Is het nu oorlog? Niemand die het ziet, maar juridisch gezien is hier weinig over te zeggen. Er is namelijk niet echt een definitie van ‘oorlog’. In de Conventie van Genève van 1952 is staat bijvoorbeeld “any difference arising between two states and leading to the intervention of members of the armed forces”, oftewel het is oorlog als de strijdkrachten van twee landen tegen elkaar vechten.

De MIVD is deel van onze strijdkrachten en laten we aannemen dat deze malware ingezet is door de Chinese People’s Liberation Army Strategic Support Force, zeg maar hun cyberstrijdkrachten. Maar is dit een “interventie”, is hier sprake van gebruik van wapens?

Los daarvan: het is pas echt oorlog als minstens een van de twee landen dat vindt, of als een hogere macht (zoals de VN) dat verklaart. Daar is bij deze malware geen sprake van.

Arnoud

Enschede hoeft privacyboete van 600.000 euro toch niet te betalen

Geplaatst op in Privacy, Regulering, 15 reacties

De gemeente Enschede komt onder een boete van de Autoriteit Persoonsgegevens ter hoogte van 600.000 euro uit, las ik bij Nu.nl. Met behulp van sensoren werd tussen 2018 en 2020 gemeten hoe druk het in de binnenstad van Enschede was. De AP meende dat daarmee de AVG werd geschonden, de rechter oordeelt anders.

Bij wifi-tracking wordt het signaal van mobiele telefoons gebruikt om groepen mensen in de gaten te houden. In de praktijk gebruiken bedrijven deze techniek bijvoorbeeld in en rond winkelcentra of andere (semi-)openbare plekken. Meestal gaat het dan om via Bluetooth verkregen gegevens, maar ook Wifi signalen kunnen worden gebruikt om tot een identifier te komen.

De gemeente was erg boos over de boete. Ik citeer de wethouder:

Weliswaar was het niet de intentie van Enschede om mensen te volgen, maar het kon gewoon gebeuren bij lang genoeg tellen. De wethouder: “Het feit dat de AP die suggestie wel heeft gewekt in haar boetebesluit en in haar media-uitingen, vindt het college van Enschede zeer kwalijk”.
Het achterliggende probleem was volgens mij een verschil van inzicht over de betekenis van “ik zie daar een mens, daar nog een mens en achterin twee mensen, er zijn dus vier mensen” versus “daar loopt Jentje Nijhuis en daar achterin Teun de Vries”. Dat laatste is evident een vorm van identificeren, maar bij “ik zie daar iemand” kun je je afvragen of dat wel hetzelfde niveau van identificatie is.

Voor de AVG maakt dit niet echt uit: ook “ik zie daar iemand” en daar bepaalde gegevens aan koppelen is een verwerking van persoonsgegevens. Dat je de naam uit het paspoort niet weet en redelijkerwijs niet kunt krijgen, is geen argument daar tegenin. Maar in deze zaak werden de nodige maatregelen genomen:

(…) dat in het kader van de beoogde passantentelling in de binnenstad van Enschede in de periode van 25 mei 2018 tot en met 30 april 2020 met tien sensoren het MAC-adres is opgevangen van eigenaren/gebruikers van mobiele apparaten waarop de wifi stond ingeschakeld. De MAC-adressen werden tijdelijk op het werkgeheugen van de sensor opgeslagen en vervolgens gehasht (gepseudonimiseerd), waarna het gehashte MAC-adres direct naar de server van PFM werd doorgestuurd. Op de server werden van het gehashte MAC-adres (sedert 1 januari 2019) de laatste drie karakters afgeknipt.
Na die ene seconde in dat werkgeheugen bleef dus alleen een hash van het MAC-adres over, die na een paar seconden op de server drie karakters kwijt raakte, wat het reconstrueren van het MAC-adres nog knap ingewikkeld maakt. De vraag wordt dan serieus of zo’n gehandicapte hash nog wel telt als persoonsgegeven.

