Slim speelgoed, grote vragen: Ben je klaar voor de juridische puzzel?

Geplaatst op in Regulering, 1 reacties

Oké, deze landt op je bureau: een nieuwe lijn slim speelgoed, uitgerust met AI-functies, zoals stemherkenning en gepersonaliseerde interactie, waardoor kinderen een bijna levensechte ervaring beleven. De vraag aan jou: welke compliance issues moeten we aan voldoen? AVG, AI Act, AI Liability Directive, Cyber Security Act, noem ze maar op.

Door gebruik te maken van deep learning kan speelgoed de voorkeuren van het kind herkennen en daarop reageren. Bovendien kunnen updates via het internet worden gedownload om de functionaliteiten te verbeteren. Feedback kan worden gedeeld en kinderen kunnen samen spelen en unieke nieuwe trucs en toepassingen met elkaar delen. Als ouder zou ik hier best enthousiast van worden, als jurist zie ik hier ahem nogal wat vragen. Bijvoorbeeld:

    1. Hoe borg je als speelgoedfabrikant dat de AI-functies van het speelgoed in lijn zijn met de AI Act, zoals transparantie, fairness en mensenrechten?
    2. Welke nieuwe aansprakelijkheidsrisico’s komen er onder de AI Liability Directive?
    3. Hoe stel je vast dat het speelgoed veilig is tegen cyberaanvallen, vooral met de aankomende eisen van de Cyber Security Act?
    4. Hoe wordt de privacy en persoonsgegevens van kinderen beschermd?
    5. Moeten de onderliggende API’s toegankelijk zijn voor concurrenten, op grond van de DSA, DMA of aankomende Data Act?
Voor juristen is het van cruciaal belang om techniek te begrijpen en dit te kunnen combineren met wetgeving. Daarom biedt mijn ICTRecht Academy een aantal specifieke opleidingen toegespitst op de ICT-praktijk. De opleidingen gaan vanaf eind september van start. Je leert blended: met webinars en e-learnings maak je je de basis eigen en ontwikkel je je skills, en met praktijkdagen ga je casusgestuurd de diepte in.

Zie ik je daar?

Arnoud

Amsterdamse politie krijgt steeds vaker meldingen van gestolen spullen door tracker

Geplaatst op in Informatiemaatschappij, Regulering, 33 reacties

De Amsterdamse politie krijgt steeds vaker meldingen binnen van bedrijven en mensen die weten waar hun gestolen spullen zijn. Dat meldde de NOS onlangs. Dit omdat steeds meer mensen een tracker bij hun apparaten verstoppen. Maar wel frustrerend om te lezen: “Een melding is niet altijd een reden om in actie te komen.”

Het tracken van mensen of spullen is de laatste jaren sterk in opmars. De technologie wordt steeds toegankelijker, met name door Apple’s introductie van AirTag, een decentraal netwerk waarbij iedereen met een appelapparaat meehelpt signalen door te geven. Er zijn al vele zorgen over stalking met zulke tags.

Een praktisch probleem met trackers is dat ze wel een locatie kunnen geven, maar die is niet altijd geheel accuraat. Dat is de belangrijkste reden dat de politie geen gouden bergen wil beloven:

“Als een tag in beweging is, is het voor ons makkelijker om in actie te komen dan wanneer hij niet in beweging is”, zegt [politiewoordvoerder Marcel Baas]. “Amsterdam is een grote stad, overal staan flatgebouwen. Hoe moet ik dan weten in welke woning het voorwerp zich bevindt?”
Een bijkomend probleem is dat juridisch gezien het terugvinden van een gestolen voorwerp niet automatisch betekent dat je hem weer mag meenemen. Het is namelijk (in theorie) mogelijk dat dit voorwerp ondertussen echt eigendom van een ander is geworden.

Hoofdregel is natuurlijk dat je je eigendom kunt opeisen als dat ten onrechte bij een ander is (art. 5:2 BW, revindicatie). Echter, de wet (art. 3:86 BW) noemt als uitzondering de situatie dat de verkrijger (niet de dief zelf) de fiets kocht voor een geldbedrag en te goeder trouw was. Je kunt de fiets dan terugeisen bij die verkrijger, tenzij

de zaak door een natuurlijke persoon die niet in de uitoefening van een beroep of bedrijf handelde, is verkregen van een vervreemder die van het verhandelen aan het publiek van soortgelijke zaken anders dan als veilinghouder zijn bedrijf maakt in een daartoe bestemde bedrijfsruimte, zijnde een gebouwde onroerende zaak of een gedeelte daarvan met de bij het een en ander behorende grond, en in de normale uitoefening van dat bedrijf handelde
In normaal Nederlands: als een consument de zaak heeft gekocht bij een professioneel winkelier die handelde vanuit een winkel, dan is deze beschermd en heeft zhij de fiets legaal verkregen. De bestolene heeft dan pech en kan alleen de dief nog aanspreken voor de waarde van de fiets.

