Wat zijn nou de belangrijkste aandachtspunten voordat je AI in je bedrijf gaat inzetten?

Geplaatst op in Innovatie, Ondernemingsvrijheid, Security, 4 reacties
Photo by Albert Stoynov on Unsplash

Een lezer vroeg me:

Iedereen gebruikt inmiddels AI op de werkvloer. Wat zijn volgens jou de belangrijkste juridische aandachtspunten waar bedrijven momenteel rekening mee moeten houden voordat ze AI inzetten binnen het bedrijf?
Mijn allerbelangrijkste aandachtspunt is dat je begint met kwalificeren wat je bedoelt met “we gebruiken AI op het werk”. Dit is een wereld van opties, van “werknemers gebruiken op hun telefoon een gratis account bij OpenAI” en “Wim heeft een self-hosted Chinees model op zijn oude laptop” tot “onze workflows zijn geautomatiseerd via OpenClaw agents met een ingeregeld soeverein self-hosted taalmodel”.

In de kern heb je twee smaken AI: self-hosted en SaaS. De meeste mensen gebruiken die laatste, en dat behandel je gewoon als iedere ict-dienst die je inkoopt. Kwaliteit, aansprakelijkheid, data-toegang, veiligheid, exit zijn dan de belangrijkste aandachtspunten. Plus verwerkersovereenkomst als de dienst persoonsgegevens verwerkt.

Specifiek bij AI-diensten is het grootste aanvullend risico hoe vertrouwelijk men omgaat met je data. De klassieke zorg is dat men al je chats gebruikt om het taalmodel mee te verbeteren, dus zorg dat je inkoopt op een niveau waarbij dat contractueel uitgesloten wordt.

Daarnaast is anno 2026 soevereiniteit een aandachtspunt. Blijft de data in Europa? En zo niet, hoe makkelijk kunnen we dan mét data en al weg zodra het Hof van Justitie (of de Commissie) zegt dat de US cloud niet meer adequaat is?

Bij self-hosted AI modellen blijven kwaliteit, veiligheid en data-omgang van belang, maar vanuit een ander perspectief. Heb je je beheer op orde, wat is de uitwijkoptie als de dienst het niet doet, enzovoorts. Wie let op actualiteit en verbetering, gebruikerstraining en zulke zaken. Wederom: hetzelfde als bij andere ict-diensten.

Mocht je te maken hebben met hoogrisico-AI onder de AI-verordening, dan wordt dat vanaf december 2027 een extra aandachtspunt. Kopen wij dit in met een CE keurmerk, en hebben wij toezicht en gebruik goed ingeregeld met training en bevoegdheden voor iedereen die er mee te maken krijgt?

Bij bovenstaande ben ik uitgegaan van zakelijk afgenomen AI-diensten. Populair is de privé afgenomen dienst die dan onzichtbaar voor werk wordt ingezet. Dit is ook niet nieuw, de term “shadow IT” bestaat al 20 jaar. Maar er zijn nu ineens veel meer redenen voor individuele werknemers om zulke tools in te zetten, dus komt het veel vaker voor. Hier beleid, educatie en toezicht op hebben is wat mij betreft dus essentieel.

Arnoud

Mag je een streamingdienst binnen 14 dagen opzeggen?

Geplaatst op in Ondernemingsvrijheid, 7 reacties
Photo by Glenn Carstens-Peters on Unsplash

Een abonnement op een streamingdienst is wat anders dan een digitale download, zo bepaalde het Hof van Justitie onlangs. Daarom geldt het 14-dagen opzegrecht wél voor streamingdiensten, zelfs als je een vinkje zet dat je er afstand van doet. Wel moet je voor de gebruiksperiode tot opzegging naar verhouding betalen.

Sky Österreich is een Oostenrijkse aanbieder van videostreamingdiensten. Je kunt live of op aanvraag films en series starten, mits je een abonnement hebt. Bij afsluiten daarvan moet je een vinkje zetten dat je akkoord gaat met afzien van je herroepingsrecht.

Afstand doen van je herroepingsrecht kan normaal niet, maar specifiek bij digitale inhoudsdiensten mag dat bij uitzondering wel. Bij ons is dat art. 6:230p onder g BW: “voor zover de nakoming is begonnen” en nadat je die verklaring hebt gegeven en de handelaar de contractsluiting heeft bevestigd.

