Help, de Marktplaats kopersbescherming beschermt mij niet

Geplaatst op in Ondernemingsvrijheid, 14 reacties

Via Reddit:

Vlak voor kerst kocht ik via Marktplaats een mobiele telefoon en liet deze opsturen met DHL. Marktplaats laat je voor 5 euro extra ‘kopersbescherming’ aanschaffen; met deze bescherming betaal je wel direct maar het geld wordt pas aan de verkoper uitgekeert als alles in orde is. (…) DHL blijkt het pakketje kwijtgeraakt te zijn. (…) DHL geeft aan dat er pas een case geopend zal worden na 30 dagen, omdat binnen die termijn het pakketje nog boven water zou kunnen komen. Hier ontstaat probleem twee: dit is te lang voor Marktplaats, en dus wordt de betaling overgemaakt aan de verkoper. Ik sta nu dus met lege handen.
De kopersbescherming van Marktplaats is ingevoerd voor situaties waarin je wel betaalt maar het product niet direct ontvangt. Op zich mag Marktplaats daar natuurlijk voorwaarden aan verbinden.

De voorwaarden van deze dienst (geleverd via de dienst OPP, Online Payment Platform bv) komen erop neer dat het pakket binnen een week ontvangen zou moeten worden, en dat er dan betaald wordt tenzij de koper een klacht indient. Dat laatste staat in artikel 7:

Als de koper gebruik wil maken van de Kopersbescherming en van mening is dat hij of zij geen betaling verschuldigd is omdat er sprake is van een van de hierboven onder 1) beschreven situaties, meldt de koper dit binnen 7 dagen na de datum van de Betalingsbevestiging door het openen van een geschil bij OPP via de online omgeving van Marktplaats.nl of 2dehands.be.
Dat is hier dus het geval: de koper heeft het pakket niet ontvangen, en heeft tijdig een geschil geopend. Daarna zegt OPP dat men bewijs wil dat het kwijt is(?), kennelijk door een DHL case nummer te overleggen. En dat is dan weer problematisch omdat DHL dat nummer pas na 30 dagen aanmaakt.

De procedure uit de AV is ook anders dan hier wordt benoemd (art. 11):

Indien een geschil is geopend over een product dat niet binnen de 7 dagen is ontvangen, maar waar door de verkoper bewijs van juiste verzending is aangeleverd, dan wordt de betaling uitbetaald zodra de verzendpartij of de koper alsnog de ontvangst heeft bevestigd, tenzij door de koper is gemeld dat er sprake is van een Sterk Afwijkend Product.
Dit lijkt de situatie te zijn. OPP moet dus volgens haar eigen regels wachten tot hetzij de verzender heeft gemeld een DHL ontvangstbevestiging te hebben (je tekent bij DHL voor ontvangst) of de koper datzelfde doet. Als DHL dus een maand wil wachten, dan moet het geld ook een maand wachten.

Zoals wel vaker bij consumentenrecht: dit is de theorie, de praktijk is weerbarstig en het zou me dus niets verbazen dat de verkoper inderdaad zijn geld krijgt terwijl DHL nog wil afwachten of het pakket boven water komt.

Je rechten als consument ben je natuurlijk niet kwijt. Maar om hier je recht te halen (geld terug, in dit geval) zal je dan naar de rechter moeten. En het is natuurlijk de vraag of dat de prijs van het product waard is.

Arnoud

 

 

Wordt de GPL dan toch ineens een contract?

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 13 reacties

Een interessante ontwikkeling: de rechter in Californië heeft de deur open gezet voor een behandeling van een GPL-schending als een contractuele kwestie, in plaats van de traditionele benadering van auteursrechtinbreuk. Dat las ik bij de blog van opensourcejurist Luis Villa. Het is een voorlopig oordeel maar principieel zie ik er geen problemen mee.

In 2022 spande de Software Freedom Conservancy (SFC) een rechtszaak aan tegen elektronicabedrijf Vizio vanwege de aanwezigheid van het Linux OS in hun apparaten. Punt daarbij is dat de SFC niet de auteursrechthebbende is op Linux, zodat ze op grond van dat recht niet kunnen procederen. De rechter stuurde ze desondanks niet weg – de interpretatie van de GPL als een overeenkomst tussen distributeur en ontvanger (SFC had een apparaat van Vizio gekocht met Linux erop) was niet principieel onjuist.

Vizio had direct beroep aangetekend tegen deze beslissing, want voor hen zou het natuurlijk buitengewoon nadelig zijn als iedere koper van zo’n apparaat een rechtszaak kan starten. In de traditionele visie heb je alleen gebakkelei met de rechthebbende, en van de Linux-kernelmensen is bijvoorbeeld bekend dat die eigenlijk niet procederen (Harald Welte daargelaten).