Dit is de reden dat politiediensten terughoudend zijn bij “hij staat daar”-meldingen, zelfs als de locatie duidelijk is. Dit is natuurlijk ter bescherming van die te goeder trouw handelende consument, maar ik heb wel altijd mijn vraagtekens bij hoe váák dat nou gebeurt en in hoeverre je daar nou rekening mee moet houden.

Enerzijds, je wilt niet mensen die in de winkel een fiets kopen aanpakken alsof ze heling hebben gepleegd. Anderzijds, je wilt niet dat gestolen waar verdwijnt vanwege een theoretische mogelijkheid dat de fiets legaal bij de huidige verkrijger is.

Arnoud

Wat is de Business Source License nou weer en waarom zou je dat willen?

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 2 reacties

HashiCorp, de maker van een aantal deployment-automation tools, heeft haar software overgezet op de zogeheten Business Source License (BSL). Dat meldde The Register onlangs. Deze vreemde eend in de opensourcebijt roept veel discussie op, dus laten we eens kijken wat hiermee juridisch aan de hand is.

De BSL is in 2020 opgesteld door het bedrijf MariaDB als een reactie op het dilemma van diensten-bovenop-open-source. Dat is soms wat ingewikkeld: je concurrent kan al je software nemen en daarmee dezelfde dienst neerzetten, zodat je unieke selling points niet echt uniek meer zijn.

Natuurlijk kun je dan overstappen op een traditionele ‘gesloten’ licentie, maar dat heeft dan weer als nadeel dat je niet echt een community kunt creëren van mensen die bijdragen doen (zoals bug fixes of integraties met andere software). Om uit dat dilemma te komen, kiest de Business Software License voor een specifieke beperking:

The Licensor hereby grants you the right to copy, modify, create derivative works, redistribute, and make non-production use of the Licensed Work. The Licensor may make an Additional Use Grant, above, permitting limited production use.
Hier staat dus: alleen gebruik voor experimenteren, testen en dergelijke irrelevante zaken. Voor het echte werk moet je je houden aan de “Additional Use Grant”:
You may make production use of the Licensed Work, provided such use does not include offering the Licensed Work to third parties on a hosted or embedded basis which is competitive with HashiCorp’s products.
Het unieke is die insteek van “which is competitive”. Je mag er dus alles mee doen, tenzij het concurrerend is met wat HashiCorp doet.

Er zit een tijdsgebonden uitzondering op: wordt de software vier jaar oud, dan gaat ‘ie naar de basisschool Mozilla Public License (MPL). Tegen die tijd is het concurrerende er echt wel af, zo mag je verwachten.

Mag dit? Ja, op zich natuurlijk wel. Of het echt effectief is? Het is nu niet meer mogelijk om combinaties van deze software met MPL (of andere open source) te maken, wat het bijdragen zeker niet stimuleert. Bug fixes zullen vast nog wel blijven komen, maar de impact daarvan zal een stuk minder zijn.

De discussies bij YC geven weinig hoop op een goede afloop. De consensus lijkt te zijn dat je hiermee als bedrijf je echt uit de open source wereld terugtrekt.

Arnodu

 

 

Mag ik op workation naar een AVG-technisch inadequaat land?

Geplaatst op in Ondernemingsvrijheid, Privacy, 23 reacties

Een lezer vroeg me:

Ik ben directeur van een softwareontwikkelbedrijf en wil mijn mensen toestaan op een werkvakantie (“workation”) te gaan. De locatie kan Mexico zijn, maar dat schijnt AVG-technisch ingewikkeld te worden. Wat zijn de regels met laptopwerk in het buitenland? We hebben VPN verbindingen als dat uitmaakt.
Een workation is een vrij nieuw fenomeen waarbij mensen vanaf een vakantielocatie gaan werken, en dat combineren met vakantievieren. Dit begint populair te worden, maar het roept ook vragen op.

Onder de AVG is werken vanaf een vakantielocatie niet anders dan andere vormen van werken op afstand. De regels zijn dus nog steeds simpel: persoonsgegevens mogen niet naar buiten de Europese Economische Ruimte, tenzij het land adequaat is verklaard. Mexico staat daar niet op dus het wordt Argentinië of Japan dan, als je het simpel wilt houden.

