Chipontwerper Arm krijgt iedereen op de kast met haar merkhandhaving

Geplaatst op in Intellectuele rechten, 5 reacties

Chipbedrijf Arm is druk bezig zijn handelsmerk ‘Arm’ te beschermen, las ik bij AG Connect. Dat gaat hard: een auteur van boeken over de chipsarchitectuur werd aangemaand, domeinnamen geblokkeerd enzovoorts. Het gaf veel ophef, dus laten we dit eens juridisch bekijken.

Wat is er nu precies aan de hand?

Security-onderzoeker [Maria] Markstedter is nu dus haar domeinen arm-assembly.com, arm-reversing.com, arm-exploitation.com en arm-basics.de kwijt. Op die websites bood zij tutorials, technische uitleg en security-informatie over chips gebaseerd op de Arm-architectuur. Daarnaast promootte zij haar boek ‘Arm assembly and reverse engineering’.
Markstedter is een van de bekendste security-experts op het gebied van deze chips-architectuur, dus het is niet raar dat zij zichzelf profileert onder verwijzing naar de merknaam. Dat is wat je weet, dat is wat je kunt.

Het bedrijf Arm stelt echter dat dit merkinbreuk is. En ja, natuurlijk is “ARM” een merk voor deze chips en wat daar omheen zit. Je mag niet andermans merk gebruiken voor aanprijzen van je eigen producten of diensten, of doen alsof je goedgekeurd of aanbevolen bent door de merkhouder.

De boze brief over de domeinnamen laat zien hoe merkhouders zoiets benaderen. Wij hebben een merk, u gebruikt het merk dús het is merkinbreuk, binnen 24 uur ermee stoppen. En ik ga nu iets ergerlijks zeggen: dit is de juridisch juiste benadering, want het ís hun merk, je ziét gebruik en dat mag je in beginsel laten staken.

Natuurlijk, er is zoiets als refererend merkgebruik. “Hardware met Arm chips vereist”, “Wij zoeken de security-gaten in uw Arm-gebaseerde borden”, “Leer met dit boek Arm assembly in 24 uur”. Dat soort zaken is géén inbreuk en mag dus niet worden geblokkeerd. Echter, formeel is dit een verweer dat je als gebruiker van het merk moet voeren. En er is geen plicht dat de merkhouder jou informeert over dit verweer.

Bij refererend merkgebruik moet je dan wel weer oppassen dat je geen verwarring stichting. “Het Arm handboek” met hun bedrijfslogo op de cover zou ik dus zeker niet doen, ook al is dat handboek inhoudelijk volkomen neutraal. Dit schurkt te zeer aan tegen een “officieel” handboek van de fabrikant zelf. “Markstedter On Arm” lijkt me daarentegen verder prima.

Het zou mij verder niets verbazen als deze actie richting Markstedter niet bewust op haar gericht was, maar voortkwam uit een eenvoudige zoektocht naar domeinnamen met ‘Arm’ erin. Ik zie dat namelijk vaak. Begrijpelijk, want heel vaak gaat het gewoon om snelle jongens (m/v/x) die even een paar centjes Adsense willen meepakken.

Arnoud

Kwart werkgevers controleert sociale media van sollicitant, maar dat is vaak niet toegestaan

Geplaatst op in Ondernemingsvrijheid, 22 reacties

Een op de vier bedrijven ‘screent’ socialemedia-accounts van sollicitanten, maar in veel gevallen mag dit niet zomaar. Dat las ik bij NRC onlangs. Men baseert zich op onderzoek van Tilburg University en Rendement Uitgeverij, dat laat zien hoe vaak deze praktijk voorkomt. Mag dat van de AVG?

Het googelen van sollicitanten, of iets hipper de social media prescreening is al een oud onderwerp. Ik blogde er in 2012 al over, maar de praktijk is natuurlijk alleen maar grootser geworden. Ik citeer:

Volgens Holtrop is er geen overtuigend bewijs dat online screening helpt bij het vinden geschikte werknemers. Het risico van een online screening is dat bedrijven voorbarige conclusies trekken over een sollicitant en deze onterecht niet uitnodigen voor een gesprek, volgens hem. Bedrijven screenen namelijk op zaken die discriminatie in de hand werken, zoals profielfoto’s, volgens Holtrop.
En op basis van je onderbuik wat socials aanklikken en iemand afwijzen, dát mag dus niet van de AVG. Zoals ik in 2018 al blogde:
Specifiek bij sollicitanten en googelen is dat niet anders. Niets in de AVG verbiedt dit expliciet, je moet alleen aan de bak: meld in je personeelsadvertentie dat je dit doet, leg in een privacyverklaring uit waarom je dit doet en wat er met de resultaten gebeurt en déél die resultaten (en jouw bevindingen daarop) met de sollicitant. In die privacyverklaring moet trouwens ook staan hoe lang je cv’s bewaart en met wie je de gegevens deelt.
Dit is natuurlijk vrijwel nooit hoe het werkt: niemand die dat in zijn advertenties vermeldt (wij ook niet, maar wij doen het ook niet), niemand die uitleg geeft aan sollicitanten en al helemaal niet als het algoritmisch gebeurt. Maar goed, dat gebeurt bij klassiek solliciteren uiteindelijk ook niet:
Op dat terrein is er nog een wereld te winnen, blijkt uit het onderzoek. Zo vertrouwen bazen tijdens de sollicitatiegesprekken vaak blindelings op hun „intuïtie en gevoel”. En: het overgrote merendeel van de bedrijven (85 procent) neemt geen gestructureerd sollicitatiegesprek af. Hierdoor verschillen de inhoud en vragen van sollicitatiegesprekken voor dezelfde functie enorm van elkaar. Dit werkt vooroordelen in de hand en verkleint de kans op het aannemen van „de meeste geschikte sollicitant”, aldus het onderzoek.
Momenteel ligt er een wet voor in de Eerste Kamer die ervoor moet zorgen dat de werving en selectie van bedrijven eerlijker wordt. Daarvan hadden veel werkgevers nog nooit gehoord, ik biecht meteen op dat ik ‘m ook moest googelen maar het is dus de Wet toezicht gelijke kansen werving en selectie. De kern:
Werkgevers zijn op grond van deze wet verplicht een werkwijze op te stellen waarin zij aangeven hoe zij hun werving- en selectieproces inrichten en ervoor zorgen dat arbeidsmarktdiscriminatie geen rol kan spelen. Deze verplichting gaat gelden voor alle werkgevers. Uit de ‘werkwijze’ moet blijken dat er uitsluitend geworven wordt op basis van relevante functie-eisen. De werkwijze moet controleerbaar en systematisch ingericht zijn.
Sommigen zouden zeggen dat dit al moest van de AVG, maar desondanks een goed idee om dit zo expliciet vast te leggen.

Arnoud

Kan ik bij het opzeggen van mijn abonnement ook mijn account verwijderen?

Geplaatst op in Ondernemingsvrijheid, Privacy, 11 reacties

Een lezer vroeg me:

Bij (veel) internet winkels, abonnementen, leveranciers, enz. wordt een inlog met naam/e-mail-adres en wachtwoord gevraagd. Kan ik bij het beëindigen van klant zijn / abonnee opzeggen de opgeslagen gegevens laten verwijderen?
Een account zoals hier beschreven is een verzameling van persoonsgegevens, en de verwerking daarvan valt dus onder de AVG. Deze kent een recht van verwijdering (vergetelheid, zo je wilt) en dat geldt voor accounts dus net zo goed.

Het recht van verwijdering geldt alleen als de gegevens niet langer nodig zijn voor de doeleinden waarvoor zij zijn verzameld of anderszins verwerkt (plus andere uitzonderingen die er hier niet toe doen). Een account wordt gewoonlijk opgezet om een bepaalde dienst te leveren. Dus zodra de dienst stopt, eindigt het doel van de verwerking en dus de grond om de gegevens nog te hebben.

Hoofdregel is dus: bij stoppen dienst moet het account weg.

Natuurlijk zijn daar uitzonderingen op. Bij webwinkels zie je bijvoorbeeld vaak dat men redeneert, je hebt nog een periode garantie op het gekochte, en het account is nodig om de garantieaanvraag af te handelen. Daar valt wat voor te zeggen, zij het dat je garantie ook moet kunnen claimen als je geen toegang meer hebt tot het account. Het kan enige overtuigingskracht kosten om een organisatie dit duidelijk te maken, maar je staat in je recht als je zo’n account wil laten verwijderen.

Ook is een tegenargument vaak dat je via je account bij de facturen kunt, en/of dat die facturen zeven jaar lang bewaard moeten van de Belastingdienst. Dat klopt natuurlijk, maar is geen argument om het account actief te laten: als klant kun je de facturen downloaden (en is het jouw keuze om facturen niet te bewaren). En als bedrijf moet je de facturen in je eigen administratie bewaren, wat los moet staan van een klantaccount.

De DSA is van kracht voor de grote platforms, wat betekent dit voor desinformatie?