De Oostenrijkse consumentenorganisatie VKI had een interessant juridisch argument: dit is geen “levering van digitale inhoud” maar een “digitale dienst”. En bij die laatste vervalt het herroepingsrecht pas na levering. Zoals het bij ons in art. 6:230p onder d BW staat: “na nakoming van de overeenkomst”.

Bij een digitale dienst zoals het omzetten van je Word document naar pdf is dit een logische constructie. Maar bij een voortdurende dienst zoals een on-demand streamingdienst kun je je afvragen wanneer die dan “nagekomen” is. Vandaar dat de rechter de vraag voorlegde aan het Hof van Justitie.

Het Hof leest de definitie van “digitale inhoud” heel scherp: “gegevens die in digitale vorm worden geproduceerd en geleverd”. Een “digitale dienst” is dan weer “een dienst die ofwel een consument in staat stelt gegevens in digitale vorm te creëren, te verwerken of op te slaan, of toegang tot die gegevens te krijgen”. Dus: betaal je voor de gegevens zelf dan is het een inhoudslevering, maar betaal je voor de mogelijkheid gegevens te krijgen, dan is het een digitale dienst.

De Richtlijn (2011/83) waar dit uit komt, bevatte een aantal voorbeelden van wat “digitale inhoud” is, en dat maakt het dan weer verwarrend:

„computerprogramma’s, toepassingen, spellen, muziek, video’s en teksten, ongeacht of de toegang tot deze gegevens wordt verkregen via downloaden of streaming, vanaf een materiële drager of langs een andere weg”.
En “digitale diensten” zijn dan weer
„diensten voor het delen van video en audio en andere hostingdiensten voor bestanden, tekstverwerking of spellen die in de cloud worden aangeboden, opslag in de cloud, webmail, sociale media en cloudtoepassingen”
Hoe definieer je hier het verschil? Het Hof ziet geen technische of andere zinnige kenmerken om de lijn te trekken. Ook “wordt continu langdurig geleverd” is niet relevant, want dat kan bij beiden spelen.

Toen viel ik van mijn stoel, want het hebben van een recommender is ineens het onderscheidend kenmerk:

Anders dan de levering van „digitale inhoud”, wordt een „digitale dienst” noodzakelijkerwijs gekenmerkt door het dynamische karakter van het aanbod van de betrokken handelaar dat verder gaat dan louter het stabiel en, in voorkomend geval, continu ter beschikking stellen van specifieke inhoud. Dit is met name het geval wanneer het aanbod, op basis van een analyse van de inhoud waartoe de consument toegang heeft gehad, of van afspeellijsten of favorieten, is ontworpen om zich aan te passen aan het individuele gedrag of de individuele verwachtingen van de consument, of om invloed uit te oefenen op de wijze waarop deze de betrokken diensten gebruikt, bijvoorbeeld door hem aanbevelingen voor specifieke inhoud te doen.
Iets algemener dus: “digitale inhoud” is één bestand met vaste inhoud. Hier, The.Good.Place.S03E02.720p.BluRay.X264. Maar een online dienst wijzigt wél van tijd tot tijd. Nieuwe functionaliteit, herziene interface, ineens een AI in je dashboard en dus ook een steeds wijzigend aanbod aan content om te lezen.

Het Hof zegt daarbij dat het gaat om consumentenbescherming wanneer “het de consument vóór sluiting van de overeenkomst niet mogelijk is om concreet ten volle kennis te nemen van de kenmerken van de betrokken dienst”. En dat kan inderdaad niet bij streamingdiensten op abonnementsbasis, al is het maar omdat er later content bij kan komen.

De onvermijdelijke conclusie is dus dat een streamingdienst altijd annuleerbaar is na de volle 14 dagen. Als vergoeding moet je dan 14/30e van het maandbedrag betalen, zo blijkt uit eerdere aangehaalde rechtspraak.

Echter, als het aanbod ook dure of bijzonder aantrekkelijke content bevatte en jij vooral daaruit hebt zitten streamen, dan mag ook de marktwaarde van die content worden gerekend. Ik vermoed dat dit over voetbal gaat, zoals “inclusief eerste maand gratis Premier League twv 15 euro”. Dan moet dus ook 14/30e van die 15 euro betaald worden.

Arnoud

 

Media krijgen boete ‘wegens reclame’ in Ozempic-berichten, is dat terecht?

