EU klaagt bij X over verspreiding desinformatie rond Israëlisch conflict

Geplaatst op in Ondernemingsvrijheid, Regulering, 7 reacties

Sociaal netwerk X overtreedt de nieuwe Europese techwet DSA als het bedrijf niet optreedt tegen de verspreiding van desinformatie en illegale content, waarschuwt Eurocommissaris Thierry Breton in een brief aan X. Dat meldde Nu.nl onlangs. De reactie  van X-directeur Musk komt neer op “welke berichten bedoel je precies”, de traditionele reactie van grote platforms – en die klopt dus gewoon niet meer met de wet van vandaag.

De brief is een reactie op de vele propaganda- en desinformatieberichten die opdoken sinds de terreuraanvallen van Hamas in Israel. Hiertegen moet X harder en sneller optreden, zeker als daarover geklaagd wordt door autoriteiten. Dat gebeurt nu te weinig, aldus Breton. En het is ook weinig transparant waarom sommige berichten wel en andere niet worden weggehaald.

Een tweede punt is dat je als VLOP (zeer groot platform) ook de meer algemene plicht hebt om adequaat te reageren op desinformatie. Niet alleen op specifieke klachten reageren over individuele berichten, maar ook werken aan filters of algemene manieren om dingen in te dammen. Denk aan het automatisch blokkeren van herpublicaties van eerder geplaatste informatie die weggehaald was.

X-directeur Musk reageert:

Our policy is that everything is open source and transparent, an approach that I know the EU supports. Please list the violations you allude to on ?, so that that the public can see them.
Mijn eerste gedachte was, sinds wanneer moeten klachten in het openbaar worden gedaan om behandeld te mogen worden? De DSA eist dat in ieder geval niet. Je moet een “easy to access and user-friendly” klachtmechanisme hebben. Of je nu als EU of als individuele Wim wil klagen, het mechanisme is hetzelfde.

Verder haal ik uit deze reactie de klassieke mindset dat moderatie gaat om individuele berichten: oei, bericht 420 is een probleem, we kijken even en besluiten bericht 420 weg te halen. Oh en wat zegt u nu, heeft die gebruiker nóg een bericht geplaatst, het is me wat, na de lunch bent u de eerste.

Die mindset is achterhaald sins de DSA, in ieder geval voor die grote platforms. Die moeten ook meer systematisch bezig zijn (art. 34 DSA), zodat je niet steeds achter individuele berichten aan hoeft te rennen. De brief van Breton laat doorschemeren dat het ontbreekt aan zo’n systematische analyse bij X. En hoe men dáár dan op gaat handhaven, zal veelzeggend zijn voor de overige techplatforms.

Arnoud

UWV moet 500 euro schadevergoeding betalen na datalek

Geplaatst op in Privacy, Security, 7 reacties

Het Nederlandse Uitvoeringsinstituut Werknemersverzekeringen moet een schadevergoeding van 500 euro betalen aan een vrouw die schade ondervond vanwege een datalek. Dat las ik bij Tweakers. Het is opzienbarend want het gebeurt zelden, maar in zoverre weinig nieuws want het ging om medische gegevens. Veel méér weten we alsnog niet.

In 2021 stuurde het UWV vijf brieven die voor haar bestemd waren naar een verkeerd adres. Hoe dat kon gebeuren wordt niet duidelijk, maar dat het een datalek was onder de AVG daar waren partijen het wel over eens.

Bij datalekken kun je schade lijden, zeker als het gaat om datalekken van medische gegevens. Onderbouwen om welk bedrag het gaat is een discussie waar het laatste woord nog niet over gezegd is. De vrouw in deze zaak claimde uiteindelijk 3000 euro, het UWV bood 250 euro aan. Daar kwam men dus niet uit, waarna de rechter de knoop moest doorhakken.

De rechter kijkt, zoals dat hoort, naar dit specifieke geval.

De post die verweerder naar een verkeerd adres heeft gestuurd, bevatte procedurele aanschrijvingen en medische gegevens. Eiseres heeft daardoor termijnen overschreden, waar zij angsten door kreeg. De medische gegevens kwamen op straat te liggen. Er dient in het bijzonder rekening te worden gehouden met de psychiatrische klachten die eiseres heeft, waardoor de door de datalek veroorzaakte problemen een grotere impact hadden op eiseres dan zij zouden hebben gehad op gezonde mensen.
(De brieven waren ongeopend retour gekomen, maar dat is geen argument; het gaat om de gevolgen van het verkeerd sturen van de post en niet om de gevolgen van het misbruik van de inhoud van de post.)