Geplaatst op in Ondernemingsvrijheid, Regulering, 3 reacties

Grote techplatforms moeten vanaf 25 augustus voldoen aan de Digital Services Act (DSA), las ik bij Security.nl. Doel van deze strenge EU-wetgeving is EU-gebruikers meer controle te geven over de algoritmen van socialmediadiensten, maar ook illegale inhoud en desinformatie aan te kunnen pakken.

Wat dat eerste betreft: een van de zichtbaarste manieren van die controle over die algoritmen is de chronologische feed, het op datum gesorteerd krijgen van alle berichten. Dat is een DSA eis: het moet jouw voorkeur zijn of je content aflopend op tijd wil dan wel gesorteerd naar een of ander “populair/hot/trending/for you” criterium. En die voorkeur moet blijvend zijn tot jij hem weer aanpast.

Ook interessant gaan de transparantierapporten worden die deze zeer grote online platforms (in het jargon: VLOP, onthoud die term voor het tentamen) moeten gaan publiceren. Wat voor klachten kreeg men, wat voor eigen moderatiekeuzes maakte men, welke bevelen van autoriteiten werden ontvangen en ga zo maar door.

Dat is van belang, omdat dat tweede punt veel controverse geeft: het aanpakken van desinformatie. Artikel 8 DSA bepaalt namelijk dat grote platforms “onverwijld” gehoor moeten geven aan bevelen om tegen specifieke illegale inhoud op te treden.

In combinatie met de vele verwijzingen naar fake news oftewel desinformatie wekt dit de indruk dat VLOPs op verzoek van overheidsdiensten censuur moeten gaan plegen tegen onwelgevallige uitingen. Maar dat staat nergens, althans niet letterlijk. Natuurlijk, platforms moeten op bevel illegale inhoud weghalen, maar “desinformatie” is als zodanig niet strafbaar.

Desinformatie is in DSA terminologie een “systemisch risico” en daar moeten platforms mitigerende maatregelen tegen nemen. Artikel 27 lid 1 DSA noemt de belangrijkste:

(a)aanpassing van inhoudsmoderatie- of aanbevelingssystemen, de besluitvormingsprocessen ervan, de kenmerken of werking van hun diensten, of hun algemene voorwaarden;

(b)maatregelen op maat die gericht zijn op het beperken van de weergave van reclame in verband met de dienst die zij aanbieden;

(c)versterking van de interne processen of het toezicht op hun activiteiten, met name betreffende de detectie van systemische risico’s;

(d)samenwerking met betrouwbare flaggers overeenkomstig artikel 19 beginnen of aanpassen;

(e)samenwerking met andere onlineplatforms beginnen of aanpassen via de gedragscodes en de crisisprotocollen zoals bedoeld in respectievelijk de artikelen 35 en 37.

Die laatste wijst op een ander punt: de gedragscodes. Artikel 35 stelt de Europese Commissie in staat om gedragscodes op te stellen in samenwerking met de VLOPs. Een zo’n gedragscode is de Code of Practice on Desinformation, want desinformatie was een van de speerpunten van de Commissie. Ook deze eist nergens dat je alle mogelijke ongewenste standpunten rücksichtslos weghaalt; het gaat wederom om procedures, afstellingen, input van buitenaf en transparantie naar onderzoekers die de trends willen monitoren.

Je hebt natuurlijk altijd het “chilling effect”: als de Commissie niet tevreden genoeg is, dan maken ze straks een wet die strenger is dan deze gedragscode, dus laten we maar zo veel mogelijk onwelgevallig spul weghalen dan worden ze niet boos. Daarmee wordt dus ook legale maar ongewenste content weggehaald, en dat is natuurlijk een inbreuk op de informatievrijheid. Ik vind het persoonlijk moeilijk voor te stellen dat de directie van deze VLOPs zo angstig zou zijn voor de Europese Commissie.

Arnoud

 

Nvidia’s kwartaalomzet en -winst stegen met honderden procenten door AI-gpu’s, mag dat?

Geplaatst op in Ondernemingsvrijheid, Regulering, 7 reacties

Nvidia behaalde in het vorige kwartaal een recordomzet en -winst, las ik bij Tweakers. De grafischekaarten- en chipsfabrikant kreeg die vooral uit een explosieve stijging van gpu’s voor datacenters waar kunstmatige-intelligentietoepassingen op draaien. De nettowinst bijvoorbeeld steeg 843 procent (geen typefout) ten opzichte van hetzelfde kwartaal in 2022. Het riep vele boze reacties op over woekerwinst en of dat wel zou mogen.

Woekerwinst of hanteren van woekerprijzen is op zichzelf niet verboden. Het idee is dat de markt je wel afstraft: ik koop mijn brood wel bij de concurrent als jij 10 euro voor een brood vraagt.