Geplaatst op in Regulering, Uitingsvrijheid, 23 reacties
Photo by David Trinks on Unsplash

Nederlandse media hebben boetes van tienduizenden euro’s gekregen voor hun berichtgeving over Ozempic, Wegovy en Mounjaro. Dat meldde het FD tijdens mijn vakantie. Deze is te zien als reclame, en dat is verboden omdat het gaat om medicatie op recept. Hoofdredacteuren zien het als een aanval op de persvrijheid en men gaat in hoger beroep. Waar gaat dit over?

De boetes zijn in maart vorig jaar opgelegd, maar we weten het nu pas omdat men in beroep bij de rechtbank is gegaan. Het vonnis geeft de Inspectie Gezondheidszorg en Jeugd (IGJ) gelijk bij twee publicaties van DPG in de Flair en de Stentor (betaallink). Het zijn echte redactionele artikelen, geen branded content zoals DPG moeilijk herkenbare reclame noemt.

Flair had drie vrouwen geïnterviewd voor de zomerspecial, die met frases als “In week 1 raakte ik al 3 kilo kwijt” (op de voorpagina), “Wondermiddel: Zij vielen snel -en flink- af met Ozempic” (in de inhoudsopgave) en “Voor mij is het een WONDERMIDDEL” in het artikel aan het woord kwamen. De Stentor zet meneer Jeroen centraal die “zweert bij afslankmedicatie” en “een van de eerste Nederlanders [is] die het nieuwste dieetmedicijn Wegovy gebruikt, een middel dat nog niet op de markt is in Nederland maar via een omweg tóch beschikbaar is”.

Is dat reclame? Tsja. Enerzijds: mensen laten vertellen over hun worsteling met overgewicht is gewoon een taak van de vrije pers. Nergens staan betaallinks, er is geen sponsoring betaald en de berichtgeving noemt ook (zij het kort) de bijwerkingen en het gegeven dat Ozempic niet voorgeschreven mag worden voor de aandoening obesitas.

Anderzijds: strekking en insteek van het artikel zijn erg positief en geven mij na het lezen sterk het gevoel “als ik overgewicht heb, is Ozempic of Wegovy een goed idee”. En dat zou ik dan aan mijn huisarts kunnen vragen, en met een beetje sociale druk zou de beste vrouw wellicht dat ook voorschrijven. (Of als ik geld heb, ga ik naar een kliniek waar ze niet piepen over off-label Ozempic.)

En dát is precies waarom de Geneesmiddelenwet zo’n brede definitie van (publieks-)reclame hanteert: het kan de volksgezondheid in gevaar brengen als mensen medicatie gaan gebruiken die daar niet voor bedoeld is. Of die legitiem gebruik (voor diabetes) moeilijker maakt – er zijn lang grote tekorten van Ozempic voor diabetici. Zulke reclame is dan ook verboden als die het publiek bereikt.

Het Hof van Justitie hanteert een brede scope:

Wanneer de boodschap is bedoeld ter bevordering van het voorschrijven, het afleveren, de verkoop of het verbruik van geneesmiddelen, maakt zij reclame uit in de zin van deze richtlijn. Een zuiver informatieve mededeling zonder [promotional, AE] doel valt daarentegen niet onder de bepalingen van deze richtlijn inzake reclame voor geneesmiddelen.
De vraag is dus niet of de redactie betaald werd, of dat het redactiestatuut iets met geneesmiddelen of levensstijl vermeldt. De enige vraag is “wil je er mee stimuleren dat dit geneesmiddel wordt gebruikt”. Die vraag beantwoordt de rechtbank positief voor de Flair:
Naar het oordeel van de rechtbank valt uit de keuze van eiseres, althans (de redactie van) Flair, voor een publicatie aan de hand van het verhaal van drie vrouwen, die vertellen dat zij dankzij het gebruik van Ozempic (erg) veel zijn afgevallen, en waarin een nagenoeg ééndimensionale weergave van de positieve effecten van Ozempic wordt gegeven, een reclamedoelstelling af te leiden. Het gaat er bij die doelstelling om wat de publicatie bij de lezers teweeg brengt. Zoals verweerder op de zitting aangaf: dat de lezer die ‘t aangaat denkt, ‘dat wil ik hebben’.
Het doel van de publicatie is dus niet: wat zat in het hoofd van de journalist toen die het artikel schreef, of van de uitgever toen die het live zette. Maar: gezien strekking en context, wat was redelijkerwijs wat je wilde bereiken met de publicatie.