Probleem voor het standpunt van de SFC was dat de GPL in principe een contract is tussen rechthebbende en distributeur. Het is immers een toestemming om dingen te doen die van het auteursrecht mogen, gekoppeld aan contractuele verplichtingen zoals een beperkte aansprakelijkheid en de plicht uitbreidingen op de code alleen onder GPL te verspreiden. De SFC is een ontvanger, dus geen partij bij dat contract.

Zowel het Amerikaans als het Nederlands recht kent de constructie van de derde-begunstigde. Iemand die geen partij is maar wel een duidelijk belang heeft bij een afspraak uit het contract, kan zich beroepen op die afspraak. Een bekend voorbeeld is de levensverzekering, waarbij de verzekerde het contract sluit met de maatschappij maar een ander (de nabestaande) recht heeft op de uitkering.

De beroepsrechter in Californië (Superior Court) beslist nu dat SFC in principe te zien is als een derde-begunstigde naar Californisch recht.

Quoting an earlier California case, the court said that the third party must show three things:
  1. the third party would in fact benefit from the contract;
  2. a motivating purpose of the contracting parties was to provide a benefit to the third party; and
  3. permitting the third party to enforce the contract is consistent with the objectives of the contract and the reasonable expectations of the contracting parties.
De eerste twee zaken stonden niet ter discussie – dit volgt ook vrij letterlijk uit tekst en strekking van de GPL. De vraag was vooral of het de bedoeling van de GPL is dat ontvangers van GPL software gaan procederen over niet-nakoming.

De GPL verwijst op een aantal punten direct naar die derden, ik citeer wederom Villa:

To divine the objective of the contract, the court used the sophisticated technique of “read it.” And so we end up with the judge quoting the GPL directly, including “you must give the recipients all the rights that you have” and that distributors must provide “a written offer … to give any third party … a complete machine-readable copy of the corresponding source code”.

Not surprisingly, in an argument about third party benefits, the court found that last point particularly persuasive, since it spells out the benefits that must be provided to “any third party.”

Als de GPL zo duidelijk de rechten van ontvangers vastlegt, dan is het niet meer dan normaal dat die ontvangers die rechten ook moeten kunnen uitoefenen. En daarbij haalt de rechter expliciet dat argument aan van rechthebbenden die in hun eentje niet alles kunnen aanpakken bij de rechter.

Het laatste woord is er nog niet over gezegd, want deze uitspraak betekent alleen maar dat de SFC niet evident ongelijk heeft. De jury mag zich er nu inhoudelijk mee gaan bemoeien, en dat zal nog even duren. Maar belangwekkend is het.

Arnoud

Heb ik recht op mijn eigen data uit mijn zonnepanelen?

Geplaatst op in Ondernemingsvrijheid, Regulering, 12 reacties
brown and white concrete house
Photo by Giorgio Trovato on Unsplash

Een lezer vroeg me:

Sinds kort heb ik zonnepanelen op mijn dak. Dit systeem genereert data per paneel en deze data wordt (jammer genoeg) geupload naar de clouddienst van leverancier Enphase. De API om daar zelf bij te kunnen is onlangs opgeheven, maar hoe zit dat juridisch?
De discussie achter die laatste link citeert het fundamentele argument: het is “MIJN” data, want hij komt uit mijn apparaten dus ik wil deze gewoon hebben. En ja, dan zeg ik altijd “data is niets” oftewel je hebt pech, maar dat is anno 2024 een klein beetje achterhaald.

Op 11 januari jl. is de Gegevenswet oftewel Data Act van kracht geworden. Deze verordening bevat expliciete regels over toegang tot data, met name ingegeven door de vraag om consumentenproducten (internet of things) uit te kunnen lezen. De kern is artikel 3:

Connected products shall be designed and manufactured, and related services shall be designed and provided, in such a manner that product data and related service data, including the relevant metadata necessary to interpret and use those data, are, by default, easily, securely, free of charge, in a comprehensive, structured, commonly used and machine-readable format, and, where relevant and technically feasible, directly accessible to the user.
In gewoon Nederlands: je moet bij alle geproduceerde data kunnen en wel op een manier dat je er ook wat mee kunt doen. Bij aanschaf moet je vooraf kunnen achterhalen welke data en hoe, en welk volume je mag verwachten.