De rechter oordeelde in deze zaak van niet, omdat de AP een wel érg ingewikkelde bocht had gekozen:

12. De rechtbank constateert dat de AP haar besluiten in essentie heeft gebaseerd op de mogelijkheid voor eiser om natuurlijke personen aan de hand van gehashte, gepseudonimiseerde en afgeknipte MAC-adressen ter plaatse te identificeren. Hierbij gaat de AP in de genoemde manieren uit van de mogelijkheid dat een medewerker van de door eiser ingeschakelde bureaus of een medewerker van eiser zelf op enig moment in de vroege ochtend, als er weinig mensen op straat zijn, ter plaatse in staat zou kunnen zijn om vast te stellen dat een specifieke, unieke gebruiker van een mobiel apparaat zich binnen het bereik van een sensor bevindt en deze persoon dan mogelijk zou kunnen identificeren.
Die motivatie is te weinig. De AP had moeten onderzoeken of dit redelijkerwijs te verwachten viel, of dat het ook daadwerkelijk zou gebeuren. Een zuiver theoretische route van identificatie is te weinig.

Interessanter was voor mij geweest als de AP had gesteld dat ook de gehandicapte hash nog een persoonsgegeven was. De kans dat twee mensen in Enschede aldaar passeren met MAC-adressen die hashen tot hetzelfde getal (de laatste drie tekens negerend) lijkt me namelijk minimaal, zodat die handi-hash volgens mij nog steeds een identifier is in die context. En nee, je weet niet het echte MAC-adres laat staan de paspoortnaam van de telefoonhouder, maar dat is dus irrelevant.

Arnoud

 

 

Whoa, mijn camera maakt me ineens verwerkingsverantwoordelijke voor biometrische AI

Geplaatst op in Privacy, 6 reacties

Een lezer vroeg me:

Ik heb mijn huis beveiligd met camera’s van het merk Arlo. Nu krijg ik een mail dat ze gezichtsherkenning gaan activeren op mijn camera’s. Ik ben daar dan volgens hen ineens gegevensbeheerder bij en moet mijn bezoekers maar een vier pagina’s tellend document onder de neus van elk van mijn bezoekers schuiven. Kan dit zomaar?
Ik was ook een beetje verbaasd, maar cloud- en cameraleverancier Arlo heeft inderdaad zo’n update gedaan. De prijs ging omhoog vanwege ’toenemende kosten en investeringen in innovatieve oplossingen’, en daarna kregen mensen dus mails dat het privacybeleid is aangepast omdat men gezichtsherkenning gaat toevoegen aan de camera’s.

Technisch zie ik wel hoe dat kan werken: deze camera’s zijn allemaal verbonden met de servers van Arlo (say it with me, there is no cloud, it’s just someone else’s computer) en die kan dan gewoon een software-update sturen. De handleiding legt uit hoe dat moet werken:

2.2 Als de Eigenaar de functie voor gezichtsherkenning activeert, wordt bovendien biometrische informatie over de personen binnen het vastgelegde gebied verwerkt. Er wordt een foto van u, inclusief biometrische informatie, opgeslagen in een ‘bekende gezichten’-galerij die beschikbaar is voor de Eigenaar, samen met een ‘bekend gezicht’-tag, waardoor het Arlo-apparaat u kan herkennen wanneer u het gebied dat door het apparaat is vastgelegd in de toekomst betreedt. De Eigenaar krijgt (automatisch) bericht dat u het gebied betreedt. Arlo Europe heeft geen toegang tot de galerij met “bekende gezichten”.
Dit alles triggert natuurlijk de AVG, vandaar dat Arlo alvast een vier pagina’s tellend document opstuurt dat je dan aan je bezoek kan geven. Koffie?

Het roept natuurlijk de vraag op of de AVG wel geldt. Dat hangt er voor particulieren (zoals de vraagsteller) vanaf of die alleen eigen terrein filmen of ook de openbare weg. Blijf je op eigen terrein, dan is de AVG niet van toepassing en dan heb je die bijsluiter ook niet nodig.

Film je (ook) de openbare weg, dan moet je inderdaad die brochure uitdelen aan iedereen die langskomt. Inclusief de buurman die z’n hond uitlaat, ongeacht of je nu wel of niet in je “Bekende gezichten”-galerij opslaat.

Handiger is misschien de gezichtsherkenning uitzetten. Ik kan voor een particulier thuis niet goed bedenken waarom je dit zou willen? Meehelpen aan het trainen van een database met gezichten waar Arlo (of een defensiebedrijf dat het koopt van Arlo) een AI op gaat bouwen lijkt me niet zo fijn. Helaas biedt de handleiding geen soelaas hoe dát zou moeten.