En ja, je exporteert persoonsgegevens (“draagt over”) in de zin van de AVG als je een laptop met die dingen naar een vakantieland meeneemt, of als je vanuit dat vakantieland jezelf toegang verschaft tot de gegevens. Ook als je alleen maar via een remote tool toegang hebt en de server in Nederland staat. Je kunt ze zien in Mexico, dan zijn ze geëxporteerd naar Mexico.

Juridisch speelt dan nog wel de vraag of sprake is van overdracht wanneer de persoonsgegevens feitelijk het bedrijf niet verlaten. Een werknemer die persoonsgegevens krijgt, doet dat namens het bedrijf en niet op persoonlijke titel. De samenwerkende AVG-toezichthouders menen dat deze situatie géén vorm van overdracht is wanneer het gaat om een werknemer.

Als je tijdens je werk de toegang tot persoonsgegevens weet te vermijden, dan speelt dit natuurlijk niet. Bij een softwareontwikkelaar kán ik me daar wat bij voorstellen, al blijf je altijd zitten met zaken als accounts van anderen, teamoverleg via chatdiensten en mailtjes met verzoeken.

Arnoud

 

Hoge Raad: rechter mag Frans bewijs uit gehackte cryptotelefoons gebruiken

Geplaatst op in Regulering, Security, 12 reacties

Nederlandse rechters mogen erop vertrouwen dat in Frankrijk ontsleutelde berichten uit gehackte cryptotelefoons als bewijs kunnen dienen in strafzaken. Dat meldde de NOS alweer een maandje geleden. De Hoge Raad bevestigt daarmee dat de vele Nederlandse zaken met afgetapte cryptogesprekken door kunnen gaan, en gaat voorbij aan de bezwaren van de vele verdachten in die zaken.

Sinds 2021 worden er vele strafzaken gevoerd waarbij chats uit de diensten Encrochat en SkyECC worden gebruikt als bewijs. Ik blogde toen:

De precieze details van de hack zijn nog steeds onduidelijk, maar het komt erop neer dat de Franse Justitie in samenwerking met de Nederlandse politie binnen wist te dringen in de infrastructuur van Encrochat en van daaruit malware op de telefoons wist te pushen. Althans, malware voor de criminelen – voor de politie was het natuurlijk een legitieme afluister- en kopieertool. Aldus wist men vele, heel vele criminele transacties en overleggen te pakken te krijgen, wat tot een golf aan arrestaties en strafzaken leidde.
De discussie gaat erover of de Franse justitie dit wel legaal (naar Frans strafvorderingsrecht) had uitgevoerd. En als dat niet het geval bleek, wat de Nederlandse rechter dan zou mogen doen met dit onrechtmatig verkregen bewijs.

De Hoge Raad beëindigt nu de discussie door uit te gaan van nationale soevereiniteit:

Het behoort niet tot de taak van de Nederlandse strafrechter om te toetsen of de wijze waarop het onderzoek onder verantwoordelijkheid van de buitenlandse autoriteiten is uitgevoerd, strookt met de rechtsregels die gelden in het betreffende land voor het uitvoeren van dat onderzoek. Zou de Nederlandse strafrechter wel tot zo’n toetsing overgaan, dan levert dat een aantasting op van de soevereiniteit van dat land. … Om deze redenen worden de beslissingen van de buitenlandse autoriteiten die aan het verrichte onderzoek ten grondslag liggen, gerespecteerd en wordt ervan uitgegaan dat het onderzoek rechtmatig is verricht. Dat is uitsluitend anders als in het betreffende land onherroepelijk is komen vast te staan dat het onderzoek niet in overeenstemming met de daarvoor geldende rechtsregels is verricht.
Dit geldt ook wanneer je als verdachte stelt dat het onderzoek van die buitenlandse autoriteit je grondrechten schendt uit het EVRM of andere verdragen. Want ook een toetsing van zo’n schending is een schending van soevereiniteit – daar mogen de Fransen zélf over nadenken.

Het maakt hierbij niet uit of er Nederlandse politiemensen hebben meegeholpen bij het onderzoek. Als het onderzoek formeel wordt uitgevoerd door Frankrijk, dan vallen die Nederlanders onder het Franse strafprocesrecht en wordt het geheel beoordeeld naar Frans recht.

Een vervolgpunt is de controleerbaarheid van het bewijs. Als verdachte moet je kunnen controleren wat er tegen je wordt gebruikt, maar in de praktijk blijkt dat nogal moeilijk met die berichten. Hoe veel rechten heb je, moet je volstaan met de Excelsheet die het OM je geeft of mag je de ruwe data door een eigen onderzoeksinstelling laten doorzoeken?