Met name de impact op deze mevrouw vanwege haar klachten weegt de rechter de schade af naar redelijkheid en billijkheid op 500 euro:

De rechtbank is van oordeel dat een schadevergoeding van € 500,- billijk en passend is. Daarbij heeft zij met name gewicht toegekend aan de gevolgen die het datalek heeft gehad op de psychische problemen van eiseres, zoals eiseres die heeft beschreven in haar verzoek van 3 augustus 2021. De behandelend psycholoog van eiseres bevestigt deze problemen in haar rapport (…).
Inderdaad, precies dat bedrag dat die andere persoon ook kreeg in een medisch geval. En daarom is dit in zoverre jammer: er staan geen nieuwe argumenten in waar je wat mee zou kunnen in bijvoorbeeld een massaclaim, die er ondertussen een klein dozijn liggen.

Arnoud

 

 

Word jij AI Compliance Officer met de AI Act in het vooruitzicht?

Geplaatst op in Iusmentis, nog geen reacties

Een slimme winkelwagen: terwijl klanten door de winkel lopen, registreert de winkelwagen welke producten de klant bekijkt en geeft productaanbevelingen. Een sollicitatie-assistent die cv’s en brieven helpt schrijven. Of een gemeentelijk algoritme om stille armoede op te sporen. Allemaal vormen van AI waar de AI Act volgend jaar wat over te zeggen krijgt.

De nieuwe Europese wet (1 januari 2024 van kracht, zes maanden overgangsrecht) is bedoeld om vanuit risicobeheersperspectief AI aan banden te leggen. Compliance, transparantie, impact assessments en documentatie volledig maken voordat een AI de markt op mag.

Natuurlijk, menig bedrijf heeft al een compliance afdeling, privacy officer of risk manager. Maar de integratie van AI compliance in een organisatie overstijgt de individuele taken van deze onderdelen. Het wordt tijd voor een nieuwe functie: de AI Compliance Officer.

Als AI Compliance Officer is het jouw taak om deze uitdagingen het hoofd te bieden. Hoe zorg je ervoor dat een AI eerlijk en onpartijdig handelt? Hoe waarborg je de privacy van  betrokkenen? Aan welke security-eisen moet een AI voldoen en hoe laat je dit alles zien?

Met onze driedaagse CAICO-training leer je dit en meer. De opleiding werkt met e-learnings (webinars en oefeningen) die je in eigen tijd doet. Deze komen vanaf 1 december 2023 online. De praktijkdagen zijn 16 januari, 30 januari en 13 februari en worden afgesloten met een eindtoets.

Schrijf je snel in via de ICTRecht Academy.

(En vind je een hele opleiding wat veel, dan kun je ook mijn boek over AI compliance aanschaffen. Of het live webinar op 13 november bijwonen.)

Arnoud

“Denk aan je privacy: vul niet lukraak ieder veld van een contactformulier in”

Geplaatst op in Ondernemingsvrijheid, Privacy, 39 reacties

Op veel websites kun je contact opnemen met de website-eigenaar via een contactformulier. Dat las ik bij Nu.nl. Wat tot schade kan leiden: bij datalekken komt zo’n heel formulier dan op straat, inclusief allerlei niet-noodzakelijke informatie die het formulier toch vroeg. Diverse lezers wezen me op de analyse: waarom doen bedrijven dat en wat mag je als consument doen?

De directe aanleiding is een recent datalek bij vervoerder Arriva, waarbij van 195.000 mensen het gehele ingevulde formulier zichtbaar was. Inclusief voor contact niet direct relevante zaken zoals het telefoonnummer en de geboortedatum. Het formulier is vooralsnog online tot de beveiliging op orde is.

Een bedrijf mag alleen gegevens opvragen die nodig zijn voor het doel waarvoor je het formulier invult”, zegt woordvoerder Mark Schenkel van de Autoriteit Persoonsgegevens tegen Nu.nl. Da’s altijd een leuke, want menig bedrijf wil behoorlijk wat meer weten dan mijn e-mailadres als ik ze een vraag wil sturen via het formulier.