Arnoud

Uber krijgt boete van 10 miljoen euro van Nederlandse privacytoezichthouder

Geplaatst op in Privacy, 15 reacties

Uber moet een boete van 10 miljoen euro betalen van de Nederlandse privacytoezichthouder AP. Dat meldde Nu.nl onlangs. Dit omdat het bedrijf onvoldoende openheid van zaken heeft gegeven over hoe lang het bedrijf gegevens van Europese chauffeurs bewaarde en naar welke landen buiten Europa deze werden doorgestuurd.

De AP legt uit:

De AP heeft de boete opgelegd nadat meer dan 170 Franse chauffeurs aan de bel trokken bij de Ligue des droits de l’homme et du citoyen (LDH), een Franse belangenorganisatie op het gebied van mensenrechten. LDH diende vervolgens een klacht in bij de Franse privacytoezichthouder. Die heeft de klachten doorgestuurd naar de AP, omdat het Europese hoofdkantoor van Uber in Nederland is gevestigd.
Je zou de klachten kunnen samenvatten als “je privacyverklaring rammelt en bovendien is ie en Anglais, fils d’étalagiste.” Iets formeler:
  • De “guidance notes” werden uitsluitend in de Engelse taal aangeboden
  • Er werd niet “in een gemakkelijk toegankelijke vorm” gereageerd op een inzageverzoek
  • Het verkrijgen van gegevens in een overdraagbaar formaat was te lastig (het formulier was onvindbaar)
  • De informatie over de bewaartermijnen was niet voldoende specifiek
  • De informatie over doorgifte was niet volledig en betekenisvol genoeg
  • Het recht op gegevensoverdraagbaarheid was niet expliciet genoemd
Nou zou je denken, Uber heeft juristen genoeg, kunnen die geen privacyverklaring schrijven dan? Dat kan, maar kennelijk lagen die niet goed met de UX-mensen, want ik las dit in het boetebesluit:
In de in het rapport beoordeelde versie van de chauffeurs-app moeten, schematisch weergegeven, de volgende stappen worden doorlopen om bij het formulier te komen om een verzoek tot inzage of gegevensoverdraagbaarheid in te dienen: Menu > Help> Account and app issues > Legal concerns > Request your personal Uber data> Submit a privacy inquiry > inloggen via “Sign in to get help” of “Submit a privacy inquiry without an Uber account” waarna de chauffeur uitkomt bij het formulier (route 1).
Ik zou ook niet direct op het idee komen om via “Legal Concerns” naar een inzageformulier te gaan. De AP is het daarmee eens en noemt het “niet voor de hand liggend” dat je daar je rechten uitoefent. Zet het gewoon direct onder “Privacy” in het hoofdmenu, dan kan iedereen het vinden.

Als je je gegevens opvraagt, dan krijg je een fiche avec des valeurs séparées par des virgules met Engelse kopjes maar zonder enige uitleg over hoe dit te openen. Of wat te doen als het niet opent, want de separator is de komma en kennelijk wordt er niet altijd goed geëscapet, en dan mag je het zelf uitzoeken. (Ik twijfel zelf of dit niet een Excel issue is, maar dat terzijde.)

Er is nog veel meer; ik volsta even met het stukje over bewaartermijnen. Uber bewaart veel gegevens voor allerlei doelen, maar volstaat in de politique de confidentialité met algemene statements zoals dat “persoonsgegevens zo lang zullen worden bewaard als nodig is voor het rechtmatige doel van de verwerking“. Dit omdat het een enorme opsomming zou geven als je al die termijnen moest noemen.

In zulke gevallen mág je het algemener houden. Echter:

Het slechts in algemene zin noemen dat persoonsgegevens worden bewaard zolang als noodzakelijk is voor bepaalde doeleinden (zoals Uber doet) kan niet gelijk worden gesteld aan het noemen van criteria ter bepaling van de bewaartermijn.
Je ontkomt dus niet aan minstens één niveau dieper gaan, en bijvoorbeeld op hoofdcategorieën benoemen wat je tegenkomt: voor facturatie, voor belastingaangifte, voor klachtafhandeling, zulke zaken. En dan per categorie een termijn.

