Brussel onderzoekt of advertenties voor client-side scanning in strijd met DSA zijn

Geplaatst op in Regulering, Uitingsvrijheid, 8 reacties

De Europese Commissie onderzoekt of een eigen politieke microtargeting advertentiecampagne op X, die steun voor het omstreden client-side scanning zocht, in strijd met de Digital Services Act (DSA) is. Dat meldde Security.nl onlangs.

Enige tijd terug tech-expert Danny Meki? dat de Europese Commissie op X een advertentiecampagne heeft gevoerd waarbij het via microtargetting zich richtte op mensen in Nederland, Zweden, België, Finland, Slovenië, Portugal en Tsjechië die wel eens tegen het voorstel zouden kunnen zijn. Deze kregen dan zeer gerichte tegenargumenten.

De ontdekking openbaar maken leverde Meki? – net als professor Armand Girbes – een shadowban op bij X: beperkt vindbaar gemaakt, zonder enige motivatie. Dat dát een DSA overtreding is, lijkt me duidelijk. Maar hoe zit dat met dat profileren zelf.

De DSA is gericht op reguleren en transparantie, maar verbiedt an sich niet zo heel veel dingen. Ook bij advertenties (artikel 26) wordt er met name gevraagd om dingen aan te geven:

  1. Duidelijk markeren dat iets een advertentie is;
  2. Van wie deze afkomstig is (en wie er voor betaalde, indien niet dezelfde entiteit);
  3. “Rechtstreeks en gemakkelijk toegankelijke nuttige informatie over de belangrijkste parameters die worden gebruikt om te bepalen aan welke afnemer de reclame wordt getoond en in voorkomend geval over de wijze waarop die parameters kunnen worden veranderd.”
(Over dat laatste blogde ik laatst.) Dit is gericht op transparantie, weten waarom je bepaalde advertenties krijgt. Maar als die informatie inhoudt “we hebben een profiel samengesteld dat bij jou en nog 10 mensen in de EU paste” dan is daar verder niets mis mee.

Een direct verbod zie ik verder niet. Van de zeer grote platforms zou je wellicht nog kunnen zeggen dat zij microtargeting moeten zien als een systemisch risico, en daar dan maatregelen tegen moeten nemen, maar dat is bepaald indirect.

Al sinds 2021 ligt er een voorstel voor een Verordening over transparantie bij politieke reclame. Van de zomer is dit stil komen te vallen, de redenen zijn onduidelijk. Maar de bedoeling hiervan is om targeting op basis van persoonsgegevens expliciet te verbieden (art. 12).

De verwijzing naar persoonsgegevens suggereert dat de AVG er ook wat van zou moeten vinden, maar een hard verbod ga je niet vinden in deze wet. Je kunt natuurlijk zaken aandragen als profileren, maar dat geldt bij álle advertenties en wordt niet anders omdat jij vrij specifiek eruit gepikt wordt.

Het enige echte argument uit de AVG betreft je politieke voorkeur: als de (micro)targeting gericht is op politieke tegenstanders, dan worden bijzondere persoonsgegevens verwerkt en dat is simpelweg verboden voor zo’n doel.

Arnoud

Kun je als werknemer tekenen voor doorzoeken van je privéapparatuur?

Geplaatst op in Ondernemingsvrijheid, Privacy, 32 reacties

Via Reddit deze intrigerende vraag:

Recently, my employer (a private company in the tech industry) has updated their “security policy” which all employees are required to sign. In the new policy, it states that in the case of an HR investigation or suspected breach of company policies, employees consent that the company may “conduct a forensic investigation, including of personal devices, when necessary”.
Waarbij de vraag natuurlijk is “mag dat”. Het gaat hier wel heel erg ver met dat “ook persoonlijke apparatuur”, maar het komt zeker vaker voor dat je moet tekenen voor zo’n doorzoekbevoegdheid.

Om maar met dat tekenen te beginnen, het voegt buitengewoon weinig toe om werknemers een handtekening te laten zetten onder welk bedrijfsbeleid dan ook. Hooguit kun je daarmee bewijzen dat de werknemer het gezien heeft, al weet ik weinig situaties waarin dat écht van belang is.

Uit handtekeningen wordt vaak een akkoord afgeleid, en dat gaat hem hier zeker niet worden. Die handtekening is niet vrijelijk gezet, men is immers letterlijk verplicht om te tekenen. Juridisch gezien ontbreekt dan de wil op het aangaan van een overeenkomst, het geven van toestemming of wat de werkgever maar hoopte te bereiken. En dan is het ding juridisch niet bindend.