En nou ja, dat mogen ze dus niet vragen. Maar wie heeft opgelet tijdens mijn college “ICT en recht” die weet dat nu de term “code as law” gaat vallen: de software vraagt het toch, én staat erop dat je antwoord geeft. Geen geboortedatum ingevuld? Dan geen antwoord. En als je een nepdatum invult, dan is er een kans dat hij je inzending afkeurt wegens minderjarigheid (ik noem geen namen maar gebeurde me dit weekend) of dat het achteraf tot onnodig gedoe leidt “ik zie hier een andere datum dan bij uw abonnement, we gaan nu de procedure anti-phishing in”.

Wie dus nepgegevens wil invullen, moet nodeloos extra nadenken. En dat is vervelend, want het zou juist het bedrijf moeten zijn dat moet nadenken over wat ze nou écht nodig hebben. Maar daar is geen interne prikkel voor. Dit is dus waar de AP met boetes zou moeten smijten: uw formulier vraagt verplicht om geslacht, geboortedatum of meer dan één contactgegeven, dat is dan 2.500 euro graag binnen zes weken betalen. Dat zou zelfs ik nog wel met een script kunnen maken.

Arnoud

Wanneer mag je door mailboxen heengaan van ex-werknemers?

Geplaatst op in Ondernemingsvrijheid, Privacy, 11 reacties

Interessante bij Security.nl:

In het kader van een opdracht bij een klant ben ik aan het uitzoeken of het, met het hoog op de privacywetgeving, toegestaan is om de werk mailboxen van medewerkers die uit dienst zijn door te gaan. Dit wil het bedrijf graag omdat communicatie en werk vaak verloren gaan op het moment een medewerker uit dienst gaat. Ik vraag me af of dit toegestaan is als van tevoren toestemming wordt gevraagd aan de werknemers.
Om maar met dat laatste te beginnen: als je toestemming vraagt aan werknemers, dan doe je het verkeerd. Toestemming vraag je voor nieuwsbrieven, voor de rest heb je een andere grondslag nodig.

Hier is de grondslag het belang van de werkgever om het werk door te laten gaan. Je wilt immers niet dat klanten boos worden (of prospects afhaken) omdat er geen reactie komt op hun mail. En dat is niet te voorkomen door op de laatste dag een out-of-office met generieke “bel mijn collega Jantien” tekst op te nemen. Soms moet je mails terughalen of doorsturen.

Vanuit dat belang mag het dus in principe, die mailbox in. Maar je moet wel rekening houden met de privacy van de werknemer, want óók bij het werk geldt die en ook na uitdiensttreding. Je mag dus niet botweg alle mails doorzetten naar een collega (als dat al verstandig zou zijn), want er kunnen privéberichten tussen zitten.

In de comments wordt verwezen naar communicatie met de arbo-arts, dat lijkt me wat onwaarschijnlijk maar discussie met de manager over salarisverhoging of vervelende akkefietjes met collega’s zouden er zeker tussen kunnen zitten. En het is niet de bedoeling dat een ander die gaat lezen.

De gebruikelijke aanpak is dan ook dat je gericht zoekt, “klant De Vries zegt op 3 maart akkoord te hebben gegeven aan Ten Brink, waar is die mail” bijvoorbeeld. Of “in het dossier van MedTech ontbreken berichten over de SLA, hopelijk zitten die nog in de mailbox van Wim”. Je weet wat je zoekt en hoe je dat gaat localiseren.

Natuurlijk zóu je dan een mail van Ten Brink aan zijn manager kunnen vinden waarin die klaagt over een opdringerige De Vries, maar dat lijkt me dan te uitzonderlijk om de hoofdregel voor opzij te zetten. Het kan wel goed zijn om vanwege de grijze gevallen de mailbox met twee mensen door te nemen.

Een goede tip blijf ik vinden dat je de werknemer bij uitdiensttreding vraagt de mailbox op te schonen. Je kunt dat vragen in het exitgesprek, of op de laatste werkdag ’s ochtends nog even als reminder sturen. Dat is geen vrijbrief om dan om 17:01 te zeggen “en nú mogen we alles lezen”, maar wel een praktische tip om de risico’s te beperken.

Arnoud

YouTube stopt met Premium Lite-abonnement in Nederland en België

Geplaatst op in Informatiemaatschappij, 16 reacties
manfredrichter / Pixabay

YouTube stopt met zijn Premium Lite-abonnement in Nederland en België. Dat las ik bij Tweakers. Het gaf een nieuwe impuls aan een oude discussie: de gratis versie van Youtube komt met advertenties, mag je die nu blokkeren of niet? Ze zijn immers een deel van het inkomen van de content creator, maar waar staat in de wet dat het niet mag?