Uiteraard heeft Uber bezwaar gemaakt, maar ondertussen zijn er wel de nodige verbeteringen doorgevoerd.

Arnoud

 

 

Duits bedrijf vindt honderden auteursrechtenschendingen per week, claimt geld bij Nederlands mkb

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 13 reacties

Het Duitse Copytrack vindt elke week honderden gevallen van verkeerd gebruikt beeldmateriaal en stuurt – vooral kleine – Nederlandse ondernemers claims voor soms voor meer dan duizend euro. Dat meldde BNR vorige week. Bekend verhaal, maar extra dubieus: Wie bij Copytrack online betaalt moet akkoord gaan met de algemene voorwaarden van het bedrijf. Hiermee verplichten gebruikers zich tot het betalen van de boeterekening van 900 euro, als foto’s nogmaals online worden gevonden.

Zoals ik ook tegenover de BNR journalist aangaf: Het frustrerende is, dit alles speelt binnen de wet. Als je een foto overneemt zonder toestemming dan moet je (als zakelijke partij) betalen. Alleen: hoe veel? De Hoge Raad heeft véle jaren geleden gezegd dat de gemiste licentie-inkomsten de schade zijn. Dus, wat vraagt die fotograaf normaal, wat kost deze foto in de beeldbank. Is dat een foto van 15 euro, dan is de schade 15 euro. Ben jij een exclusieve fotokunstenaar en krijg je 5000 euro per kopie dan is dat je schade. Net zoals het bekrassen van een custom built Spyder meer kost dan het oplappen van een oude Opel Corsa.

Schimmig wordt het vanwege de vele verhogingen die er arbitrair ingefietst worden. CopyTrack spant de kroon: je kunt alleen betalen via hun portaal, waar je en passant akkoord zou gaan met hun algemene voorwaarden met daarin een boetebeding(!). Dat kan, als deel van een schikking mág je afspreken dat vervolginbreuken 1000 euro kosten ongeacht de schade. Maar normaal lijkt me dat je daarover onderhandelt, niet dat je een stiekem vinkje ergens onderaan de pagina laat bungelen.

Mijn advies is en blijft dan ook: zoek zelf uit wat de foto écht kost, en betaal dat met 25% opslag (jurisprudentie). Ga niet in discussie, zij hebben geen énkele interesse in jouw argumenten en ze gaan nooit van z’n leven erkennen dat het bedrag omlaag mag. Maak het bedrag dus over en negeer de discussie. Dat werkt, ik ken niemand die vervolgens voor het verschil (hun eis minus jouw betaling) is aangeklaagd.

Je mág ook heel principieel in discussie gaan, bijvoorbeeld door te weigeren te betalen tot men een machtiging liet zien of een notariële akte die de inbreuk documenteert. Die ga je niet krijgen; wat je wél kan krijgen dan is een dagvaarding waar jij als weigerachtige inbreukmaker ingeschilderd wordt.

Dát is dan weer niet handig bij de kantonrechter die zich afvraagt waarom jij als persoon in de fout (je had immers een recht geschonden, dat weet je anders had je de factuur van de gekochte foto wel laten zien) niet gewoon betaalt wat de schade was.

Wat er wél aan te doen is? Klagen bij de opdrachtgevers, waarom ze met zo’n schimmige club in zee gaan. BNR vroeg DPG Media over de samenwerking met Copytrack:

DPG Media laat weten dat de samenwerking met het bedrijf tegen de loep wordt gehouden. ‘Wij hebben recent signalen ontvangen dat de communicatie van Copytrack stevig overkomt’, schrijft een woordvoerder. ‘Wij zullen deze signalen met Copytrack bespreken en zo nodig de werkwijze aanpassen.’ DPG zegt niet bekend te zijn met de hoge boetes die het bedrijf in rekening brengt.
Arnoud

 

Mag een incassobureau blijven incasseren als de webshop failliet is en ik daar heb ontbonden?