De Hoge Raad danst een beetje om het punt heen:

Voor de beoordeling of een verzoek van de verdediging tot het voegen van stukken bij de processtukken voldoende is onderbouwd, is mede van belang of en, zo ja, op welke wijze door het openbaar ministerie al faciliteiten aan de verdediging zijn geboden om de in de zaak beschikbare digitale databestanden te raadplegen. Waar het gaat om de beoordeling door de rechter-commissaris op grond van artikel 34 lid 4 Sv of om de uitvoering door de rechter-commissaris van het door de zittingsrechter gelaste nadere onderzoek, staat geen rechtsregel eraan in de weg dat, in het geval dat voor het raadplegen of onderzoeken van grote digitale databestanden specifieke technische kennis is vereist, de rechter-commissaris zich laat bijstaan door een op dat terrein deskundige persoon.
Hiermee lijkt de HR genoeg ruimte te laten voor de huidige praktijk: je krijgt een lijst met de chats die men als primair bewijs tegen je gebruikt, je mag concrete vragen stellen waar je dan nadere datadumps van krijgt, maar de ruwe data die blijft in het systeem.

Arnoud

 

OpenAI gaat verbod op crawling in robots.txt respecteren

Geplaatst op in Innovatie, Intellectuele rechten, Ondernemingsvrijheid, 2 reacties

OpenAI’s crawler gaat een regel in de robots.txt-file van websites respecteren als daarin staat dat de crawler niet welkom is. Dat meldde Tweakers dinsdag. Daarmee hebben uitgevers een praktische optie om te voorkomen dat OpenAI haar GPT-taalmodel verbetert met hun content, wat dan weer aansluit bij de Europese Auteurswet.

Al sinds generatieve AI en met name de grote taalmodellen een hype zijn, worstelt men met de vraag hoe dat nou zit, heel internet downloaden en daar een statistiekgedreven model van maken. Mag dat, mag dat niet, of mag het tenzij mensen piepen van niet?

Internetrecht herhaalt zich niet maar rijmt: bij de opkomst van zoekmachines speelde precies dezelfde discussie. Mag een “crawler” of “web spider” (toen nog met aanhalingstekens) zomaar je hele site downloaden en daar een zoekmachine mee voeden, moeten ze toestemming vragen of moet jij bezwaar kunnen maken. Daar is robots.txt als compromis voor gekomen: jij noteert waar de robots niet mogen komen, prima als je je hele site uitsluit, maar wie niets zegt, staat alles toe.

Diezelfde oplossing wordt nu aangehaald om het probleem van de AI-crawlerbots op te lossen. Noteer hun namen en zeg waar ze niet mogen komen, en dan beloven ze weg te blijven. Dat kan, en sluit zelfs aan bij de Europese benadering van auteursrecht rondom datamining (art. 15o Auteurswet):

Onverminderd het bepaalde in artikel 15n wordt een reproductie in het kader van tekst- en datamining niet als inbreuk op het auteursrecht op een werk van letterkunde, wetenschap of kunst beschouwd mits degene die de tekst- en datamining verricht rechtmatig toegang heeft tot het werk en het auteursrecht door de maker of zijn rechtverkrijgenden niet uitdrukkelijk op passende wijze is voorbehouden, zoals door middel van machinaal leesbare middelen bij een online ter beschikking gesteld werk.
In gewoon Nederlands staat hier dat je mag dataminen (en dus ook je taalmodel voeden) als je legaal bij de content kon en je geen opt-out hebt genegeerd. Een robots.txt-vermelding is een goede manier om zo’n opt-out aan te geven, dus dan komt het neer op “je mag dataminen behalve waar de robots.txt jou weert”.

Een praktisch probleem hiermee (net zoals bij de oude crawlers) is dat het alleen werkt bij robots die jou bekend zijn. Ik kan nu GPTbot buiten houden, maar hoe heet de robot van Google Bard of van Microsoft Bing? En welke robot gebruikt die Nederlandse startup die nu alle juridische sites aan het crawlen is?

Daarnaast is er het meer fundamentele punt dat we destijds bij zoekmachines op dit compromis zijn uitgekomen omdat het ergens een faire deal was. Weliswaar gebruiken ze je content zonder te vragen (laat staan te betalen) maar het resultaat was ook voor jou (en de maatschappij) nuttig, want er komen meer bezoekers en allerlei informatie wordt ontsloten.

Dat laatste lijkt op zijn zachtst gezegd wat indirecter bij AI modellen die drijven op internetcontent. Wat geeft Midjourney precies terug aan de artiesten op wiens werk die plaatjes worden gebaseerd? Wat heb ik als jurist aan een betere GPT op juridisch vlak?