Zou je het eenzijdig kunnen opleggen? Die handtekening is voor de vorm, even de schrik erin jagen, laten zien dat iedereen tekent dus verzet heeft geen zin, ja gezellig bedrijf zou dat zijn. Maar de echte vraag is dan: mag je als werkgever bij een onderzoek jezelf toegang verschaffen tot allerlei apparaten?

Het antwoord komt neer op “als dat écht nodig is gezien het concrete bedrijfsbelang in de specifieke zaak en je geen andere manieren hebt om aan dat belang te komen”. Zomaar wekelijks alle laptops doorsnuffelen op mogelijke overtredingen is natuurlijk niet in orde, bij een specifieke verdenking van fraude/verduistering door de werknemer de laptop gericht doorzoeken op bewijs is een heel ander verhaal.

Deze zaak uit 2014 maakt een duidelijke afweging. Een collega stuurde WhatsApp-berichten van de werknemer door naar de directie. Deze vond de inhoud zo ernstig dat ze de werknemer direct ontsloegen. Daarbij werd ook de werklaptop doorzocht:

De kantonrechter is van oordeel dat [werkgever], gelet op de verklaring van [collega] en de naar zeggen van [werkgever] door [collega] overgelegde whatsapp-berichten, voldoende aanleiding had om nader onderzoek te doen naar de inhoud van de laptop die afkomstig was van [werknemer]. [Werkgever] heeft uitsluitend een beroep op gedaan op berichten gestuurd aan of van werknemers of ex-werknemers van [werkgever], en die een verband hielden met het werk. Tevens is gekeken naar werkzaamheden die [werknemer] tijdens het dienstverband van en met bedrijfsmiddelen van [werkgever] heeft verricht ten eigen bate, dat wil zeggen zijn eigen bedrijf. Gelet op de inhoud van de, naar zeggen van [werkgever], van [collega] verkregen informatie, kan niet worden gezegd dat [werkgever] bij deze informatie geen belang had. Ook is niet gebleken dat de verificatie van de door [collega] verstrekte informatie op een andere, voor [werknemer] minder belastende, wijze had kunnen plaatsvinden.
Bij dit alles is eventuele toestemming van de werknemer dus niet relevant.

Bij het doorzoeken van privéapparatuur moet je als werkgever nóg terughoudender zijn. Daar heb je immers sowieso niets te zoeken, dus het is moeilijk voorstelbaar dat er dan toch een bedrijfsbelang ontstaat waarmee je in die apparatuur zou moeten. Daar komt bij dat je dan zaken moet doen zoals wachtwoorden raden of beveiliging omzeilen die in principe strafbaar zijn.

Misschien wordt het tijd om een nieuwe slogan toe te voegen aan mijn arsenaal. Na “data is niets” en “toestemming vraag je bij nieuwsbrieven en anders doe je het fout” zou dat dan iets van “werknemers tekenen alleen hun arbeidscontract, de rest is saai toneel” kunnen zijn. Meh, nog even aan werken.

Arnoud

Rechter beboet Criteo voor plaatsen trackingcookies

Geplaatst op in Ondernemingsvrijheid, Privacy, 11 reacties

Criteo, een exploitant van reclametechnologie, kreeg vorige week te horen dat het moet stoppen met haar cookiepraktijken wegens strijd met de AVG. Dat meldde Emerce vorige week. De Nederlandse rechter volgt daarmee de uitspraak van de Franse CNIL van afgelopen zomer en voegde daar “flagrante schending van de wet” aan toe. Oké.

Criteo biedt, zoals wel meer marktpartijen, tussenhandeldiensten aan voor advertenties en zet daarbij multi-site tracking in. Zij kreeg dus afgelopen zomer een boete (40 miljoen euro), met name omdat zij dit deed zonder adequate toestemming van de personen die zo werden getrackt.

De eiser in deze zaak had gemerkt dat hij nog steeds tracking cookies kreeg van Criteo, zonder daarbij om toestemming te zijn gevraagd. Kan kloppen, aldus het bedrijf, maar wij eisen van onze afnemers dat zij die toestemming regelen. Dus u moet niet bij ons zijn. Wie de afnemers zijn, dat weten we eigenlijk niet maar ze zijn zorgvuldig geselecteerd. Daarop stapte de man naar de rechter.

Dat zulke tracking cookies plaatsen zonder toestemming niet mag, daarover was iedereen het wel eens. Het ging dus over de vraag waar Criteo stond als niemand om toestemming vroeg, en hoe veel informatie het bedrijf moet geven over haar partners.