Dan heb je grapjassen die je snel een NDA opleggen want die data is zeer vertrouwelijk bedrijfsgeheim. Dat mag niet, zie artikel 5 waarin staat dat je die data aan een ander moet kunnen geven om er daar wat mee te doen:

Upon request by a user, or by a party acting on behalf of a user, the data holder shall make available readily available data, as well as the relevant metadata necessary to interpret and use those data, to a third party without undue delay, of the same quality as is available to the data holder, easily, securely, free of charge to the user, in a comprehensive, structured, commonly used and machine-readable format and, where relevant and technically feasible, continuously and in real-time.
Beoogde use case is dat je zo jouw data in andermans app kunt gieten, zoals bij een dashboard van al je connected devices. Als data écht bedrijfsgeheim is, dan moeten de datahouder en de beoogde ontvanger (de app-exploitant, in het voorbeeld) afspraken maken over geheimhouding.

Hiermee is de situatie van de vraagsteller dus wezenlijk veranderd. Op grond van de Data Act kan zhij dus toegang tot die data eisen en wel zonder bijkomende kosten (“free of charge”, immers) en die vervolgens naar een eigen gegevensverwerkingstool gieten.

Men moet alleen nog wel even wachten: pas op 11 September 2025 (art. 50, 20 maanden na 11 januari) zullen alle bepalingen van kracht worden. Pas vanaf dat moment kan men juridisch afdwingen dat deze regels worden gevolgd, en kunnen toezichthouders boetes opleggen.

Arnoud

Koninklijke Bibliotheek beperkt toegang tot collecties voor trainen commerciële AI

Geplaatst op in Innovatie, Intellectuele rechten, 31 reacties
digitization, transformation, earth
Photo by geralt on Pixabay

De KB (nationale bibliotheek) wil niet dat commerciële bedrijven zonder toestemming digitale bronnen gebruiken voor het trainen van AI en heeft daarom de toegang tot collecties beperkt. Dat las ik bij Security.nl. In een verklaring verwijst men naar de “wijze waarop veel commerciële AI-modellen nu getraind worden – door zonder toestemming websites te crawlen”, die niet in het algemeen belang zou zijn.

De KB heeft een van de grootste Nederlandstalige collecties online staan, wat haar een dankbare bron maakt voor partijen die taalmodellen willen trainen. Hoe meer data hoe beter je uitvoerkwaliteit immers. Auteursrechthebbenden hebben hier moeite mee, want waarom moet daar niet voor worden betaald?

De Europese wetgever heeft een paar jaar terug een soort-van compromis in de wet opgenomen: gebruik van werk voor “text and data mining” (TDM) is wettelijk toegestaan (dus zonder vergoeding) tenzij een site een opt-out vermeldt. Die opt-out moet machineleesbaar zijn, omdat het anders geen doen is voor TDM dataverzamelaars.

Hoewel dit principieel en technisch onjuist is, is de trend om in robots.txt die opt-out te gaan coderen. Robots.txt is bedoeld om zoekmachinecrawlers buiten plekken te houden waar ze schade kunnen berokkenen of waar liever-niet content staat zoals stylesheets of grote bestanden die toch niet relevant zijn.

Het grote probleem is dat je met robots.txt kunt kiezen om álle robots ergens weg te houden, of alleen de genoemde robots. Je zou dus die van OpenAI kunnen blokkeren, maar dan heb je die van Bing nog niet. Blokkeer je Bing erbij, dan is er kennelijk geen bezwaar tegen mijn EngelfrietGPT-bot. En álles blokkeren betekent dat ook de zoekspider van Google er niet meer bij mag.

Er zijn ook uitgevers zoals The Guardian die in het commentaar van de robots.txt gebruik voor LLM verbieden. Dat is per definitie geen machineleesbare opt-out, want commentaar behoort een spider niet te lezen. Dat is dus zo’n geval “we moeten iets doen en dit is iets, dus laten we het doen”. Maar het komt mét Engelse advocaat die je heel welbespraakt gaat uitleggen waarom je toch echt onrechtmatig en zelfs strafbaar handelt door het te negeren.

De KB volgt desondanks deze trend door in de robots.txt van digitale collecties DBNL en Delpher de OpenAI bots (GPTBot en ChatGPT-User) toegang te ontzeggen. Dit is dus het probleem: de bot van Bing is niet uitgesloten, noch die van bijvoorbeeld Common Crawl om het over EngelfrietGPT maar niet te hebben.

En ja, in de gebruiksvoorwaarden staat ook een expliciet voorbehoud:

Voor commerciële partijen is het verboden om kopieën van auteursrechtelijk beschermde werken op onze website te maken ten behoeve van tekst- en datamining (TDM) waaronder training van AI-modellen. Dit verbod vormt een voorbehoud als bedoeld in artikel 15o Auteurswet en artikel 4(3) CDSM-richtlijn.
Dit is dus alleen niet rechtsgeldig als verbod, omdat het niet machineleesbaar is.