Ik ben nu gewoon even benieuwd: hoe lezen jullie deze artikelen, en hoe hard voelde je na lezing de neiging om Ozempic aan te raden voor afvallen?

Arnoud

 

 

Als je Europese passwordkluis ineens uit Rusland komt

Geplaatst op in Security, 6 reacties
Photo by Sam Riz on Unsplash

De Europees ogende wachtwoordsoftware Passwork komt in werkelijkheid uit Rusland, aldus Nu.nl onlangs. Geen van de Europese klanten wist het. Over twee maanden gaat de meldplicht van de Cyber Resilience Act in, maar de vraag “wie zit er eigenlijk achter mijn software” heeft in heel de Digital Decade-wetgeving nog steeds geen goed antwoord.

Passwork maakt wachtwoordkluizen voor bedrijven. Op de website: “Made in EU”, hoofdkantoor Barcelona, voldoet aan Europese privacywetgeving. In werkelijkheid werd het bedrijf in 2014 opgericht in Rusland, en die banden zijn er nog. Het “hoofdkantoor” bleek een brievenbus bij een Russischtalig advocatenkantoor. Onder meer een grote Nederlandse zonneparkbeheerder, een Frans havenbedrijf en Ierse overheidsinstanties waren klant.

Passwork zegt dat wachtwoorden alleen op de servers van klanten staan, versleuteld, met een “zero-knowledge architecture”. Ze kunnen er zelf niet bij. Althans, zeggen ze: de encryptie en decryptie vinden plaats in code die Passwork zelf schrijft en via updates beheert. Wij kunnen het niet zien. Een extra kanaaltje naar de FSB kan er dus zomaar zijn.

Password managers worden expliciet in de Cyber Resilience Act (CRA) genoemd als in-scope softwareproducten. Vanaf 11 september moet Passwork actief misbruikte kwetsbaarheden binnen 24 uur melden bij ENISA, en tegen december 2027 moet het bedrijf een volledige SBOM leveren — een stuklijst van alle softwarecomponenten, inclusief herkomst.

Maar een SBOM vertelt je wat er volgens de leverancier in de software zit. Niet wat er daadwerkelijk draait. Ken Thompson beschreef dat probleem al in 1984: een compiler die zichzelf compileert kan een achterdeur bevatten die in geen enkele regel broncode zichtbaar is, maar die zich bij elke compilatie reproduceert. Het punt is veertig jaar oud en nog steeds onopgelost.

En daar raakt het technische probleem aan het politieke. Want als je de broncode niet kunt vertrouwen en de SBOM niet kunt verifiëren, dan valt je terug op de enige vraag die overblijft: vertrouw je de partij die de software maakt? Dat is een soevereiniteitsvraag.

Soevereiniteit kent vele betekenissen. Als ondergrens hanteer ik: wie software levert aan vitale infrastructuur moet kunnen aantonen vanuit welke jurisdictie de broncode wordt beheerd en wie de update-pipeline bezit. Maar leg die last niet bij de afnemer. Novar bouwt zonneparken, geen dreigingsanalyses. Dit soort risico’s moet gevangen worden in de CE-certificering, niet in de due diligence van elke mkb’er.

En ja, de nervositeit is nu ingegeven door het woord “Rusland”. Maar het zou precies hetzelfde moeten uitpakken bij Amerikaanse software. De soevereiniteitsvraag is dus eigenlijk: wie willen wij vertrouwen voor onze ict-infrastructuur?

Arnoud

Tijd voor vakantie, maar kijk hier nog even naar!

Geplaatst op in Internetrecht, Iusmentis, 25 reacties
Photo by Road Ahead on Unsplash

Voordat ik met vakantie ga: mag ik je nog even wijzen op deze opleidingen of boeken waar je wat mee kan?

Allereerst hoop ik natuurlijk dat je onze nieuwe opleiding tot AI-shaped lawyer wil overwegen. Het is de eerste (en volgens mij enige) opleiding in Nederland die je fundamenteel leert werken boven AI, en waar “kritisch naar de uitvoer kijken” geen losse opmerking is maar een van de kernaspecten waar je op getraind wordt.

Ook hebben we natuurlijk onze populaire opleidingen tot AI compliance officer (CAICO), lead implementer (CAILI), legal engineer (CLEA), cybersecurity officer (CCCO), health compliance officer (CHCO) of gewoon FG.