Volgens de rechter is het klip en klaar: je mag wel naar je partners kijken, en als die het regelen dan is dat mooi, maar als die het niet doen dan krijg jij het gevolg juridisch op je bordje. Zoals de CNIL het deze zomer zei:

“..dat het feit dat de partners verantwoordelijk zijn voor het verzamelen van de toestemming (…), het bedrijf niet ontslaat van zijn verplichting, overeenkomstig artikel 7 AVG, om te kunnen aantonen dat de betrokkene toestemming heeft gegeven.”
Criteo dient te waarborgen dat vooraf toestemming wordt verkregen, en mag niet vertrouwen op contractuele afspraken en ingrijpen na een piepsysteem. Waarborgen betekent dat je het regelt én dat je blijft kijken of het werkt. En zo nodig zélf de toestemming vraagt, of niet verwerkt als je niet zeker weet dat er toestemming is verkregen.
Volgens Criteo kan zij niet meer doen dan zij doet; zij heeft ongeveer 21.000 partners en het uitvoeren van audits op al deze partners is een zeer complexe aangelegenheid. Daar tegenover stelt [eiser] dat het “kinderlijk eenvoudig” is voor Criteo om haar partners geautomatiseerd te controleren, maar dat Criteo uit winstbejag liever blijft stilzitten totdat er iemand klaagt.
Men citeert deskundige Floor Terra die desgevraagd aangeeft in een middag een scriptje in elkaar te kunnen draaien dat in een nacht 10.000 websites controleert of ze cookies sturen zonder toestemmingsvraag. Als je zó eenvoudig al een basic compliance check kunt doen, dan heb je echt geen argument meer waarom je dat niet zou hoeven doen.

Dit moet stoppen, en wel nu:

Criteo is niet van plan haar huidige werkwijze te veranderen. Dat betekent dat het onrechtmatig handelen van Criteo jegens [eiser] niet vanzelf zal stoppen. Dat wordt ook bevestigd doordat [eiser] zelfs na de brief van zijn advocaat van 8 augustus 2023 nog 39 gevallen van schending van het wettelijk toestemmingsvereiste heeft aangetoond. Het gaat hier om een – naar voorlopig oordeel – flagrante schending van de wet en [eiser] heeft er alleen al daarom voldoende (spoedeisend) belang bij dat dit stopt. Van hem kan niet worden gevergd dat hij deze schending nog langer duldt in afwachting van de uitkomst van een eventuele bodemprocedure.
Hoe Criteo dit wil gaan inregelen, is niet duidelijk. Maar ze zullen wel moeten: 250 euro per dag dat het weer gebeurt.

Ook moet Criteo een volledige lijst geven van alle partners die de gegevens gekoppeld aan het cookie hebben gekregen. Het Hof van Justitie had in januari al bepaald dat dat moet; enkel categorieën van ontvangers noemen mag wel in je privacyverklaring maar als iemand doorvraagt dan moet je concreet worden. Dit omdat je als doorvragende iemand natuurlijk die partners wilt aanspreken op bijvoorbeeld onrechtmatige verwerking.

Arnoud

Wat gaat de EU doen met generatieve AI en foundation models in de AI Act?

Geplaatst op in Ondernemingsvrijheid, 1 reacties
AlexandraKoch / Pixabay

De Europese wetgever trekt een sprint om de regulering van generatieve AI vast te leggen, las ik bij Euractiv. De snelle opkomst van GPT was een nogal onverwacht dingetje, waar men maar niet uitkomt. “This is the last thing still standing in the negotiation,” aldus Europarlementariër Dragos Tudorache nog dit voorjaar. Dat viel dus een tikje tegen.

De voorgenomen AI Act – die in januari van kracht moet worden – ging altijd uit van concrete systemen met specifieke toepassingen. GPT en collega’s zijn het tegenovergestelde van waar de wet van uit ging: ze zijn general-purpose oftewel foundational voor specifieke toepassingen. De hele opzet van systemen met doelen en risico’s past dus eigenlijk niet goed.

Maar we hebben een wet, GPT is een AI en dus moet en zal deze gaan passen. Inderdaad, hamer en spijker en zo. De kern van het probleem is dat de AI Act uitgaat van systemen met een specifiek doel, de “intended purpose” zoals vastgelegd in de documentatie. Deze AI doet toegangscontrole, die AI bestuurt een auto en die laatste verzorgt ouderen. Foundation models zijn breed georienteerd: ze kunnen alles, hoewel je ze vaak nog wel bij moet sturen om een specifiek ding te kunnen.

De snelle opkomst van ChatGPT met name heeft ertoe geleid dat het Europees Parlement heel snel een bepaling hierover heeft toegevoegd. Maar hoe dat zou moeten passen in het bredere systeem, blijft de vraag: wat moet je met eisen over documentatie die je doelstelling willen weten, als je geen doelstelling hébt?