Geplaatst op in Ondernemingsvrijheid, 22 reacties

Een lezer vroeg me:

Een webshop verkoopt producten op achterafbetaling aan consumenten, en verkoopt de vorderingen aan een incassobureau (en krijgt dus meteen haar geld minus 10%). De consument wil ontbinden binnen 14 dagen, maar de webshop is net failliet gegaan. Moet de consument nu betalen aan het incassobureau omdat de vordering is verkocht, of vervalt de betalingsplicht door de ontbinding?
Het recht van de consument om de koop op afstand te ontbinden (art. 6:230o BW) vervalt niet omdat de webwinkel failliet is. De algemene regel uit de wet is immers dat een faillietverklaring geen gevolgen heeft voor lopende overeenkomsten. Dus als je tegen een failliet bedrijf meldt dat je ontbindt, dan is dat rechtsgeldig.

Door ontbinding van de koop vervallen alle vorderingen die daarop zijn gebaseerd. Dat is immers het hele punt van ontbinding. Het product moet terug omdat dit weer eigendom van de webwinkel is, en een eventuele betaling moet teruggestort want er is geen koop meer. Is er nog niet betaald, dan vervalt de plicht om nog te betalen – want er is dus geen koopovereenkomst meer.

Webwinkels verkopen nog wel eens zo’n betalingsplicht aan een incassobureau. Dat is handig, want je hebt meteen je geld, zij het minus een bepaald percentage omdat het bureau het risico van wanbetalen wil meenemen. Maar bij zo’n verkoop moet je dus als bureau beseffen dat de koop rechtmatig zomaar ontbonden kan worden.

Een incassobureau weet natuurlijk niet dat de consument tegen de webwinkel de ontbinding heeft ingeroepen. Daarom zegt de wet (art. 6:149 BW) dat de consument de nieuwe schuldeiser zo snel mogelijk op de hoogte brengen van het feit dat hij gebruik heeft gemaakt van zijn herroepingsrecht. Daarna houdt het dus meteen op voor het incassobureau.

Arnoud

Xbox-president: DMA-beleid Apple is een stap in de verkeerde richting

Geplaatst op in Ondernemingsvrijheid, Regulering, 20 reacties
person wearing orange and gray Nike shoes walking on gray concrete stairs
Photo by Bruno Nascimento on Unsplash

Xbox-president Sarah Bond heeft gezegd dat Apple een stap in de verkeerde richting zet wat het DMA-beleid betreft dat op 7 maart van kracht gaat. Dat meldde Tweakers dinsdag. Apple maakte eerder deze maand plannen bekend waarmee men wil voldoen aan de Europese Digital Markets Act, maar stuitte daarbij op veel kritiek. Wat is hier aan de hand?

Vorige week noemde ik de DMA het sjacherijnige broertje van de Digital Services Act (DSA). Waar de DSA spelregels stelt voor platforms en hosters die met name gericht zijn op transparantie en eerlijk zijn naar je gebruikers, komt de DMA met een hele lijst verboden en verplichtingen voor ‘poortwachters’ oftewel bedrijven die gewoon heel machtig zijn in de ict/internet-wereld. Die lijst is gebaseerd op een hoop dingen die misgegaan zijn in het (recente) verleden, dus die wet zit inderdaad mopperend en zuchtend “káp hier nou eens mee” te klagen.

In dit zwartboek van het ict-recht zien we een aantal halen naar Apple:

7.   De poortwachter verlangt van eindgebruikers niet dat zij gebruikmaken van een identificatiedienst, een browser-engine of een betalingsdienst, of van technische diensten die het aanbieden van betalingsdiensten ondersteunen, zoals betalingssystemen voor in-app-aankopen, van die poortwachter, noch van zakelijke gebruikers dat zij die gebruiken, aanbieden of ermee interageren in het kader van diensten die zij aanbieden via kernplatformdiensten van die poortwachter.
Dit is natuurlijk letterlijk de situatie met Apple’s App Store, waar je 30% betaalt van alle transacties via de app. Onder meer Spotify is daar heel boos over, dus de hoop was sterk dat Apple dankzij de DMA een alternatief zou verzinnen.

Dat alternatief is er nu, maar je hebt er weinig aan:

A completely new 0.50 cent Euro fee per download, every year, in perpetuity, to Apple for just allowing developers to exist on iOS.

Apple is still charging a 17% rent on developers for existing in the App Store if they offer alternative payment methods or link out to their own website.