Mocht je nog boeken willen lezen deze zomer, dan drie aanraders:

  • Mijn nieuwe boek Wetwijs in het digitale decennium behandelt thematisch de wetgeving die deze en komende jaren op ons afkomt. Van Digitaldienstenverordening tot Recht van Reparatie, digitale soevereiniteit en herziening van cybersecurity.
  • ICT & Recht graaft diep naar geschiedenis, context en ontwikkeling van het ict- of internetrecht. Je koopt het met korting samen met Wetwijs.
  • Populair voor AI compliance officers is AI en Algoritmen. Praktische stappen om AI Act compliance en governance mee in te regelen.
  • Mijn boek De AI Act: Artikelsgewijs commentaar plaatst ieder artikel van de AI-verordening of AI Act in perspectief. Inclusief kruisverwijzingen, overwegingen, achtergrond en literatuur om een volledig begrip te krijgen. Ook hier een combikorting, samen met AI en Algoritmen.
Deze blog gaat maandag 24 augustus weer als gebruikelijk verder. Wie nieuwstips heeft: je weet me te vinden!

Arnoud

Heb ik rechtsgeldig betaald bij de parkeerautomaat als het een nep-QR code blijkt?

Geplaatst op in Security, 39 reacties
Photo by billow926 on Pexels

Een lezer vroeg me:

Recent waarschuwde de gemeente Den Haag voor valse QR-codes op parkeerautomaten. Best professioneel gemaakt zo te zien, dus je zult er makkelijk in tuinen. Stel je betaalt daar en je krijgt vervolgens een parkeerboete, heb je dan nog enig excuus zoals dat de gemeente haar zorgplicht verzaakte?
Nep QR codes die je leiden naar valse betaalsites komen bij allerlei systemen voor. Dit gaat om betaalautomaten voor parkeren op de openbare weg, er zijn er ook bij parkeergarages of laadpalen voor elektrische auto’s. Allemaal gebaseerd op de aanname dat mensen makkelijk afgaan op een QR-code, zeker als die daar zit waar je ‘m normaal verwacht.

Nou valt er van alles te zeggen voor “let goed op voor je een code scant”, of zoals bij deze automaten zelfs “die hebben nooit een betaal-QR-code”. Maar prima denkbaar is dat je echt op het verkeerde been werd gezet en betaalde, ondanks de omzichtigheid die van een redelijk oplettend burger mag worden verwacht. Kun je de gemeente of andere exploitant dan iets verwijten?

De vraag is dan eerst: wat is je verwijt? Je geld terug ligt voor de hand – alleen moest je eigenlijk wel degelijk betalen, zij het aan een ander dan aan wie je had betaald. Dus het meest kansrijke argument is dat je wilt dat de betaling aan de scammer telt als betaling aan de gemeente, parkeergarage et cetera. Daarvoor hebben we artikel 6:34 BW, de bevrijdende betaling aan de onbevoegde:

De schuldenaar die heeft betaald aan iemand die niet bevoegd was de betaling te ontvangen, kan aan degene aan wie betaald moest worden, tegenwerpen dat hij bevrijdend heeft betaald, indien hij op redelijke gronden heeft aangenomen dat de ontvanger der betaling als schuldeiser tot de prestatie gerechtigd was of dat uit anderen hoofde aan hem moest worden betaald.

Je hebt dus betaald aan de gemeente door te betalen aan de QR-scammer wanneer je redelijke gronden had om te denken “dit is hoe ik aan de gemeente moest betalen”. Bij de QR-code vind ik het iets lastiger, en daarvoor weegt bij mij zwaar dat geen enkele gemeente bij parkeerautomaten een QR code hanteert als betaalmechanisme.

Daar komt het juridisch probleem bij dat de Hoge Raad in 2021 bepaalde dat artikel 6:34 niet geldt als de quisher zich voordoet als de gemeente. In dat geval is het criterium dat van art. 3:35 BW, en dat komt hier neer op “mocht jij denken dat de gemeente met die sticker aangaf dat je zo moest betalen”.