Het voorgestelde compromis komt erop neer dat de eisen beperkt worden tot transparantie over hoe de systemen gebouwd zijn (data, parameters, evaluaties over bias, zulke dingen) en dat je voor de rest alleen aanreikt wat anderen nodig hebben om een specifieke AI te bouwen met jouw systeem.

Maar er is meer: een “zeer capabel” foundation model moet ook nog extra regels krijgen omdat haar mogelijkheden onverwacht en onvoorspelbaar zijn. Zeg maar “we willen niet nóg een keer overvallen worden door AI’s die kunnen toveren”. Wat daarover precies vast moet liggen, is nog niet duidelijk.

Wil je weten hoe dit allemaal praktisch uit gaat pakken? Bestel dan mijn nieuwste boek: AI and Algorithms, mastering legal & ethical compliance.

Arnoud

Privacyexpert dient klacht in tegen adblocker-detectie YouTube

Geplaatst op in Ondernemingsvrijheid, Privacy, 31 reacties
Sophieja23 / Pixabay

Privacyexpert Alexander Hanff heeft bij de Ierse privacytoezichthouder DPC een klacht ingediend over de detectie van adblockers door YouTube. Dat meldde Security.nl onlangs. Googles videoplatform zou de Telecommunicatiewet overtreden (de ePrivacyrichtlijn, eigenlijk), omdat het detecteren van adblockers neerkomt op uitlezen van gegevens bij de gebruiker, en dat vereist toestemming.

De aanleiding is dat YouTube recent is begonnen met het blokkeren van gebruikers die een adblocker hebben geïnstalleerd. Ik blogde hier in februari over, maar kon geen goede juridische tegenargumenten bedenken, afgezien van (dank, tipgever) de Telecomwet:

ik kreeg de tip dat de EC dit ooit illegaal had genoemd, omdat je met zo’n blockerdetector informatie uitleest van de client zonder directe noodzaak. Dat is dan in strijd met de cookiewet, oftewel de op randapparaten lezen- en schrijvenwet. Ik ben niet helemaal overtuigd, je leest niet uit welke addons geïnstalleerd zijn, je kijkt in de DOM van je eigen pagina of een bepaald element zichtbaar is dan wel of iets op je eigen server opgevraagd werd.
Dit is dus ook de insteek die Hanff kiest, en hij hoopt dat de Ierse privacytoezichthouder snel actie onderneemt wanneer er veel mensen gaan klagen.

Hoe houdbaar is het nu echt? Dat verbod op uitlezen van informatie op randapparatuur gaat over snuffelen, spioneren, rondkijken waar je niet hoort te zijn. Het detecteren of iets van je eigen pagina geladen of getoond wordt vind ik niet echt daarmee in lijn.

De webpagina is geconfigureerd om te kijken of een bepaald vakje op die pagina (genaamd “_banner”) wel of niet zichtbaar is in het browservenster. Zo niet, dan concludeer je dat er een adblocker in het spel is. Dat is volgens mij niet uitlezen van informatie op het randapparaat, dat is uitlezen in je zelf verzonden informatie.

De ACM gaf iets later nog aan dat zij het niet als overtreding van de Telecomwet zien, vanwege de Nederlandse uitzondering op de cookiewet over gebruik dat slechts zeer gering of geen inbreuk op de privacy maakt. En inderdaad kan ik het detecteren van een adblocker moeilijk als een serieuze schending van mijn persoonlijke levenssfeer zien. Maar dat is een Nederlands bedenksel in de wet waarvan de vraag is of dat überhaupt wel mag.

Arnoud

Studente Vrije Universiteit niet gediscrimineerd met tentamensoftware Proctorio

Geplaatst op in Privacy, 9 reacties

De Vrije Universiteit Amsterdam (VU) heeft een studente niet gediscrimineerd met de tentamensoftware Proctorio. Dat las ik bij RTL Nieuws vorige week. De universiteit heeft aangetoond dat deze student tijdens haar tentamens niet meer problemen heeft ondervonden dan andere studenten en dat die problemen in het geval van deze student niet veroorzaakt werden door haar huidskleur.

De studente had in 2022 een klacht bij het College voor de Rechten van de Mens ingediend, en die had de VU opgedragen te bewijzen dat de software niet discrimineert. Kern van de klacht was dat de antispieksoftware haar steeds als afwezig markeerde omdat zij door haar huidskleur niet goed werd herkend.