Met deze (en andere) maatregelen is het natuurlijk búitengewoon onaantrekkelijk om over te stappen naar een andere appstore of een andere betaalmethode. En dat lijkt dan ook precies de bedoeling van Apple te zijn geweest: oké, we moeten van de DMA een alternatief bieden, dit is een alternatief dus haha ja we voldoen hoor.

Ik had ooit de “ja haha” regel: als je dat in je juridisch argument gebruikt, dan is het argument onjuist. Die is niet zo’n succes gebleken maar hij klopt wel precies met dit geval.

Het lastige is natuurlijk: wat gaan we eraan doen als Europa zijnde? Snel doorpakken vanuit de Commissie en direct een bindende aanwijzing zou het verstandigste zijn – boetes hebben weinig effect, maar “je product moet van de schappen tenzij je deze maatregel doorvoert” zal een stuk meer pijn doen.

Arnoud

 

Japanse overheid wijzigt regelgeving die gebruik van diskettes verplicht

Geplaatst op in Innovatie, 11 reacties
“rainbow diskettes, IBM formatted” by frankieleon is licensed under CC BY 2.0

Het Japanse ministerie van Economie, Handel en Industrie heeft allerlei regelgeving aangepast die het gebruik van diskettes en cd-roms verplicht. Dat las ik bij Security.nl. De aangepaste verordeningen gebruiken nu techniekneutrale benamingen.

Waarom is mij niet duidelijk, maar Japan bleek bijna 2000 wetten en regels te hebben waarin expliciet naar floppydisks werd verwezen. De BBC legt uit:

This is not the first time Japan has hit the headlines for its old-fashioned habits – which remain a paradox given the country’s proficiency at developing exciting new products. Various explanations have been offered, including poor digital literacy and a bureaucratic culture with conservative attitudes.
Mijn gok zou zijn dat dit als stoffig detail in een wet staat en niemand zin had om daar een punt van te maken. Het gaat toch goed? Ik zie niemand op straat demonstreren. Nou dan.

Veel mensen linktipten me dit bericht vanuit een motivatie van “haha gekke juristen zijn zo ouderwets”. Dat zal zeker ook mee hebben gespeeld – maar de reden om zo ouderwets te doen is vaak simpel: (a) het werkt, (b) we weten dat het rechtsgeldig is. Dat moeten we met jouw flitsende app nog maar zien, en die floppy disk heeft géén ellenlange uitsluiting van aansprakelijkheid.

In Nederland hebben we nooit expliciete regels over floppy’s als verplicht medium gehad. Ja, er was de Aangiftediskette die in 2008 ‘abrupt’ werd afgeschaft, maar dat was een optie en geen plicht. De beste analogie is volgens mij de fax, die in 2021 bij de Rechtspraak als laatste werd afgeschaft. Ik schreef toen:

De overstap van post naar fax was destijds al een grote stap. Ik kon niet precies achterhalen wat de eerste uitspraak was waarin faxverkeer als rechtsgeldig werd erkend, de strafzaak HR 13 september 1988, NJ1989,12 lijkt de eerste uitspraak te zijn geweest. Hierin stond ter discussie of een gefaxte pleitnota wel rechtsgeldig ondertekend was door de advocaat. Immers, hoe controleer je de echtheid van een korrelig plaatje? Gelukkig was de advocaat-generaal van de HR behulpzaam:
Nodig is dat de advocaat telefonisch of schriftelijk aan de griffie van de HR laat weten dat de gefotocopieerde handtekening zijn handtekening is. Waar zo een nadere mededeling ontbreekt zal slechts een toevallige omstandigheid, zoals de aanwezigheid in het dossier van een brief van de indienende advocaat met diens originele handtekening en de mogelijkheid om de overeenkomst van die handtekeningen zonder moeite vast te stellen, de schriftuur met de gefotocopieerde of ‘gefaxte’ handtekening kunnen redden.
In andere zaken werd vergelijkbaar geoordeeld, waarbij ook wel als argument werd geaccepteerd dat je het origineel naleverde en dat men achteraf kon zien dat dit identiek was aan de fax. Dan heb je je origineel maar kan het allemaal net wat sneller. Daar kon niemand op tegen zijn, maar zeker woog ook mee dat professionele procespartijen zoals advocaten of rechters er geen belang bij zouden hebben om vervalste faxen te sturen. De kans op vervalsingen zou dus klein genoeg zijn.
Japan lijkt vergelijkbaar te hebben geoordeeld, waarbij informatiebeveiliging een argument was. Een floppy per koerier is immers lastiger te hacken dan een internetverbinding.