Natuurlijk, in de praktijk zal het vooral gaan om hoe strak men de toegang afschermt voor commerciële bots. Maar ik kan me dood ergeren aan dit soort maatregelen die gewoon principieel niet kloppen.

Arnoud

IT’er die klant met gestolen data afperste moet ex-werkgever 65.000 euro betalen

Geplaatst op in Internetrecht, Ondernemingsvrijheid, Security, 4 reacties
data, security, keyboard
Photo by TheDigitalWay, Pixabay

Een IT’er die bij een klant van zijn werkgever medische gegevens stal, en daarmee de klant vervolgens probeerde af te persen, moet zijn inmiddels ex-werkgever 65.000 euro betalen. Dat las ik bij Security.nl.

Uit het vonnis valt te halen dat dat de IT’er verantwoordelijk was voor het afpersen van een grote klant met gestolen medische gegevens. Dat leidde tot een strafrechtelijk traject, en deze civiele procedure sloot daar weer op aan. Dat is namelijk een handigheidje uit het procesrecht: als er een definitief strafvonnis is, dan is dat dwingend bewijs in een latere procedure.

Hier was de strafzaak nog niet definitief: de IT’er kon nog in hoger beroep. Daarom mag de rechter het vonnis niet als dwingend bewijs accepteren, maar vanuit de regel van vrije bewijslast er wel naar kijken. Dit kwam erop neer dat de rechter er van uitgaat dat het vonnis juist is, totdat de IT’er met tegenbewijs komt.

Het begint nog rechttoe rechtaan genoeg:

In het strafvonnis is overwogen dat na onderzoek is gebleken dat op 27 maart 2021 een dataoverdracht heeft plaatsgevonden van de server van [eiseres] via een IP-adres dat door [gedaagde] gebruikt bleek te zijn. Verder is overwogen dat die gegevens beveiligd waren met een certificaat waarover [gedaagde] beschikte. Dit heeft geleid tot nader onderzoek naar [gedaagde] , onder meer door een huiszoeking in zijn woning op 22 april 2021. Bij die gelegenheid is in zijn woning een USB-stick aangetroffen met daarop datasets die omstreeks het tijdstip van de download op een telefoon (Microsoft Lumia) van [gedaagde] zijn beland. Op die USB-stick stonden ook het voor toegang tot de server van [eiseres] benodigde certificaat en bijbehorende wachtwoord. Dit alles is in dit geding niet door [gedaagde] bestreden.
De ex-werknemer kwam echter met de verklaring dat derden op zijn thuisnetwerk hadden ingebroken omdat hij een gemakkelijk te raden wachtwoord had. Daar gelooft de rechter niets van, en om weer eens te laten zien dat rechters écht wel verstand van IT hebben citeer ik gewoon het vonnis:
[Verdachte geeft] geen enkele verklaring voor het feit dat het bestand, het certificaat en het bijbehorende wachtwoord op een usb stick terecht zijn gekomen (en tegelijk ook op zijn Microsoft Lumia telefoon), die in zijn woning lag. Een usb stick pleegt immers niet verbonden te zijn met een netwerk. Bovendien vraagt het veel meer toelichting dan geboden als [gedaagde] heeft willen betogen dat op het toevallige moment dat de usb stick met computer of telefoon verbonden was de download (zonder dat hij daar erg in had) plaatsvond én naar zijn telefoon én naar de usb stick.
En nog even los van het technische: de kantonrechter “probeert zich een voorstelling te maken” van waarom zo’n derde dit zou doen, want wat schiet die ermee op? Die doet dan een ingewikkelde inbraak van buitenaf, maar heeft de data dan op gegevensdragers waar die vervolgens niet bij kan. En waarom dan deze meneer de gegevens in de digitale schoenen schuiven?

Alles bij elkaar gelooft de rechter er dus niets van, en de technische bewijsvoering is overtuigend genoeg dat het feit vanaf de apparatuur van de IT-er is gepleegd. Maar is dat genoeg om hem tot schadevergoeding te dwingen? In het arbeidsrecht is dat geen eenvoudige vraag want werknemers zijn vrij stevig beschermd, zelfs bij handelen dat riekt naar opzettelijk de fout in gaan.

In dit geval was de complicatie dat die grote klant zo te lezen de werkgever aansprakelijk had gesteld voor de schade. Dat wil je als werkgever dan verhalen (regres nemen), maar dat vereist bij de werknemer opzet of bewuste roekeloosheid (art. 7:661 BW). En let op: het moet dan gaan om opzet op het willen aanrichten van de schade, niet enkel maar opzet op het verrichten van de handeling.