Dat is een hogere lat, en dan kom je nog harder het argument tegen dat geen enkele gemeente met QR-stickers werkt bij parkeerautomaten. Echte tegenargumenten kan ik zo niet bedenken. De vraagsteller had nog geopperd dat het uit kan maken als die sticker er langdurig zit, oftewel als de gemeente niet periodiek controleert bij bv. het schoonmaken van de laadpalen of er ineens rare stickers op zitten. Dat gaat mij te ver, want een schoonmaker is er niet om QR-codes te controleren. En om nou de CISO elke week een rondje laadpalen te laten fietsen, vind ik ook zo wat.

Arnoud

Juridisch is geoblocking prima, ook als mensen er met een VPN omheen kunnen

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, Uitingsvrijheid, 19 reacties
Photo by Petter Lagson on Unsplash

Bij iedere juridische maatregel is wel een technische tegenmaatregel te bedenken. Geoblocking is een bekende: gewoon een vpn installeren en hopsakee, je kunt er alsnog bij. Leuk en aardig, maar betekent niet dat die maatregel ongeldig of onhoudbaar is. De wet wil “goed genoeg” afdekken.

Ik roep dit al jaren, en voel me gesterkt door het recente arrest in de Anne Frank-zaak van het Hof van Justitie. Achterliggend is een wat ingewikkeld auteursrechtengeschil:

Na het overlijden van Otto Frank [die het dagboek bewerkte en uitgaf] is het Anne Frank Fonds houder van de auteursrechten op de werken van Anne Frank geworden. Zoals blijkt uit een definitieve uitspraak van de rechtbank Amsterdam (Nederland) van 23 december 2015 is een deel van deze werken in Nederland tot 2037 auteursrechtelijk beschermd krachtens een overgangsregeling van de Auteurswet. In andere landen, waaronder het Koninkrijk België, behoren deze werken tot het publieke domein.
Op de website www.annefrankmanuscripten.org wordt een wetenschappelijke editie van de manuscripten van Anne Frank gepubliceerd. Daarbij wordt middels geoblocking Nederlandse IP-adressen geweerd.

Vroeger stond er ook nog een knop bij „JA, ik raadpleeg de website vanuit een van de bovenstaande publiek domein-landen”, waarmee je dan de blocking kon opheffen onder dreiging van auteursrechtelijke sancties wegens omzeilen van beveiligingsmaatregelen (artikel 27a Auteurswet). Die knop zie ik nu niet meer.

Het Anne Frank Fonds stapte in 2021 naar de rechter omdat dit ondanks de maatregelen inbreuk op auteursrecht zou zijn. Daarbij woog mee dat de geoblocking te omzeilen zou zijn met een virtueel particulier netwerk, wat dan triviaal genoeg op te zetten zou zijn. Dat leidde tot vragen aan het Hof van Justitie, waar nu antwoord op is.

Het Hof is al een tijdje bezig met jurisprudentie over wat “het publiek” is waar je bij een publicatie je op richt. Als je je met effectieve technische maatregelen beperkt tot een bepaald publiek, dan richt je je niet op een ander publiek. Dat kan uitmaken voor je licentie, zoals wanneer je alleen schoolkinderen toegang wil geven. Maar omgekeerd geldt het ook: wie de publicatie met maatregelen beperkt tot “de wereld minus Nederland”, richt zich niet op Nederland.

Dan dus de hamvraag: is het “effectief” om een geoblokkade op basis van IP-adres te doen? We weten immers dat “gebruik gewoon een vpn” een voor de hand liggende reactie is. Hier, een mond vol van het Hof:

Het Hof heeft in dit verband gepreciseerd dat de doeltreffendheid van een technische voorziening niet absoluut hoeft te zijn, maar met inachtneming van het evenredigheidsbeginsel moet worden beoordeeld in het licht van de doelstelling om handelingen te voorkomen of onmogelijk te maken die niet zijn toegestaan door de auteursrechthebbende, waarbij dus met name dient te worden nagegaan of de betrokken voorziening geschikt is om dat doel te verwezenlijken en niet verder gaat dan daartoe noodzakelijk is en, zoals in punt 26 hierboven is aangegeven, een rechtvaardig evenwicht dient te worden gezocht tussen de bescherming van intellectuele-eigendomsrechten en die van andere grondrechten, zoals de vrijheid van meningsuiting en van informatie.
In gewone taal zegt het Hof: een maatregel hoeft niet perfect te werken, maar moet in de regel het effect hebben. Tegelijk moet de maatregel vals positieven beperken (zoals Belgen die toevallig een Nederlands IP-adres lijken te hebben). Dat er tegenmaatregelen zijn, is als abstracte tegenwerping géén argument.