Het is problematisch als je exorbitante winsten maakt door misbruik van je machtspositie. Alle bakkers zijn failliet, ik ben de enige supermarkt in de wijde omtrekt, nú zijn de broden tien euro per stuk.

Probleem is natuurlijk: toon maar aan dát NVIDIA een machtspositie heeft, zijn er echt geen andere leveranciers van zulke GPU’s? En daarnaast heb je een benchmark nodig van wat dan een ‘normale’ prijs zou zijn van dergelijke hardware. Enkel stellen dat “50% wel veel winst” is, gaat je niet redden. Ik weet zeker dat NVIDIA kan aantonen dat een groot deel daarvan eigenlijk geen pure winst is maar alsnog kosten dekt, voor nieuwe investeringen gebruikt wordt enzovoorts.

Een lastiger vraag is nog: wat is de markt? Gaat het om alle producten die normaal brood genoemd worden, of alleen zuurdesem volkoren spelt meergranen? Als het dat eerste is, dan is dat geverfde supermarkt brood concurrentie voor jouw prachtbrood en heb jij geen machtspositie.

Je ziet dit bij smartphones. Heeft Apple met de iPhone macht? Als je alle mobieltjes bekijkt dan zijn ze getalsmatig een kleine speler. Definieer je een markt voor high end smartphones dan is Apple een grote jongen. En als je zegt, high end en design dan is Apple verreweg de grootste. Wie heeft gelijk?

Idem hier voor NVIDIA. Er zijn nog veel meer chipsmakers, ook op het gebied van grafische kaarten zijn ze niet de enige. Maar haar strategische keuze om te specialiseren in kaarten voor AI-toepassingen heeft haar nu een absolute koploperspositie gegeven. Uit The Guardian:

The strategy means the company now has the upper hand, said Wedbush Securities managing director and senior equity research analyst Dan Ives. “In terms of scale, scope and the ability to integrate the data, Nvidia is essentially the only game in town.”
Daarmee is haar machtspositie wel gegeven, al blijf je natuurlijk zitten met de vraag: wat is de markt? Grafische kaarten? Krachtige rekenchips? Specifiek chips voor AI?

Arnoud

 

 

DeGiro mocht elektronische handtekening klant wegens foutmelding weigeren

Geplaatst op in Ondernemingsvrijheid, Regulering, 14 reacties

DeGiro mocht een elektronische handtekening van een klant wegens een foutmelding over de geldigheid weigeren, las ik bij Security.nl. De klant had het beleggingsplatform de opdracht  gegeven om zijn beleggingen naar een andere broker over te boeken. Alleen werd deze afgewezen omdat er wat mis zou zijn met de elektronische handtekening. Tijd om hier eens in te duiken, want de term EIDAS doet nog steeds sommigen duizelen.

De uitspraak (van het Kifid) gaat over de vraag of een instelling verplicht is om een gekwalificeerde elektronische handtekening te accepteren. Dat ging hier mis, want de handtekening vereiste een certificaat van een instantie die niet in de lijst bij het Kifid stond (klik voor groot):

De handtekening was dus wel gezet conform de eisen van de zogeheten gekwalificeerde handtekening. De EIDAS Verordening regelt dit onderwerp en benoemt drie soorten elektronische handtekening:

  1. de gewone elektronische handtekening, zeg maar een plaatje van een krabbel;
  2. de geavanceerde elektronische handtekening, het enorme verhaal met grote priemgetallen en certificaten waar de naam in staat die erbij zou horen;
  3. de gekwalificeerde elektronische handtekening, de geavanceerde maar dan is dat certificaat met de naam uitgegeven door een onafhankelijke instantie die instaat voor de juistheid.
De EIDAS Verordening hanteert als hoofdregel dat:
Het rechtsgevolg van een elektronische handtekening en de toelaatbaarheid ervan als bewijsmiddel in gerechtelijke procedures mogen niet worden ontkend louter op grond van het feit dat de handtekening elektronisch is of niet aan de eisen voor gekwalificeerde elektronische handtekeningen voldoet.
“Dit is elektronisch en dus niet rechtsgeldig” of “een van de regels over gekwalificeerde handtekeningen is niet gevolgd” is dus geen argument. Je hebt meer nodig, zoals een concreet vermoeden dat de handtekening nep is of een technische fout waardoor de validatie ter discussie komt te staan.

Je hóeft dus niet alle moeite te nemen die bij de gekwalificeerde handtekening hoort. Daar staat tegenover dat je dan een sterker argument hebt: bij deze categorie is nadrukkelijk in de wet vermeld dat deze dient te worden behandeld net zoals de ouderwetse, natte handtekening.