De rechter vindt dat hier aan opzet is voldaan – downloaden en afpersen is iets dat je alleen doet als je dat ook echt van plan was. Dan wil je schade veroorzaken. Daarom moet de IT-er alle schade vergoeden, wat oploopt tot een bedrag van € 64.795,28.

Arnoud

Heb je auteursrecht op iets dat je met behulp van AI schrijft?

Geplaatst op in Informatiemaatschappij, 5 reacties

robot playing piano

Een film die geheel met generatieve kunstmatige intelligentie (AI) was geproduceerd, kreeg in Korea voor het eerst auteursrechtelijke erkenning als ‘bewerkt werk’. Dat las ik bij de (Koreaanstalige) AI Times. Het is wereldwijd het tweede geval waarin een dergelijk werk wél voor auteursrecht in aanmerking kwam – de trend in het Westen is juist de andere kant op.

De film kwam vrijwel geheel via AI tools tot stand:

Bij de productie werd een aantal AI-programma’s gebruikt. Na het maken van scenario’s met grote taalmodellen (LLM) zoals ‘GPT-4’, ‘ClovaX’ en ‘GPT-3.5’, werden afbeeldingen gemaakt met behulp van ‘Midjourny’ en ‘Stable Diffusion’. Video’s zijn gemaakt met behulp van AI voor videocreatie, zoals ‘Zen 2’ en ‘D-ID’, en zelfs de stemmen van de personages zijn gemaakt met behulp van ‘Clova Dubbing’. Uiteindelijk is de muziek gemaakt met behulp van ‘Soundrow’.
Enigszins kort door de bocht kun je dus zeggen dat alles door AI is gegenereerd met alleen een aantal handige prompts van de regisseur. Dat was eerder bij de US Copyright Office niet genoeg, zo blijkt uit een beslissing uit december:
The Office stated that despite Sahni’s claim that the work includes some human creative input, the work is not registrable, as “this human authorship cannot be distinguished or separated from the final work produced by the computer program.”
In deze Amerikaanse visie gaat het erom wie de “traditional elements of authorship” heeft geïntroduceerd. Dat zijn zaken als wie de literaire of artistieke keuzes maakte, of bij beeld zaken als de belichtingstijd, hoek, compositie en dergelijke. In het werk van Sahni waren die elementen wel aanwezig maar kon niet worden gezegd of de mens dan wel de computer deze had geïntroduceerd.

De Koreaanse insteek lijkt hier sterk op, aldus het AI Times artikel:

Als elementen van het traditionele auteursrecht worden geïmplementeerd door kunstmatige intelligentietechnologie, wordt het auteursrecht niet erkend, maar hoewel mensen het kunstmatige intelligentieproduct hebben gewijzigd wat betreft selectie, rangschikking, enz., wordt het auteursrecht erkend als in beperkte mate.
Dit is voor mij eigenlijk hetzelfde argument, alleen dan andersom geformuleerd. Als je de menselijke bewerking van de AI-uitvoer kunt aanwijzen, en die bewerking brengt op zichzelf ook elementen van auteurschap in, dan heb je daar auteursrecht op. Is jouw bewerking en die van de AI niet te onderscheiden, dan kun je dus niet zeggen wie de maker was.

In Nederland bestaat deze constructie ook. Denk aan het creatief oppoetsen van een publiek-domeinwerk: dat geeft je ook auteursrecht op het opgepoetste resultaat (maar natuurlijk niet op het bronmateriaal). Ik zie geen reden waarom dit anders zou moeten werken als je een AI-werk ‘oppoetst’.

We komen dan terug bij de discussie over de invloed van de prompt waarmee het werk wordt gemaakt. Deze initieert het proces van genereren, maar met de mate van invloed op het creatieve gebeuren kun je veel kanten op. Ook bij een uitgebreide prompt die veel input geeft kun je nog fors verschillende resultaten krijgen, nog los van diensten als Midjourney die bij één prompt hoe dan ook meerdere resultaten genereren.

Dat laatste speelde begin 2023 toen werk van Kris Kashtanova werd afgekeurd voor (Amerikaans) auteursrecht met het argument dat Midjourney altijd meerdere beelden genereert en dus eigen creativiteit inbrengt bovenop de prompt. En omdat dergelijke creativiteit niet menselijk is, komt het werk niet voor auteursrecht in aanmerking.

De eigen creativiteit van Kashtanova zat enerzijds in de formulering van de prompt en anderzijds in de keuze van welke van de gegenereerde beelden moest worden gebruikt. Die laatste keuze is te weinig, en bij de formulering van de prompt zit het probleem dat je die niet echt terugziet in het werk zelf. En bij alle creatieve inbreng is nu eenmaal vereist dat je die in het werk zelf herkent.