Wel moet de maatregel “state-of-the-art” zijn, wat ik maar opvat als “je moet wel je best gedaan hebben” want hoe je dat meet, weet eigenlijk niemand. (De arme nationale rechter moet maar een deskundige benoemen.)

Dat er ook andere maatregelen zijn, zoals alleen via terminals in een bibliotheek of na identiteitsverificatie toelaten, is niet relevant. Je moet de maatregel zelf beoordelen op haar effectiviteit.

Arnoud

 

Kan ik al iedereen gaan aanklagen die mijn persoonsgegevens naar de VS brengt?

Geplaatst op in Ondernemingsvrijheid, Privacy, Regulering, Security, 8 reacties
Photo by Jade Koroliuk on Unsplash

Een lezer vroeg me:

Privacyorganisatie noyb liet onlangs weten dat datadoorgifte naar de VS vanwege een uitspraak van het Amerikaanse hof over de onpartijdigheid van toezichthouder FTC onrechtmatig is  Ook andere experts hebben naar aanleiding van de betreffende uitspraak inmiddels hun twijfels geuit. Kan ik op basis van deze ontwikkeling nu al bezwaar aan tekenen bij bedrijven die mijn persoonsgegevens naar de VS doorsturen, of moet ik wachten totdat de EU de huidige overeenkomst ontbindt of het Europees Hof van Justitie die ongeldig verklaart, zoals het al twee keer eerder deed?
Vanwege het Data Privacy Framework uit het Biden-tijdperk werd de VS “adequaat” verklaard door de Commissie. Dat wil zeggen, de Commissie oordeelde dat haar beschermingsniveau rond persoonsgegevens equivalent was aan dat van de EU. Belangrijke daarbij was dat er onafhankelijk toezicht was door de FTC.

Door de zogeheten Slaughter-uitspraak van de Supreme Court is die onafhankelijkheid onderuit gehaald. Alle regeringsfunctionarissen dienen de president, die ze dus mag ontslaan wanneer hij dat wil. Ook de voorzitter van diezelfde FTC (dat was de mevrouw Slaughter waar de zaak naar genoemd is). Dus die adequaatheid van de VS is een lachertje nu.

Formeel-juridisch staat dat besluit echter nog steeds, en het is het besluit waaronder je persoonsgegevens naar de VS mag brengen. Dus tot het moment dat dat besluit wordt ingetrokken of ongeldig verklaard, blijft die grond van kracht.

De uitspraak heeft iedereen in beweging gebracht, maar vooralsnog geen actie. De samenwerkende AVG-toezichthouders (EDPB) hebben recent in plenaire zitting gekeken naar de uitspraak, binnen de Commissie wordt ook scherp gelezen en opties overwogen, Max Schrems stuurde een sommatie, enzovoorts. Maar dat is allemaal luchtfietserij totdat of een rechter of de Commissie zelf een formele uitspraak doet.

Alle juridische routes zullen maanden, zo niet jaren in beslag nemen. Het hoger beroep in de Latombe-zaak is waarschijnlijk de eerste kans. Schrems loopt zich warm voor een nieuwe rechtszaak, en hij zal niet de enige zijn, maar hij zal eerst bij de nationale rechter een uitspraak moeten krijgen die vragen stelt aan het Hof.

Het is dan wel weer zo dat zodra die uitspraak er is, het over en uit is voor het DPF als adequaatheidsgrond. En dan houdt het wel een beetje op met de US cloud. Mocht je denken, dan gebruiken we de Standard Contractual Clauses, besef dan dat je daarvoor eerst een transfer impact assessment (TIA) moet doen en daarin zélf moet uitzoeken hoe adequaat de VS is voor jouw voorgenomen overdracht van persoonsgegevens. Als er dan een arrest van het Hof ligt dat daar gehakt van maakt, dan is dat een onhaalbare kaart.

Nu per direct juridische actie om overdracht te stoppen gaat dus niet. Maar afglijden naar vernietiging van het DPF lijkt onafwendbaar.

Arnoud

Gemeenten lekken nog steeds persoonsgegevens van inwoners, zelfs bsn’s

Geplaatst op in Internetrecht, 5 reacties
Photo by Piotr ?askawski on Unsplash

Gemeenten publiceren nog steeds per ongeluk persoonsgegevens van burgers op internet, blijkt uit onderzoek van de NOS en Nieuwsuur. Men vond online honderden documenten met contactgegevens, maar ook diverse met nummers van identiteitsbewijzen en zelfs burgerservicenummers (bsn). Is dat erg, en hoe kon dat gebeuren.