Het gevolg is dat je als organisatie dus niet zomaar mag weigeren een gekwalificeerde handtekening te accepteren:

In artikel 25 lid 1 van de eIDAS-Verordening is bepaald dat het rechtsgevolg van een elektronische handtekening niet mag worden ontkend louter op grond van het feit dat de handtekening elektronisch is. Meer specifiek voor de gekwalificeerde elektronische handtekening is in artikel 25 lid 2 bepaald dat dit type handtekening hetzelfde rechtsgevolg heeft als een handgeschreven handtekening. [Oftewel deze heeft] altijd hetzelfde rechtsgevolg als een handgeschreven handtekening.
Je mag als private partij dit rechtsgevolg niet wegnemen door in je algemene voorwaarden te zeggen “alleen natte handtekeningen”. Dat is wel een interessant precedent dat het Kifid hier schept, want het opent de route tot vele digitale formulieren.

Voor deze specifieke consument ging het echter toch mis, vanwege die foutmelding.

Bij dupliek heeft DeGiro namelijk aangegeven dat zij een foutmelding kreeg (“signature validity is unknown”) bij het openen van de elektronische handtekening van de consument. DeGiro heeft dit onderbouwd door een afbeelding van deze foutmelding over te leggen (zie 2.4). De consument is in de gelegenheid gesteld om hierop in te gaan. Uit de gegevens die hij vervolgens heeft ingebracht, blijkt dat zijn handtekening van 22 oktober 2022 valide was (“la firma es válida”). Waarom de validiteit van de handtekening door DeGiro toch niet kon worden vastgesteld (en of de oorzaak hiervan bij de consument en/of bij DeGiro ligt), is in deze klachtprocedure niet duidelijk geworden. Wat wel duidelijk is, is dát de validiteit van de handtekening niet door DeGiro kon worden vastgesteld.
Dit voelt wel een beetje makkelijk. Weliswaar regelt de EIDAS niet hoe je om moet gaan met een niet-validerende handtekening, maar het systeem van de gekwalificeerde elektronische handtekening is opgezet zodat dit eigenlijk niet zou moeten gebeuren. De EU heeft een uitgebreid overzicht van vertrouwde leveranciers van certificaten. Als de uitgevende instantie van de klant daar op staat, dan zie ik niet waarom de foutmelding bij DeGiro consequenties voor de consument moet hebben.

Eerlijk gezegd doet het me wat knullig aan: het voelt niet of DeGiro een systeem heeft voor het verwerken van elektronische handtekeningen, maar gewoon het knopje in Adobe aanklikte en toen hijdoetutniet zei.

Arnoud

Mag Twitter ervoor kiezen de blockfunctie te verwijderen?

Geplaatst op in Ondernemingsvrijheid, 12 reacties
manfredrichter / Pixabay

Social media-bedrijf X, voorheen bekend als Twitter, zal een beveiligingsfunctie verwijderen waarmee gebruikers andere accounts kunnen blokkeren. Dat meldde Reuters onlangs. Althans, dit twitterde eigenaar Elon Musk, of het er echt van komt is vers twee. Maar vele mensen mailden me ongerust: kan dat echt zomaar, is daar geen wet tegen?

Het idee van Musk riep veel zorgen op, want het kunnen blokkeren van hinderlijke medegebruikers is een belangrijk middel voor een rustige gebruikservaring. Geblokkeerden kunnen je berichten niet zien, kunnen je niet taggen en verschijnen niet in je tijdlijn.

Twitter heeft nog een alternatief: “mute” (dempen). Hierbij worden berichten van die persoon niet in je tijdlijn getoond en krijg je geen melding als deze je tagt. Echter, je kunt die berichten nog steeds zien, bijvoorbeeld als je zoekt op een term. Bovendien kan de gedempte persoon jouw berichten nog lezen, doorsturen en reageren.

Het is dus discutabel welke van deze instrumenten je moet kiezen. De aanpak van Musk doet echter vrij bot aan, en je kunt je vooral afvragen waarom dit een ding is dat ineens anders moet. (De cynische interpretatie is dat Musk in de database rondsnuffelde en ontdekte dat hij heel vaak geblockt is.)

Maar mag het? De aankondiging van Musk kreeg een community note waarin werd aangegeven dat dit tegen de app-voorwaarden van Apple is: een app die “user generated content” verwerkt, moet beschikken over een “in-app system for blocking UGC and users”. Heb je dat niet, dan ga je uit de App Store. Weliswaar heeft Apple eerder een uitzondering voor X gemaakt, maar dat betrof de lengte van de naam van de app, wat toch minder impact heeft dan het kunnen blokkeren van mensen.