Arnoud

 

 

Experts zien door AI gegenereerde desinformatie als grootste risico van 2024

Geplaatst op in Uitingsvrijheid, nog geen reacties

De verspreiding van desinformatie door middel van kunstmatige intelligentie is het grootste risico van dit moment, zo blijkt onderzoek van het World Economic Forum (WEF). Dat meldde Nu.nl vorige week. Het WEF bevroeg 1.400 risico-experts, en deze uitkomst gaf met name zorgen over desinformatie bij verkiezingen.

Hoewel generatieve AI systemen steeds beter worden, blijft de zorg over fouten en valse informatie aanwezig. Het grote probleem daarbij is voor mij dat men maar blijft denken dat zulke systemen bezig zijn met feitelijke reproductie en daar mooie verhalen omheen halen. Dat is niet zo: ze produceren mooi klinkende teksten, en als dat toevallig waar blijkt te zijn dan is dat leuk maar niet meer dan dat.

Ik zie het dan ook als best wel zorgelijk dat er zo veel tekst wordt gegenereerd die klakkeloos doorgezet wordt. Of het nou gaat om makkelijk gemaakte marketingcopy of klantenservice-chats, we raken zo snel gewend aan hoe AI’s praten en dat daar af en toe fouten in kunnen zitten. Dat lijkt me de wereld op zijn kop.

De AI Act – waar ik nou écht een finale tekst van zou willen lezen, maar ik moet nog een weekje geduld hebben – gaat transparantie vereisen bij alle AI systemen. Een generatief AI systeem moet dus duidelijk aangeven dát men fouten in de uitvoer kan aantreffen. En het lijkt er zelfs op dat het systeem de uitvoer moet watermerken, al heb ik daar nog geen concrete wetstekst van gezien.

Bij meer risicovolle toepassingen zal er meer gedaan moeten worden. Het zomaar laten genereren van politiek getinte teksten of afbeeldingen van prominente figuren in allerlei situaties lijkt me nou een typisch probleem dat je snel aan banden moet leggen als dienstverlener. Dat moet dan van de AI Act, maar óók van de DSA, die immers eist dat je als grote marktpartij systeemrisico’s onderzoekt en beheert. Helaas is dat zo’n breed geformuleerde opdracht dat daar niet binnen een paar maanden een oplossing voor is.

Arnoud

Wat moet ik als werkgever met de mailbox van een overleden werknemer?

Geplaatst op in Ondernemingsvrijheid, 6 reacties
Pexels / Pixabay

Een lezer vroeg me:

Hoe moet ik als werkgever bij een klein bedrijf omgaan met een mailbox van een overleden medewerker? Er is zo te zien niets geregeld bij overlijden. Bestaan er voorbeeldprotocollen voor werkgevers over dit onderwerp?
Nee, dergelijke protocollen zijn er niet of nauwelijks. Gewoonlijk gebruik je de “uit dienst” protocollen omdat het op hetzelfde neerkomt. Je moet erbij vanwege werkredenen, en je houdt als goed werkgever rekening met de persoonlijke levenssfeer van de ex-werknemer. Of in dit geval met de legitieme gevoelens van de nabestaanden en de achtergebleven collega’s.

De AVG geldt natuurlijk niet bij overledenen. Maar privacy en persoonlijke levenssfeer is meer dan de AVG. En goed werkgeverschap is een aparte norm los van die twee: je moet eerlijk, netjes en redelijk handelen in alles dat je doet als werkgever. Mensen verwachten dat je zorgvuldig omgaat met zo’n mailbox of set bestanden, dus dat moet je dan doen.

Een aanvullend punt is dat nabestaanden soms vragen om kopieën van privéberichten uit die mailbox (of chatlogs, of bestanden). Algemeen is er geen plicht om privemails aan ex-werknemers te geven, ook niet aan nabestaanden. Deze mails zijn geen zaken die eigendom werknemer zijn.

We hebben een precedent uit 2021 waarbij Microsoft nabestaanden toegang moest geven tot de mailbox van een overledene. Maar dat ging om een privéaccount waar de erfgenamen juridisch ‘eigenaar’ (eigenlijk opvolgende contractspartij) van waren geworden.

Dat is onvergelijkbaar met de situatie van een overleden werknemer: het mailboxaccount wordt niet krachtens een dienstverleningscontract aan de werknemer beschikbaar gesteld maar is een gereedschap waar de werknemer mee moest werken.

Je kunt ook hier hooguit weer met goed werkgeverschap oordelen dat je mails eventueel in kopie meegeeft, maar dat is dan hetzelfde soort argument als dat je een bepaald schilderij uit de kantoorruimte meegeeft omdat de overledene daar zo aan gehecht was. Het kan, het is prima en netjes, maar het is géén juridisch recht.