Al ongeveer sinds de eerste banner op internet (schijnbaar 1994) is er discussie over het mogen blokkeren daarvan. Ondertussen zijn we dertig jaar en drie boeken verder en is er nog geen juridische duidelijkheid. Dus laten we eens kijken of we een en ander op een rijtje kunnen zetten.

In de basis zijn advertenties de manier waarop de site-exploitant geld verdient waarmee de beoogde content wordt gerealiseerd. De juridische onderbouwing daarbij is nogal generiek: vrijheid van ondernemen is een grondrecht, dus als jij wil ondernemen via een gratis-met-advertenties model dan moet dat kunnen.

Soms wordt hierbij gesteld dat je ‘betaalt’ door advertenties te bekijken. Dat klopt niet, juridisch. Betalen doe je alleen met geld of, als je de term breed uitlegt, een andere tegenprestatie. Maar “ik laat jou advertenties erbij zetten” is niet hetzelfde als op zaterdag de buurman helpen verhuizen omdat hij je kat eten geeft tijdens je vakantie.

De redenen om advertenties te willen blokkeren zijn vaak te verdelen in drie categorieën:

  1. Advertenties kunnen hinderlijk of gevaarlijk zijn, denk aan malware, overmatig knipperende onzin of afleiding zoals popups die niet zomaar weggaan.
  2. Niemand kan je dwingen advertenties te ontvangen, want je kiest zelf wat je wil bekijken.
  3. Er zijn genoeg andere manieren om geld te verdienen als creator (sponsoring, abonnementen) en/of niemand heeft het recht om geld te verdienen met advertenties.
De eerste twee argumenten gaan niet rechtstreeks in tegen het argument dat een ondernemer dit moet kunnen doen als deze dat wil. Het komt eerder neer op “de inkomstenderving die ik toebreng door het blokkeren is gerechtvaardigd vanwege belangen die ik heb”. De derde is juridisch gezien een noodzakelijkheidsargument: jouw grondrecht van ondernemen mag niet zo ver reiken dat je mijn blokkeren mag verbieden.

Beide zijn op zich legitieme argumenten om iemands grondrecht in te mogen perken. De discussie komt dan neer op een balans zoeken: mag je álle advertenties blokkeren vanuit angst voor malware, of moet er dan wel iets van een check voor malware tussen zitten, bijvoorbeeld?

En wat dat dwang-argument betreft: in 2012 blogde ik nog dat je het idee van toegang-met-advertenties zou kunnen zien als een overeenkomst met specifieke voorwaarde. Ik heb daar nog steeds geen tegenargument tegen gevonden.

Arnoud

Apple stapt naar de rechter om onder Nederlandse miljoenenboete uit te komen

Geplaatst op in Ondernemingsvrijheid, 2 reacties
PeggyMarco / Pixabay

De Autoriteit Consument & Markt (ACM) heeft het bezwaar van Apple tegen een boete van 50 miljoen euro afgewezen, meldde Nu.nl onlangs. Het bedrijf gaat nu bij de rechter in beroep. Kennelijk heeft de ACM toch iets gedaan dat indruk maakte, wat ik niet perse verwachtte. Oh ja, en het is een dwangsom, geen boete.

In het vorige artikel legde Nu.nl kort uit wat er speelt:

De kwestie draait om datingapps zoals Tinder, Lexa en Bumble. Als gebruikers van die apps bijvoorbeeld een abonnement nemen, dan wordt de betaling door Apple verwerkt. De makers van die apps willen dat ook andere partijen betalingen kunnen verwerken binnen Apples mobiele besturingssysteem iOS. Daarmee hopen ze ook goedkoper uit te zijn, want Apple vraagt 30 procent provisie over die betalingen.
Klachten van datingappaanbieders hadden succes bij de ACM: deze handhaafde op overtreding van de Mededingingswet en legde Apple een last onder dwangsom op om haar te dwingen de betaalmogelijkheden uit te breiden. Volgens Apple iets dat “dat investeringsprikkels verlaagt en niet in het beste belang is van de privacy en gegevensbeveiliging van onze gebruikers.” (Hoi ChatGPT).

De ACM had op bezwaar van Apple het besluit heroverwogen. Allereerst was er natuurlijk discussie over wat de markt precies is. De ACM bakent die af als “de markt voor appstorediensten op het besturingssysteem iOS ten behoeve van datingappaanbieders”. Apple wil dat breder zien: alle kanalen waarmee apps door consumenten af te nemen zijn, zeg maar. Ik denk dat de ACM hier gelijk heeft: Apple blokkeert concurrerende appstorediensten.