Apple’s voorwaarden zijn formeel geen wet, hoewel ze in de praktijk wel effectiever zijn dan de wetten van menig land. Maar ‘echte’ wetgeving is niet te vinden. De belangrijkste wet op dit gebied is de Europese Digital Services Act, maar die houdt zich vooral bezig met het bestrijden van illegale content, niet met hoe gebruikers onderling handelen. De aanname lijkt te zijn dat een VLOP echt zo gek niet is om blokkeerfuncties weg te halen.

Arnoud

 

Mag mijn werkgever Track&Trace toepassen in mijn nieuwe leaseauto?

Geplaatst op in Ondernemingsvrijheid, Privacy, Regulering, 11 reacties

Via Reddit:

Sinds vandaag een nieuwe lease auto in ontvangst mogen nemen. Ik werd echter verrast door het feit dat er track and trace is ingebouwd. De reden welke door het bedrijf wordt gegeven is dit door de belastingdienst is geeist. Ik betaal echter volledige bijtelling voor privégebruik. Onze wagenpark beheerder kan mijn locatie nu 24/7 volgen en bekijken. [Mag dat?]
Om even eruit te lichten wat ik vaker in de mail kreeg: nee, de Belastingdienst eist niet dat leaseauto’s voorzien worden van een track&trace systeem voor rittenregistratie. Men eist wél dat er een sluitende kilometerregistratie wordt bijgehouden bij zakelijke auto’s, om zo te bewijzen dat deze voor minder dan 500 kilometer per jaar privé wordt gebruikt.

Als je meer dan dat privé rijdt, dan krijg je te maken met een fiscale bijtelling en dat kan van invloed zijn op je loon. Maar aan de andere kant ben je dan juist niet verplicht een rittenregistratie bij te houden; je erkent immers al meer dan de grens privé te rijden en je aanvaardt de bijtelling.

Het probleem is: bij een grotere werkgever controleert de Belastingdienst steekproefsgewijs op privékilometers. Zoals in de discussie gemeld:

Grote werkgevers worden daar op gecontroleerd, vaak steeksproefsgewijs, en als daar fouten in worden aangetroffen wordt dat geëxtrapoleerd naar het totale wagenpark en kan dat leiden tot zeer hoge boetes. Ik heb bij een grote werkgever hier een boete van meer dan € 1 miljoen in de bus zien vallen. Voor zo’n grote werkgever is het dan handig T&T in te bouwen.
En dat inbouwen doe je dan in alle auto’s, want dat is dan een eenmalige ingreep die het minste gedoe geeft. Dat botst (haha) natuurlijk met de positie van deze werknemer, die immers geen rittenregistratie nodig heeft maar die nu wel over zich heen krijgt.

De vraagsteller maakt zich zorgen over de registratie van privéritten, waardoor de werkgever te weten zou komen waar hij privé allemaal heen gaat. Dat zou echter geen issue moeten zijn: dergelijke trackers registreren het aantal gereden kilometers en het moment waarop, niet de start- en eindlocatie van de rit.

Verder hebben deze systemen altijd een mechanisme waarmee je kunt aangeven dat je rit privé is. Er wordt dan niets bijgehouden. De werkgever moet dit soort zaken actief toelichten, inclusief hoe dat werkt en wat er in welke configuratie wordt bijgehouden.

Ook heeft de Ondernemingsraad instemmingsrecht bij een dergelijke regeling, dus je kunt ook daar navragen hoe er over privacy en gebruik van persoonsgegevens is nagedacht.

Arnoud

Standaard kopietje paspoort vragen bij inzageverzoeken mag dus écht niet van de AVG

Geplaatst op in Privacy, Regulering, 12 reacties

DPG hanteerde een te rigide procedure voor het identificeren van betrokkenen, waarmee op voorhand in ieder geval een onnodige belemmering werd opgeworpen. Zo motiveerde de rechtbank Amsterdam haar oordeel om een besluit van de AP in stand te laten, alleen dan minus de opgelegde boete. De rigide procedure: iedereen moet kopietje paspoort opsturen bij AVG-vragen.

Waarom moet ik elke keer een kopietje paspoort opsturen als ik onder de AVG wat vraag, zo vroeg ik mezelf retorisch af in 2019 alweer. Mijn cynische opvatting was dat dit bedoeld was om vragen een beetje in te dammen: het is gedoe, mensen maken zich zorgen over hun paspoort, dus laat maar met dat inzage- of correctieverzoek.