Die gedachte is niet heel raar, want het is bekend dat de basis voor de software het opensourcepakket OpenCV is. Dit is een bekende set libraries voor objectherkenning (voor AI zijn wij objecten). Maar diverse tests laten zien dat het niet goed werkt:

The models failed to detect faces in images labeled as including Black faces 57 percent of the time. Some of the failures were glaring: the algorithms detected a white face, but not a Black face posed in a near-identical position, in the same image.
Op basis van deze informatie concludeerde het College dat er best wel eens sprake kon zijn van “ongeoorloofd onderscheid naar etnische afkomst” – de juridische term voor wat de media dan “discriminatie” noemt. Maar voor de duidelijkheid: die juridische term kent niet de component van afkeuring of opzet die we vaak bij “discriminatie” lezen. Je wordt anders behandeld, en dat kan per ongeluk gebeuren zonder dat iemand nadacht over huidskleur of wat dan ook.

De VU deed nader onderzoek naar wat er nu precies bij deze student was gebeurd:

De VU heeft met behulp van gegevens over het inlogproces kunnen aantonen dat de student tijdens haar tentamens niet meer problemen heeft ondervonden dan andere studenten. Dat de student bij een van haar tentamens langer deed over het verificatieproces en tijdens het tentamen een herstart moest maken kwam door andere dingen, die geen verband hielden met haar huidskleur. Zoals een slechte internetverbinding of het dragen van een bril.
Het oordeel van het College is dan ook dat geen verboden onderscheid is gemaakt. Men gaat niet expliciet in op detectie van huidskleur, maar vindt het voldoende aannemelijk dat de problemen samengaan met andere technische gebeurtenissen.

De student had het principiële punt opgeworpen dat de software niet onderzocht is op mogelijkheden voor discriminatie. Daar geeft het College haar gelijk, maar dat is een algemeen verwijt dat de wetgever moet oppakken. (Iets dat in de AI Act ook zal gebeuren.)

Arnoud

Heb ik recht op een kopie van ingezonden formulieren?

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, Privacy, 11 reacties

Een lezer vroeg me:

Als ik informatie upload naar een bedrijf (verhuurder, installatie onderhoudsbedrijf, etc.) heb ik dan het recht om die informatie terug te krijgen/eisen?

Neem een simpel geval zoals een contactformulier. Vaak krijg je geen kopie van je ingezonden formulier, dus moet je dat zelf kopiëren of schermafdrukken voordat je het instuurt. Heb ik niet gewoon recht op een kopie?

Er is geen algemene regel dat informatie ‘van jou’ is, in de zin dat je zonder meer een kopie daarvan op kunt eisen bij partijen die deze onder zich hebben. (Dat kan bij ‘gewoon’ eigendom wel, dat eis je terug via revindicatie.)

Veel mensen denken nu misschien aan auteursrecht. Dat klopt, ook op een relatief simpele tekst zoals een vraag in een contactformulier kun je auteursrecht claimen. Alleen: het auteursrecht is een verbodsrecht. Hiermee kun je dus hooguit de organisatie verplichten je bericht te wissen. Afgifte van een kopie kun je er niet mee afdwingen.

De AVG dan? Een bericht van jou afkomstig is te zien als een persoonsgegeven betreffende jou, en via je inzagerecht kun je dan een kopie daarvan krijgen (art. 15 lid 3). Dat is niet echt ’terugeisen’ maar je krijgt dan wel je tekst.

Alleen is het niet gezegd dat je dit krijgt in het bronformaat, een pdf met screenshot van je bericht is genoeg om aan het inzagerecht te voldoen. Een beroep op de dataportabiliteit (art. 20) zou je wél een mooi mailtje moeten opleveren. Daar zitten wel nogal wat juridische discussies aan, zoals onder welke AVG-grondslag je werkt als je een contactformulier invult. En dat maakt uit, want alleen bij toestemming of overeenkomst geldt dataportabiliteit.

Het belangrijkste voor mij is dat deze route buitengewoon omslachtig en tijdrovend is. Wie gewoon even zijn dossier op orde wil hebben (12 april contact gezocht via formulier, 26 april opvolging per telefoon) die zal hier niet op zitten wachten.

Volgens mij is het al jaren een aanbeveling dat formulieren een kopie mailen van het ingezonden bericht. Je kunt dat eventueel optioneel maken. En ja, er is dan een risico van misbruik voor overlast/spam (vul andermans adres in) maar dat zal hoe dan ook spelen wanneer de organisatie contact gaat zoeken.

Arnoud

Een e-bike is geen motorfiets, althans verzekeringstechnisch dan

Geplaatst op in Ondernemingsvrijheid, Regulering, 19 reacties

Een elektrische fiets is geen motorvoertuig, heeft de Europese rechter bepaald. Dat las ik bij TaxLive. Het ging hier om een fiets met trapondersteuning, geen volledige motoraandrijving. Desondanks: dat ding heeft een motor, zou je zeggen als techneut. Maar we zitten hier in het verzekeringsrecht, en dat heeft haar eigen definities.