Arnoud

Mag de rechter weigeren een stiekeme geluidsopname te beluisteren?

Geplaatst op in Privacy, Uitingsvrijheid, 37 reacties

“De rechtbank heeft besloten de geluidsopnamen niet te beluisteren. Zij legt dat hierna uit.” Dat las ik bij kennisplatform Salaris Van Morgen. Het betrof een zaak tussen een burger en het UWV, waarbij de burger met die (stiekeme) opnamen bewijs wilde leveren van een toezegging. Dat mag, maar toch wil de rechter er niet naar luisteren. Wat zit hier achter?

In deze zaak draaide het om al dan niet gegeven toestemming van het UWV om een zesjarige opleiding te mogen volgen (Bachelor Psychologie aan de Open Universiteit) met behoud van uitkering. Dat is niet gebruikelijk, maar in dit geval stelde de burger dat wel degelijk telefonisch toestemming was verleend.

De man voert aan dat aan hem op 13 juli 2022 telefonisch een toezegging is gedaan dat hij de door hem gewenste opleiding Psychologie mag gaan volgen, als zijn werkgever ook akkoord gaat. Volgens de man heeft hij in dat gesprek zijn situatie nauwkeurig besproken. Hij heeft schriftelijk en op de zitting daarover de volgende uitleg gegeven. De man heeft diverse keren telefonisch contact met UWV gehad. Het belangrijkste contact was het gesprek op 13 juli 2022 met een UWV-medewerkster.
Na dit gesprek van 25 minuten had de man een vaststellingsovereenkomst getekend met zijn werkgever, waarin die laatste toestemming gaf voor het volgen van de opleiding. Daarmee was aan de voorwaarden voldaan. Alleen gaf het UWV niet thuis, want in hun gespreksnotitie stond:
Vraag Kan ik vrijstelling krijgen van de sollicitatieplicht?

Antwoord: U kunt (gedeeltelijk) vrijstelling van de sollicitatieplicht krijgen als:

  • U gaat werken via een proefplaatsing. Vraag de vrijstelling aan met het formulier Aanvraag toestemming proefplaatsing tijdens WW;
  • U mantelzorg doet. Vraag de vrijstelling aan met het formulier Aanvraag vrijstelling sollicitatieplicht bij mantelzorg.
  • U gaat weer werken en u verdient met dit werk minder dan 87,5 % van uw WW-maandloon.
Dat leest als een standaardverhaal en niet als een gespreksaantekening inderdaad, en dat vond de rechter ook. De man had daar een uitgebreid relaas tegenover gesteld dat de medewerker aan de telefoon had aangegeven dat het wel mocht, inclusief die constructie van als de huidige werkgever het wél goed vindt. In die situatie is het aannemelijk genoeg dat dit is toegezegd, omdat er vanuit het UWV niet meer komt dan zo’n standaardverhaal.

Om zijn verhaal kracht bij te zetten, had de man dus opnames van dat crucial gesprek van 25 minuten. De rechter wilde daar niet naar luisteren, met name niet omdat het UWV als uitgangspunt voor burgercontact hanteert dat de burger vooraf duidelijk kenbaar maakt dat er een dergelijke opname zal worden gemaakt. “Dat stelt UWV in staat zelf ook een tegenopname te maken.” En die begrijp ik wel – het zal menigmaal gebeurd zijn dat iemand een gemanipuleerde opname overlegt.

Natuurlijk zijn er uitzonderingen zoals klokkenluiden of bewijsnood, maar daar was hier geen sprake van. En dan vindt de rechter – hoewel het dus legaal is om zo’n stiekeme opname te maken – het niet nodig om naar de opname te luisteren.

We hebben het vaker gehad over stiekeme opnames en hun bewijskracht, zoals in februari nog:

In strafrechtelijke zin heeft [verweerder] dus niks verkeerd gedaan. Dit betekent echter nog niet dat het gedrag van [verweerder] in de verhouding tussen werkgever en werknemer niet kan leiden tot een verstoring van die relatie. … Naar het oordeel van de kantonrechter heeft [verweerder] het opnemen van de gesprekken ingezet als dreigmiddel jegens zijn werkgever. Hij heeft hiermee [werkgever] laten weten dat hij haar al langere tijd niet vertrouwt en dat hij verwachtte op enig moment in een rechtszaak met haar te zullen belanden.
Mijn advies is en blijft dan ook dat je wel opnames mag (of moet) maken als er veel van een gesprek afhangt, maar dat je die opnames dan geheim houdt tenzij je écht niet anders kan. Je kunt ze terugluisteren als geheugensteuntje, en daarna zeg je in de vervolgdiscussie “op 6 januari is gezegd dat X en Y”, zo letterlijk mogelijk maar zónder te benoemen dat je dat opgenomen hebt – want dat zet de boel nodeloos op scherp.