Meer juridisch is het argument dat het nergens op slaat: je krijgt een mail van [email protected] en een kopie paspoort van iemand die Carl Barks heet, leg mij eens uit hoe nu vaststaat dat de aanvraag van de heer Barks (lidnummer 176-616) afkomstig is? Een paspoort toont alleen wat aan als de houder er naast staat, volgens mij.

Natuurlijk mag je niet om extra legitimatie vragen bij een online account, zo concludeerden ze in Oostenrijk al in 2019. Maar ook onze AP bleek er toen al bovenop te zitten: uitgeverij DPG kreeg al in 2019 een boze mail van de toezichthouder over deze procedure. Na enige mailwisseling maakte de AP een rapport:

Op 7 oktober 2021 heeft verweerder het ‘Onderzoeksrapport inzake het opvragen van een kopie ID bij verzoeken om inzage of verwijdering bij DPG Media Magazines B.V., voorheen Sanoma Media Netherlands B.V.’ van 29 september 2021 aan DPG gezonden. In dat rapport heeft verweerder geconcludeerd dat DPG met haar beleid en het actief uitdragen ervan het recht op inzage en wissing belemmerde en daarmee onnodige drempels opwierp voor het inzetten van deze rechten.
Inderdaad, dat was in 2021 en ik weet ook niet waarom een rapport dat je in 2019 start, pas in 2021 af kan zijn. In januari 2022 volgde het definitieve besluit: dit mag niet, onnodige drempels, boete.

De rechtbank vindt die boete niet gepast gezien dit langdurige traject en het feit dat in 2019 de AVG nog best nieuw was (want die tekst was pas in 2016 bekend en leek totáál niet op de wet daarvoor, och hemeltje). Maar de onderliggende motivatie blijft overeind:

DPG hanteerde naar het oordeel van de rechtbank een te rigide procedure voor het identificeren van verzoekers, waarmee op voorhand in ieder geval voor een deel van de verzoeken een onnodige belemmering werd opgeworpen. Gebleken is dat er in de praktijk wel meer ruimte bestond wanneer verzoekers na het doen van het verzoek ertoe over gingen te klagen dat zij een kopie van hun identiteitsbewijs moesten verstrekken. Naar het oordeel van de rechtbank is dat echter te laat. DPG had zijn proces zo kunnen en moeten inrichten dat er in een eerder stadium meer ruimte was om rekening te houden met alle relevante omstandigheden, waaronder de aard van het verzoek en de informatie waarom wordt gevraagd.
Ik vind het dan een beetje jammer dat de rechtbank opent met dat “een kopie van een identiteitsbewijs op zichzelf geen onredelijk middel is om een persoon te identificeren”. Dat is natuurlijk zo, maar in de situaties waarin het gros van de mensen AVG-rechten uitoefent, is het gewoon een onlogisch middel. De uitspraken waar men zich op baseert, zijn dan ook nog eens bestuursrecht – in de relatie burger/overheid vind ik standaard je ID-kaart trekken inderdaad wel redelijk, maar bij burger/bedrijf is dat heel wat anders.

Ik kan me dan niet aan de indruk onttrekken dat de rechters (of de Raad van State, waar de rechtbank op vaart) minder vaak online verzoeken doen en gewend zijn dat mensen zich ter balie vervoegen om zich daar adequaat te identificeren alvorens een verzoek hen betreffende in te dienen.

Arnoud

 

 

Nederland mag verdachte achter wereldwijde malware-operatie aan VS uitleveren

Geplaatst op in Informatiemaatschappij, Regulering, 5 reacties

Nederland mag een Oekraïense man die een sleutelrol zou hebben gespeeld bij de ontwikkeling en verspreiding van de Raccoon Infostealer uitleveren aan de Verenigde Staten. Dat las ik bij Security.nl. Ik licht de zaak er even uit omdat het vaker discussie geeft bij ict- en cybercrimezaken. Wanneer kun je nou worden uitgeleverd en hoe toetst de Nederlandse rechter dat?

De Raccoon Infostealer steelt wachtwoorden en gegevens voor internetbankieren en cryptowallets en zou volgens de VS miljoenen computers wereldwijd hebben besmet. De verdachte werd door de FBI opgespoord maar bleek in Oekraïne te zijn. Na de Russische inval vluchtte hij via Polen en Duitsland naar Nederland, waar hij werd aangehouden.

De VS wil hem berechten en diende dus een uitleveringsverzoek in. (Soms zie je ook de term ‘overlevering’, dat gaat om uitleveren van personen specifiek van de ene naar de andere Europese lidstaat.) De verdachte maakte bezwaar, en dat ging tot de Hoge Raad, die het bezwaar afwees. Ik citeer vanaf hier uit de conclusie advocaat-generaal, want de HR deed de zaak zonder motivatie af.