Het ging in deze zaak om een speed pedelec, een e-bike die maar liefst 45km/uur kan. Dat is harder dan normaal, maar het gaat hier dus om trapondersteuning. Voor een speedpedelec gelden dezelfde regels als voor de bromfiets, aldus de Rijksoverheid. Denk aan een helmplicht en een geel plaatje.

Het maakt juridisch nogal uit of je op een fiets of een bromfiets bij een ongeval betrokken raakt. Een ‘zwakke’ verkeersdeelnemer heeft eerder recht op schadevergoeding, zo staat in de Nederlandse wet (art. 185 Wegenverkeerswet). Het moet dan wel gaan om een verkeersongeval tussen een motorrijtuig en een niet-motorrijtuig. Er ontstaat dan risico-aansprakelijkheid: ook als het niet de schuld van de bestuurder van het motorrijtuig was, moet deze de schade van de wederpartij vergoeden.

In deze zaak – aangebracht door een Belgische verzekeraar – kwam het argument naar voren dat een speed pedelec een motorrijtuig is. Er zit immers een motor in, en dat die het handmatig trappen versterkt in plaats van het wiel geheel zelf te dragen, hoort niet relevant te zijn. Dus geen sprake van een botsing motorvoertuig/zwakkere, dus geen risico-aansprakelijkheid.

Deze risicoverdeling komt uit Europese regels (Richtlijn 2009/103), dus de Belgische rechter legde de kwestie voor aan het Hof van Justitie. De kern van het argument:

Op basis van de door de fabrikant van de betrokken elektrische fiets verstrekte informatie, heeft de rechtbank vastgesteld dat de motor van de fiets, ook in boostfunctie, enkel trapondersteuning biedt, en dat deze functie pas kan worden geactiveerd nadat er spierkracht is gebruikt, door te trappen, door te lopen met de fiets of door deze te duwen. De rechtbank heeft daaruit afgeleid dat het slachtoffer geen bestuurder was van een motorrijtuig in de zin van artikel 1 van de wet van 21 november 1989 en dat het in het kader van artikel 29 bis van die wet als „zwakke weggebruiker” aanspraak kon maken op schadevergoeding (…).
Wat is dan precies een ‘motorvoertuig’? Die Richtlijn geeft een aanwijzing:
alle rij- of voertuigen die bestemd zijn om zich anders dan langs spoorstaven over de grond te bewegen en die door een mechanische kracht kunnen worden gedreven, alsmede al dan niet aan de rij- of voertuigen gekoppelde aanhangwagens en opleggers;
Mechanische kracht, dus als tegenstelling van menselijke of dierlijke kracht (de ossenwagen). Maar betekent dat ‘kunnen’ dat ze enkel en alleen in staat zijn om mechanisch te worden gedreven, of is het genoeg dat ze ook mechanisch kunnen worden gedreven?

Dit staat nergens, en er zijn dus geen aanknopingspunten om hiermee verder te gaan. In haar arrest (C-286/22) kiest het Hof dan ook een andere insteek:

Vervoermiddelen die niet uitsluitend door mechanische kracht worden aangedreven en die zich dus niet over de grond kunnen voortbewegen zonder dat er spierkracht wordt gebruikt, zoals de in het hoofdgeding aan de orde zijnde elektrische fiets, die overigens zonder trappen een snelheid van 20 km/u kan bereiken, kunnen derden evenwel geen lichamelijke of materiële schade berokkenen die qua ernst of omvang vergelijkbaar is met de schade die kan worden veroorzaakt door motorfietsen, auto’s, vrachtwagens of andere voertuigen (…)
Het doel van die risicoverdeling uit de wet is het beschermen van zwakkere partijen. Dat noemen we dan wel “gemotoriseerd versus ongemotoriseerd” maar je moet het eigenlijk lezen als “kan mechanisch en met hele grote snelheid aan komen rijden” versus “kan alleen ondersteuning aan spierkracht bieden”. Met dit criterium is de speed pedelec dus géén motorrijtuig en is haar bestuurder dus een zwakke verkeersdeelnemer.

Het roept wel vragen op: kennelijk is een scooter (met maximumsnelheid van 25km/u) nu ook ongemotoriseerd? Immers, die kan niet “een zekere snelheid bereiken die aanzienlijk hoger is dan die welke met [motoraangedreven] vervoermiddelen kan worden bereikt, en thans nog steeds het overgrote deel van het verkeer uitmaken”. Dit terwijl die dingen wel degelijk volledig door mechanische kracht voortbewogen worden.

Arnoud

 

 

Mijn bedrijf is gehackt: mogen ze voor deze dag snipperuren inzetten?