Mag je de concurrent dan niet buitenhouden? Nee, niet als je een machtspositie hebt. Ook daar had Apple natuurlijk een mening over, maar zoals de ACM zegt:

Datingappaanbieders hebben op de relevante markt geen reële alternatieven voor Apple en zijn op de App Store aangewezen voor toegang tot consumenten die gebruikmaken van een slim mobiel apparaat van Apple. Het hoge marktaandeel dat Apple hierdoor op de relevante markt heeft, wordt niet genuanceerd door dreiging van potentiële concurrentie, uitbreiding van bestaand aanbod, of compenserende afnemersmacht.
Aanverwant vindt de ACM het bezwaarlijk dat appaanbieders ervan worden weerhouden een rechtstreekse klantrelatie op te bouwen met hun gebruikers en worden belangrijke klantgegevens aan hen onthouden. Dat is wat Apple “het beste belang is van de privacy en gegevensbeveiliging” noemt.

De ACM zag dus geen reden om de last onder dwangsom op te heffen. Ondertussen heeft Apple al aan de eis voldaan, specifiek voor datingapps dan natuurlijk. De kans is klein dat de rechter dat fundamenteel afwijst. Het besluit van de ACM lijkt me goed gemotiveerd. Wel zie je dat de boete vaak wat omlaag gedaan wordt.

Arnoud

Is het voor een advocaat strafbaar om zijn KvK-bevoegdheden te misbruiken?

Geplaatst op in Security, 3 reacties

Een lezer vroeg me:

Zoals je misschien weet kun je als advocaat een speciaal account bij de KvK krijgen, waardoor je dan (op basis van art. 51 lid 5 Handelsregisterbesluit) adresgegevens van natuurlijke personen kunt inzien als je een uittreksel KvK opvraagt. Maar stel nou dat een corrupte advocaat voor een criminele opdrachtgever zo inzicht krijgt in afgeschermde adresgegevens. Is dat strafbaar?
De lezer droeg zelf nog de suggestie aan van oplichting (art. 326 Sr), omdat ook het aftroggelen van gegevens daaronder valt. Maar er is dan een “listige kunstgreep” nodig, en daarvan is geen sprake als je gewoon inlogt en gewoon gegevens opvraagt, met als enige omstandigheid dat je dit niet doet voor het afgesproken doel.

Er is art. 139d Strafrecht, de diefstal van gegevens. Wie deze wederrechtelijk opneemt of aftapt, handelt strafbaar. Dan zou de wederrechtelijkheid zijn dat je dan de regels schendt regels op grond waarvan je erbij mag. Ik zit daar een beetje met “aftappen of opnemen”, want je krijgt ze gewoon in je browser. “Aftappen” suggereert dat je iets geks doet om mee te luisteren.

Ik kom dan toch met frisse tegenzin uit bij computervredebreuk: het binnendringen in een geautomatiseerd werk met een valse sleutel. Er is namelijk jurisprudentie van de Hoge Raad dat je toegang misbruiken voor een oneigenlijk doel telt als computervredebreuk middels valse sleutel (vals wachtwoord). Daarvan is hier ook sprake.

Ik blijf er moeite mee houden dat het strafrecht op deze manier zou werken, met name omdat een private partij dan kan bepalen of iets strafbaar moet zijn. Zoals ook Berndsen betoogt:

De bepaling die feitelijk slechts verbiedt om zonder toestemming andermans computer binnen te dringen, verwordt zo tot een algemeen verbod op het kennisnemen van bepaalde informatie. Daarmee is het toepassingsbereik van artikel 138ab Sr en de voorzienbaarheid daarvan evident ruimer en bovendien minder duidelijk dan blijkens wettekst en parlementaire geschiedenis de bedoeling was. Het door ons gesignaleerde probleem van onvoldoende rechtszekerheid is gecreëerd door beslissend te achten of er een beroepsmatige noodzaak van het raadplegen van gegevens bestaat, in plaats van de vraag of wederrechtelijk in  een systeem wordt binnengedrongen.
Ik zou zelf meer zien in een tuchtrechtelijk aanpakken – je titel of bevoegdheden verliezen vanwege dit soort akkefietjes lijkt me meer in de lijn der verwachting liggen. Ook kun je nog gaan zitten op schending van het ambtsgeheim (art. 272 Strafrecht) omdat je vertrouwelijke informatie doorvertelt aan een onbevoegde. Dat is natuurlijk lastiger te bewijzen want dan moet je als OM wel weten dat er een derde is die het gehad heeft.