Een uitleveringsverzoek vereist “een uiteenzetting van de desbetreffende feiten, met inbegrip, indien mogelijk, van het tijdstip waarop en de plaats waar het misdrijf werd gepleegd”. Dat is lastig bij ict-zaken: als jij in Oekraïne zit, je server ergens in Bulgarije en de slachtoffers fysiek in de VS, wat is dan de ‘plaats’? De rechtbank vond het duidelijk genoeg:

De omschrijving van de feiten is zodanig dat het voor de rechtbank mogelijk is te onderzoeken of aan alle voorwaarden voor uitlevering is voldaan en of de naleving van het specialiteitsbeginsel kan worden gewaarborgd. Verder neemt de rechtbank in aanmerking dat de feiten hebben plaatsgevonden in de digitale wereld, waardoor het begrijpelijk is dat niet in alle gevallen een concrete pleegplaats kan worden vermeld.
Die gebrekkige informatie over pleegplaatsen was ook een argument tegen jurisdictie van de VS: de malware was wereldwijd actief, dus hoezo mag de VS dan optreden? Het simpele antwoord is, omdat óók in de VS slachtoffers woonden. Er waren er vier genoemd, dat is relatief weinig maar eentje is formeel genoeg.

Ook de rol van de verdachte was duidelijk genoeg vastgelegd:

De rechtbank heeft op grond van de inhoud van de Affidavit [verklaring van de FBI, AE] vastgesteld dat de opgeëiste persoon ervan wordt verdacht sinds 2018 te hebben deelgenomen aan een criminele organisatie die zich bezighoudt met het ontwikkelen, aanbieden en verkopen van malware, te weten de Raccoon-infostealer. Die malware zou wereldwijd op grote schaal zijn gebruikt om computervredebreuk en (gegevens)diefstal te plegen. Uit de vier geconcretiseerde voorbeelden in de Affidavit volgt dat de malware ook zou zijn gebruikt ten aanzien van computers c.q. personen in de Verenigde Staten. De rechtbank heeft overwogen dat in de Affidavit het resultaat en het verloop van het onderzoek uiteen wordt gezet, dat daaruit blijkt hoe de opgeëiste persoon in beeld is gekomen en waaruit de handelingen van de opgeëiste persoon, zijn vermeende rol en zijn aandeel in het strafbare feit hebben bestaan en dat het op grond daarvan van oordeel is dat voldaan is aan de eis van art. 9 lid 3 aanhef en onder b van het Verdrag.
Inhoudelijk is er dan genoeg om te veronderstellen dat iemand in de VS vervolgd zou worden voor dit feit, en omdat het tenlastegelegde ook in Nederland strafbaar is, is er dan eigenlijk geen reden meer tegen uitlevering.

Dan blijven over persoonlijke omstandigheden. In dit geval worstelde de verdachte met gezondheidsproblematiek en psychische problemen. Dit kwam vervolgens bij de rechtbank Den Haag met het verzoek hierom de uitlevering tegen te houden.  Het argument is dan dat de omstandigheden in het vragende land zo ernstig zijn dat uitlevering leidt tot onmenselijke behandeling, artikel 3 EVRM dat ook marteling noemt, maar het gaat dus ook om mensonterende omstandigheden zoals geen toegang tot gezondheidszorg.

De rechtbank oordeelde anders:

De voorzieningenrechter verwerpt ook het betoog van [eiser] dat de door de Amerikaanse autoriteiten gegeven garanties niet voldoen aan de daaraan te stellen eisen. Daargelaten dat [eiser] niet aannemelijk heeft gemaakt dat hij bij uitlevering een reëel risico loopt op schending van artikel 3 EVRM, geven de strikt genomen niet noodzakelijke garanties [eiser] wel meer zekerheid over (onder meer) de detentieomstandigheden en de toegang tot medische zorg. Zo nodig kan [eiser] met consulaire bijstand – ook wanneer dat bijstand van [land] betreft – nakoming van deze garanties bevorderen. Weliswaar heeft [eiser] zich terecht op het standpunt gesteld dat de Staat nakoming van dergelijke garanties niet zelf monitort, maar daar staat tegenover dat er geen gevallen bekend zijn waarin de Verenigde Staten gegeven garanties niet zijn nagekomen.
Dat laatste is natuurlijk vaak een zorg: ze kunnen wel zo veel zeggen in dat vragende land, maar hoe weet je dat ze dat ook echt doen? Daar staat tegenover dat er weinig tot geen onderzoeken zijn waaruit blijkt dat het misgaat, terwijl er toch genoeg mensen uitgeleverd worden.

Arnoud