Geplaatst op in Ondernemingsvrijheid, Regulering, 4 reacties
khaase / Pixabay

Via Reddit:

Een tijdje terug kwamen wij op kantoor ’s ochtends tot de conclusie dat een cyberaanval ervoor zorgde dat we niet aan de slag konden. De IT afdeling had noodgedwongen de infrastructuur moeten “sluiten” om de nodige maatregelen te treffen. Hierdoor hebben we 2 dagen niks kunnen doen. De directie heeft nu besloten dat ze hier onze snipperuren van af willen trekken. Wat is hier precies gebruikelijk in deze situatie?
Het simpele antwoord is natuurlijk: dat kan zeer zeker niet. Dat het werk niet kan doorgaan door een situatie als een cyberaanval is echt zeer zeker het risico van de werkgever. (Ook als de oorzaak een grove menselijke fout van een werknemer is, ik zeg het maar even.)

De wet (art. 7:628 BW) formuleert het als volgt:

De werkgever is verplicht het naar tijdruimte vastgestelde loon te voldoen indien de werknemer de overeengekomen arbeid geheel of gedeeltelijk niet heeft verricht, tenzij het geheel of gedeeltelijk niet verrichten van de overeengekomen arbeid in redelijkheid voor rekening van de werknemer behoort te komen.
Deze sinds 2020 geldende formulering is dus vrij eenzijdig: ook als er niet is gewerkt, moet de werkgever gewoon loon betalen. Alleen als de werkgever kan bewijzen dat “in redelijkheid” het niet-werken in de risicosfeer van de werknemer hoort te liggen, hoeft hij het loon niet te betalen.

Bij invoering van de wet is duidelijk aangegeven dat algemene bedrijfsstoornissen eigenlijk altijd te zien zijn als de risicosfeer van de werkgever, zoals zware regenval waardoor er niet gewerkt kan worden. Een cyberaanval ligt in diezelfde lijn en is dus gewoon risico werkgever.

Het is natuurlijk denkbaar dat de impact van deze cyberaanval zo groot is dat de werkgever in serieuze financiële problemen komt als dan óok nog salarissen moeten worden doorbetaald. Daar valt dan over te praten, maar geeft geen juridische grondslag om dan maar vakantiedagen in te zetten om dit gat te compenseren. De werknemer beslist wanneer zhij vakantie neemt, de werkgever mag wel een vakantie weigeren (bij zwaarwegende redenen) maar niet dicteren wanneer de werknemer op vakantie gaat.

Arnoud

Werknemer voor rechter na negatieve recensies: ‘Do not work here’

Geplaatst op in Ondernemingsvrijheid, Uitingsvrijheid, 9 reacties

Marktonderzoeksbureau Innova uit Arnhem heeft een ex-werknemer voor de rechter gesleept, om de namen te achterhalen van zijn collega’s die negatieve recensies over het bedrijf op internet plaatsten. Dat meldde RTL Nieuws onlangs. Tot twee keer toe zonder succes: onlangs verloor de werkgever ook het hoger beroep.

De directe aanleiding lijkt te zijn geweest dat de werknemer na uitdiensttreding in dienst was getreden bij een klant van Innova, waarmee hij het relatiebeding uit de arbeidsovereenkomst zou hebben overtreden. Ook waren er negatieve reviews op een rekruteringsplatform (Glassdoor) geplaatst, waarvan men deze werknemer verdacht.

Alleen hoe bewijs je dat?

Op 10 en 22 augustus 2021 verschijnen twee negatieve reviews over (het werken bij) Innova. Innova vermoedt dat [geïntimeerde] en/of zijn collega [naam1] deze geplaatst hebben of hierbij betrokken zijn. Dit vermoeden krijgt Innova vanwege tussen hen gewisselde (Teams)berichten die zij via de account van [naam1] na diens ontslagname heeft achterhaald.
Hard bewijs komt er echter niet, toch pakt men door en komt 25.000 euro boete opeisen. Dat leverde alleen maar veel discussie tussen advocaten, dus dat kwam bij de rechter.

Innova had een zogeheten vordering tot afgifte ingesteld (art. 834a Rv), wat juridisch kan als je voldoende belang hebt bij de geëiste bewijsstukken. Het Gerechtshof legt uit:

Een vordering is toewijsbaar als is voldaan aan de volgende voorwaarden:

a. er moet sprake zijn van een rechtmatige belang

b. het moet gaan om “bepaalde bescheiden”

c. degene die inzage vraagt moet partij zijn bij de rechtsbetrekking.

Als degene die de stukken onder zich heeft gewichtige redenen heeft om die niet af te geven kan dat reden zijn om de vordering niet toe te wijzen (lid 4 artikel 843a Rv).