Erkent men dat dit is gezegd, dan is de opname overbodig en kun je het gaan hebben over wat daarmee werd bedoeld. Die discussie verandert niet met of zonder opname immers. Als men ontkent dat het zo is gezegd, dan kun je daarop doorvragen en bijvoorbeeld een stuk gesprek er voor en er na oplepelen (“volgens mij aantekeningen zei ik A en B, en daarna zei uw collega X en Y”), om dan te vragen in hoeverre dat klopt.

Pas als men bij herhaling en keihard ontkent dat A-B-X-Y is gezegd, dán kun je aangeven dat je nu in bewijsnood gaat komen omdat er veel voor jou van afhangt dat dit gezegd is. En dan kun je de opname inbrengen in de rechtszaak, al laat je je advocaat beslissen over wanneer dat precies gebeurt.

In de onderhandelingen al roepen dat je een opname hebt, ook na die keiharde ontkenning, heeft geen enkele zin: de wederpartij zal echt niet ineens omslaan en als je niet uitkijkt gaat de discussie ineens over jouw strafrechtelijk handelen of overtreding van de AVG, in plaats van het eigenlijke onderwerp.

Houd het dus bij “sorry, dit is echt en letterlijk zo gezegd dat weet ik zeker” en als het dan bij de rechter met een opname bewezen moet worden, dan komt de discussie over bewijsnood.

Arnoud

 

Vooruit, nog één keer over de privetelefoon en werkapps

Geplaatst op in Ondernemingsvrijheid, Privacy, Security, 24 reacties

Een lezer vroeg me:

Mijn werkgever eist dat ik een app op mijn privételefoon installeer. Ik maak me zorgen over misbruik van mijn persoonsgegevens door de app-leverancier. Er staat op de site van de app niets over privacy, en de werkgever reageerde verbaasd dat ik hiernaar vroeg. Welke AVG argumenten kan ik gebruiken om mijn zorgen kracht bij te zetten?
We hebben het natuurlijk al vaker gehad over zakelijke apps op de eigen telefoon. In 2018 bijvoorbeeld over een tweefactorauthenticatieapp en in 2019 zelfs een geval waarbij de werknemer ook maar snel een telefoon moest kopen(!) zodat daar een werkapp op gezet kon worden.

De strekking van het antwoord is steeds hetzelfde: de werkgever moet zorgen voor de spullen waarmee het werk wordt uitgevoerd. Als er dus apps nodig zijn voor werkzaken, dan moet de werkgever een apparaat geven waar die app op gebruikt kan worden. Of dat nou gaat om tijdschrijven, authenticatie, e-mail of wat anders is niet relevant.

De enige echte uitzondering is je loonstrookje. Als de werkgever die via een digitale omgeving beschikbaar stelt, dan heb je twee keuzes: of je installeert de app, of je meldt dat je je loonstrookje op papier wilt hebben. Dat laatste is je wettelijk recht, maar er is géén recht om een specifiek digitaal kanaal aan te wijzen zoals een pdf per mail.

Er is nog een soort-van uitzondering: als het normaal is dat een werknemer zelf voor die spullen zorgt, dan heeft de werknemer daar ook nu voor te zorgen. Het clichévoorbeeld is de professioneel kok die eigen messen meeneemt omdat die op zijn handen zijn afgestemd. Dit haakt in op “goed werknemerschap”: je moet redelijk en constructief zijn naar je werkgever toe. En als een app geen problemen of risico’s geeft (bv. een 2FA authenticator), dan is het best onredelijk om dan ‘nee’ te zeggen.

Als de werkgever een app aanwijst voor het werk, dan is de werkgever natuurlijk wel aansprakelijk voor wat die app doet. Dat raakt dus aan de AVG maar ook aan andere wetten, zoals in 2021 behandeld. Dit betekent dat hij onder de AVG de benodigde informatie moet verstrekken over wat de app verzamelt en doet op het gebied van persoonsgegevens. Dat mag in eerste instantie op het niveau van “hier is de privacyverklaring van de app-leverancier” maar hij mag niet verwijzen naar de helpdesk en je het zelf laten uitzoeken. (Voor de fijnproevers: het maakt daarbij niet uit of de app-leverancier kwalificeert als verwerker of verwerkingsverantwoordelijke.)

Als de app-leverancier in het geheel niets meldt over privacy, dan zou ik ernstig de wenkbrauwen optrekken. Het is haast ondenkbaar dat een app anno 2024 niets verzamelt, dus hier klopt iets niet. Dus daar drukt de zorgplicht van de werkgever extra zwaar.

Arnoud