Arnoud

Is het strafbaar om beveiligingscamerabeelden te wissen als daar een strafbaar feit op te zien is?

Geplaatst op in Regulering, Security, Uitingsvrijheid, 12 reacties

Uit een recente discussie alhier:

Stel je voor dat mijn camera beelden opneemt van iemand uit de buurt die een misdrijf begaat (zeg, iemand zwaar lichamelijk letsel toebrengt). Als de politie dan weet dat ik een camera heb zullen ze die beelden willen hebben, en die dan vorderen zodat die als bewijs kunnen dienen. Wat nu als ik bij mezelf denk “Ja die persoon die ken ik, die is zeer agressief, dus als die weet dat hij dankzij mijn camerabeelden veroordeeld is dan komt ‘ie vast verhaal halen, of wraak nemen op mij of mijn gezinsleden”, en daarom wis ik die beelden direct. Is dat dan strafbaar?
Dat is een goeie vraag. Je hoort vaak dat “vernielen van bewijs” strafbaar is, maar laten we eens nagaan hoe dat precies zit. Artikel 189 Strafrecht regelt onder meer de strafbaarheid van het wegmaken van bewijs (tot 6 maanden cel):
[Strafbaar is] hij die nadat enig misdrijf is gepleegd, met het oogmerk om het te bedekken of de nasporing of vervolging te beletten of te bemoeilijken, voorwerpen waarop of waarmede het misdrijf gepleegd is of andere sporen van het misdrijf vernietigt, wegmaakt, verbergt of aan het onderzoek van de ambtenaren van de justitie of politie onttrekt;
We nemen even aan dat het gaat om een misdrijf, zoals een overval, beroving of mishandeling, dat op beeld is vastgelegd door je camera. Bij overtredingen (je filmt iemand die door rood licht rijdt) is dit artikel niet van toepassing.

Strafbaar is dus het wegmaken van “sporen van het misdrijf”. De videobeelden van het misdrijf zijn aan te merken als dergelijke sporen. Je maakt die weg, want je gooit de data erop weg zodat er niets meer te onderzoeken over is. De enige vraag is dan nog of je dit doet met het genoemde oogmerk: het misdrijf bedekken (verhullen, verbergen) of de opsporing/vervolging bemoeilijken.

De vraagsteller noemt een heel ander motief, namelijk angst voor jezelf. Er is echter een uitspraak uit 2013 waarin een discotheek-eigenaar videobeelden van een mishandeling voor zijn deur had gewist met als motivatie de reputatie van de disco te beschermen. Dat was geen legitiem motief: alleen de angst om zélf vervolgd te worden op basis van die beelden, of directe bloedverwanten beschermen kan een uitzondering zijn (lid 3). Het motief van angst voor jezelf is uiteindelijk nog steeds het oogmerk om het te willen wissen om zo nasporing of vervolging te bemoeilijken. Oftewel: waarom je de vervolging wilde bemoeilijken, doet er niet toe.

Ik kan angst voor represailles goed billijken, maar met deze beperkte uitzondering in de wet zie ik niet hoe je dat juridisch kunt rechtvaardigen. Behalve wellicht als noodweer, je zat acuut hoog in je angst en wiste in totale paniek de beelden want de verdachte stond met een knuppel voor de deur, zoiets. Mijn conclusie is dus: ja, als je videobeelden wist terwijl je weet dat er een misdrijf op staat, dan is dat strafbaar.

Ben je bang dat je voor zulk wissen vervolgd zou worden, dan is denk ik de enige tip om structureel en automatisch beelden te wissen. Gebeurt het wissen namelijk altijd automatisch na 72 uur en hoor je pas daarna dat je daarmee bewijs hebt gewist, dan ben je niet strafbaar want dan ontbreekt de opzet. De reden dat ik “altijd” en “structureel” zeg is omdat je dat kunt aantonen. Wis je nooit iets en nu nét die ene video met dat misdrijf erop, dan is het buitengewoon ongeloofwaardig dat je niet wist van die gebeurtenis.

Arnoud