Probleem was hier dat het niet de ex-werknemer was die beschuldigd werd van de reviews, maar zijn collega. Men wilde van de ex-werknemer dus e-mails tussen hem en die collega hebben. En dat ligt lastig met dit artikel, want dit is eigenlijk wel bedoeld voor partijen die een onderling geschil bij de rechter hebben of gaan hebben.

En toen werd het ineens even heel complex. Innova bleek namelijk ook Glassdoor aangesproken te hebben, die de claim afwees (want Amerikaanse partij en free speech en zo, wat dacht je zelf). Maar er was meer: het bedrijf zat zelf al sinds 2019 op Glassdoor, en was dus volgens het Hof akkoord met de voorwaarde dat anonimiteit van werknemers een groot goed is. Oftewel, dan sta je dus zwak als je die toch ineens wil doorbreken.

Het is Innova dus niet gelukt om via haar contractspartner Glassdoor achter de namen van de plaatsers van de reviews te komen. Innova stelt dat zij daartoe ook niet is gehouden omdat daarvoor een lange en kostbare procedure in de Verenigde Staten nodig is (Glassdoor schrijft dat zij zichzelf en haar gebruikers recht op anonieme vrije meningsuiting in een procedure “agressively” zal verdedigen). Innova wil nu via een andere weg de namen achterhalen, namelijk via haar ex-werknemer [geïntimeerde] . De enige reden dat [geïntimeerde] deze namen kent is dat Innova hem ervan heeft beschuldigd dat hij die reviews geplaatst had. Vervolgens is hij ter ontlasting van die beschuldiging op zoek gegaan naar de plaatsers van de reviews. Hij heeft de betreffende (ex-)werknemers toegezegd dat hij hun namen niet zou prijsgeven.
In die omstandigheid ziet het Hof geen reden om afgifte van de e-mails te bevelen. De exwerknemer mocht, net als collega’s verwachten dat de werkgever de werkwijze van Glassdoor zou respecteren en dus niet zomaar de anonimiteit van plaatsers zou doorbreken.
Het gaat om anoniem geplaatste reviews met persoonlijke ervaringen, de anonimiteit wordt gegarandeerd door platform Glassdoor en Innova is, door zich via haar overeenkomst met Glassdoor te conformeren aan die anonimiteit, ten opzichte van haar werknemers in beginsel gehouden die te respecteren. Daarbij dient bedacht te worden dat ook de vrijheid van meningsuiting van de plaatsers van de reviews in het geding is.
Tevens is niet aan de inhoudelijke eisen voldaan, zoals een onderbouwing van hoe en waarom de reviews dan zo onrechtmatig zijn, waarom je pas na twee jaar daar zo’n punt van maakt en waarom het willen stellen van een precedent hier relevant is. Deze eis wordt dus (terecht) afgewezen.

Ik ga nog even verder, want veel ict-ers hebben ook voor hen vervelende en strenge bedingen in hun contracten. De overtreding van het concurrentiebeding wordt afgewezen: de werknemer was immers naar een klant overgestapt, terwijl het beding het verbood om bij “met Innova concurrerende ondernemingen in dienst te treden”. Een klant concurreert in het gewone spraakgebruik niet met een leverancier. Als je dat wel bedoelt, dan moet je dat duidelijker vermelden – onduidelijkheden in een eenzijdig opgelegd beding werken altijd in je nadeel.

Als laatste was er nog tussen Innova en die klant een zogeheten aftroggelbeding gesloten: die klant zou geen werknemers van Innova in dienst nemen, en dat was hier dus wel gebeurd. Maar omdat de indiensttreding an sich legaal is, moet er dan iets bijzonders aan de hand zijn om dit een onrechtmatig handelen van de werknemer te noemen.

Je kunt als twee bedrijven wel afspraken maken over wat je met elkaars personeel doet, maar dat kan dan alleen gevolgen hebben in de onderlinge relatie (zoals een contractuele boete of het verbreken van een samenwerking). Dus ga die boete maar halen bij je klant. Oh wacht:

Het hof begrijpt dat [Innova] dat liever niet doet omdat het een klant is. Maar die keuze houdt wel in dat als zij een derde partij, haar ex-werknemer [geïntimeerde] , hierop wil aanspreken, zij (gelet ook op wat hiervoor over zijn recht op vrije arbeidskeuze is overwogen) bijzondere omstandigheden moet stellen die diens handelen onrechtmatig maken.
Een overstap wordt voor een werknemer niet onrechtmatig omdat de oude met de nieuwe werkgever heeft afgesproken dat het niet mag.

Arnoud