De oorzaak is vrij simpel. Bij allerlei procedures (zoals vergunningsaanvragen of bezwaarprocedures) maakt de gemeente stukken openbaar, al is het maar zodat anderen ze kunnen lezen en op kunnen reageren. Daarbij horen zaken als contactgegevens en bsn verwijderd te worden, maar dat gebeurt niet altijd.

Mijn inschatting is dat hier eerder sprake is van slordigheid dan van een bewuste verkeerde inschatting. Ik lees dat er wel degelijk op wordt gelet:

In de periode [na invoering van de AVG] zijn veel gemeenten begonnen met het gebruik van software om persoonsgegevens automatisch ’te lakken’. Daarna vindt in de meeste gevallen nog een controle van een medewerker plaats, voordat de documenten worden geüpload naar gemeentelijke informatiesystemen, waarin raadsinformatie en andere gemeentelijke stukken openbaar worden gemaakt.
Een voor de hand liggende verklaring is dat de software de bsn’s mist, en de medewerker het ook niet direct als zodanig herkent. Men citeert softwareleveranciers die voorzichtig aangeven dat hier niet automatisch op gecheckt wordt.

Ik zie ook wel wat het probleem is. In standaardvelden herkennen dat iets een telefoonnummer is, dat lukt nog wel. Maar hoe herken je ergens een vrij opgeschreven nummer, zeker als dat met niet standaard notatie is gebeurd, of zelfs met pen handgeschreven?

Uiteindelijk is dit een processueel probleem. Hoe beter je informatie bij de intake, hoe beter je kunt screenen en tegenhouden wat ongewenst en onnodig is. Dat heeft tijd nodig.

Arnoud

 

Vragen stellen aan AI over je arbeidsverhouding kan je ontslagvergoeding omlaag halen

Geplaatst op in Ondernemingsvrijheid, 10 reacties
Photo by Emiliano Vittoriosi on Unsplash

Via ChatGPT zoeken hoe je een hoge ontslagvergoeding kunt krijgen en daarbij lasterlijke beweringen doen, behoort een werknemer niet te doen. Het kan zelfs je ontslagvergoeding omlaag halen. Dat maak ik op uit een recent vonnis uit Zeeland-West Brabant. Ik moet zeggen dat ik het raar vind.

Het tussenvonnis uit februari geeft de achtergrond uitgebreid weer. De werknemer was na een lange periode van gedoe op staande voet ontslagen, vanwege onder meer weigering van re-integratieverplichtingen, ongeoorloofde afwezigheid en misbruik van bedrijfsmiddelen en integriteitsinbreuk.

Die laatste is voor mij het interessantst, want dat ging over ChatGPT: de werknemer had aan Sjet gevraagd hoe hij een  lekker hoge ontslagvergoeding kon krijgen, inclusief “lasterlijke beweringen” over de werkgever. Ik citeer voor de beeldvorming:

“Hoeveel procent acht je dat ik zonder rechtszaak dit kan afhandelen en 40.000€ mee kan krijgen?” en “ Kan ik 50.000 eisen of is dit buiten proportie?” en “Als ik op 80.000 begin kan ik op 50.000 eindigen?”.
Dit noemt de rechter “informatie delen over de arbeidsverhouding” en dat is dan “in beperkte mate verwijtbaar”. Helaas ontbreekt het waarom, en dat doet voor mij raar aan.

De argumentatie past eerder bij “de werknemer heeft het aan een journalist verteld” of “hij zette alles op Facebook”. Ik denk dan, zit hier het klok-klepel verhaal van dat alles dat je in ChatGPT invoert, deel wordt van de trainingsdata? Oftewel, als je over zes maanden vraagt, “vertel me over [werkgever]” dat je dan de lasterlijke teksten als feiten krijgt?

Dat is jammer, want het is een factor die meeweegt in de beslissing om de werknemer géén billijke vergoeding toe te kennen. Ik vraag me af of er ook zo was geoordeeld als de werknemer in Google had gezocht naar “hoe veel ontslagvergoeding bij onterecht ontslag door malafide werkgever” of iets dergelijks.

Arnoud