Arnoud

Inleveren digitale pasfoto voor paspoort wettelijk al mogelijk, maar of dat handig is?

Geplaatst op in Innovatie, Ondernemingsvrijheid, 10 reacties

De overheid kijkt naar het uitfaseren van geprinte pasfoto’s, zodat er alleen met ingeleverde digitale pasfoto’s voor paspoorten of identiteitskaarten wordt gewerkt. Dat las ik bij Security.nl. In een voortgangsbrief laat demissionair staatssecretaris Van Huffelen van Digitalisering weten dat de huidige hardware en koppelingen met bestaande systemen het probleem zijn bij het volledig digitaal verwerken van pasfoto’s voor identiteitsbewijzen.

Vorig jaar bleek dat het nog wel eens misgaat: corrupte ambtenaren leverden paspoorten met ‘gelijkende’ pasfoto’s aan criminelen. Het doel van deze nieuwe maatregel is dan ook vooral het bestrijden van dit probleem.

Bij de aankondiging van de antifraudemaatregelen liet de staatssecretaris ook weten dat het ministerie van Binnenlandse Zaken eind 2021 een project heeft opgezet (Modernisering Afname Biometrie) met als doel om de geprinte pasfoto uit te faseren. “Een ter plekke gemaakte gezichtsopname verkleint de kans op het onjuist koppelen van een afbeelding aan een persoon, voorkomt de manipulatie van foto’s in het aanvraagproces en verhoogt de kwaliteit van de afbeelding”, aldus Van Huffelen destijds.
Het is dus nadrukkelijk nog steeds de bedoeling dat je naar de balie van het gemeentehuis gaat om je paspoort mee te nemen. Het nieuwe proces is dan vooral dat de foto bij de intake ter plekke wordt genomen, op kwaliteit gecontroleerd en op je paspoort gezet wordt. Niet dat je paspoorten aanvraagt op afstand en deze thuisgestuurd krijgt, zeg maar.

(Pet peeve: een rijbewijs is een identiteitsbewijs; noem het geen legitimatiebewijs tenzij je de politie bent die nagaat of iemand mag rijden.)

Arnoud

Wat is er juridisch nou echt te doen tegen ongewenste nieuwsbrieven?

Geplaatst op in Ondernemingsvrijheid, Regulering, 16 reacties
LadyBB / Pixabay

Een lezer vroeg me:

Het is voor mij haast een dagtaak om ondernemingen en ook instanties erop te wijzen dat wij niet geïnteresseerd zijn in hun nieuwsbrieven, en dat ik ook geen behoefte heb aan accounts die ze aanmaken na een eenmalig contactverzoek of bestelling. Welke juridische stappen zijn er mogelijk, want men is niet onder de indruk van mijn verwijzingen naar wetsartikelen.
De frustratie spat haast van de mail af, en dat is heel begrijpelijk. Ik krijg zelf ook dagelijks vijf nieuwe nieuwsbrieven en ik ben opgehouden accountaanmaken te tellen. Gelukkig kan ik het technisch vrij goed wegfilteren, maar irritant is het.

Veel van die nieuwsbrieven komen vanwege aanvragen of bestellingen bij webshops. Dit is een helaas hardnekkig en al lang voorkomend probleem. Veel software voor webwinkels en dergelijke bevat deze functies, dus men denkt “handig, gaan we doen” en pas vele jaren later komt men erachter dat het niet mag. Want nee, je mag klanten niet zomaar nieuwsbrieven sturen – je moet op het bestelformulier een opt-out hebben staan, en dat heeft die software niet.

Het frustrerende: voor ACM en AP heeft het geen prioriteit. Voor individuele consumenten is het niet de moeite om te gaan procederen. Je rechtsbijstandsverzekeraar zal dit niet vergoeden, en wie wil er nu 5000 euro aan een advocaat uitgeven om hier een rechtszaak over te winnen? En zelfs als je wint: dat is dan die ene winkel, daarna zijn er nog tienduizend te gaan.

De heel misschien kansrijke actie is een collectieve procedure waarbij tienduizend man een euro elk eist, want zo’n precedent kan wat sneller geregeld worden dan drie miljard van Oracle eisen en het zal zeker deining maken. Maar wie heeft er zin in voor dit specifieke probleem?

Arnoud