Arnoud

 

Moeten wij toestemming vragen om support te leveren in mensen hun mailboxen?

Geplaatst op in Ondernemingsvrijheid, Privacy, 10 reacties

Een lezer vroeg me:

Mijn werkgever levert onder andere maildiensten aan particuliere klanten. Het gaat hier doorgaans om een doelgroep die internet ziet als noodzakelijk kwaad en een beperkte kennis rondom de digitale wereld heeft. Bij sommige problemen is het noodzakelijk dat onze leverancier in de mailbox van de klant kijkt. De leverancier verlangt dat wij toestemming vragen aan de klant. Ik heb daar moeite mee, want deze doelgroep begrijpt dat niet, dus hoe veel betekenis mag je daar aan hechten?
De vaste lezers van deze rubriek weten ondertussen wel dat ik weinig waarde hecht aan toestemmingsvragen. Cases als deze laten zien waarom. Zonder de toestemming kan de leverancier niet werken, dus die toestemming moet en zal gegeven worden. Van vrijheid kun je dus niet spreken, of zelfs maar van onderhandelingsruimte.

Toestemming bij ICT-diensten is juridisch te herleiden tot twee wettelijke regelingen, namelijk de AVG en de cookiewet. Die laatste is formeel artikel 11.7 Telecommunicatiewet en regelt veel meer dan cookies: iedere vorm van opslaan of uitlezen van gegevens op iemands randapparaat valt eronder.

Hoofdregel is dat je toestemming nodig hebt om zoiets te doen, of dat nou een tracking cookie is of een softwareupdate. Maar er zijn uitzonderingen. Voor diensten als van de vraagsteller relevant is lid 3 sub b: “[opslag of uitlezen] die strikt noodzakelijk is om de door de abonnee of gebruiker gevraagde dienst van de informatiemaatschappij te leveren”.

Oftewel: als het opslaan of uitlezen van informatie echt nodig is voor wat de gebruiker wil, dan mag je dat gewoon doen. Natuurlijk moet je wel onderbouwen dát het noodzakelijk is, maar dat lijkt me voor zich te spreken bij diensten als deze. (Een dienst van de informatiemaatschappij omvat grofweg iedere dienst via internet, zoals remote support.)

Omdat je bij zulke diensten ook persoonsgegevens tegenkomt, is de AVG ook relevant. Ook daar staat toestemming als eerste in de lijst met grondslagen, maar in dit geval zou ik meteen naar de grondslag “noodzaak uitvoering overeenkomst” gaan. Het leveren van support hoort bij de levering van de maildienst, en nu de dienst het niet doet, moet er iemand in de mailbox. Een mooier voorbeeld van ‘noodzaak’ zou ik zo even niet kunnen bedenken.

Alles bij elkaar (ik lijk ChatGPT wel) zie ik dus werkelijk niet in waarom je mensen om toestemming zou vragen voor toegang tot hun mailbox in het kader van support. Natuurlijk méld je wel dat je dat gaat doen, dat volgt uit je zorgplicht als dienstverlener en uit de informatieplichten van de AVG.

Arnoud

“Wij gaan AI trainen op je data”, mag dat zomaar in gebruiksvoorwaarden opgenomen?

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, Privacy, 7 reacties

Als je erop gaat letten, zie je het overal: gebruiksvoorwaarden (TOS, EULA, hoe je het noemt) die ineens benoemen dat gegevens verkregen door of dankzij de dienst mogen worden gebruikt voor het trainen van AI of ML systemen. Recent nog bij videodienst Zoom (dank, tipgever). Wat natuurlijk de vraag geeft: mag dat zomaar?

Hoofdregel van het recht is contractsvrijheid, dus in beginsel mag je doen wat je wil met gegevens die je bij een dienst verzamelt. Maar wanneer het gaat om persoonsgegevens, dan ligt dat andersom: dat mag niet, tenzij je (onder de AVG) kunt aantonen van wel en waarom en met welke goede reden.

Mag dat van de AVG, wordt dan de vraag. Alleen als je een zogeheten “legitiem belang” rond krijgt, en daar zie ik wel argumenten voor: het gaat in feite om statistische analyse van grote hoeveelheden gebruikers, die niet wordt gebruikt om een individueel persoon te beoordelen, aan te spreken of op welke wijze dan ook te beïnvloeden. Ik zie niet meteen wat daarop tegen zou zijn. (De AI zelf kan natuurlijk allerlei nadelen hebben, maar dat is een andere discussie.)

Een ander bezwaar kan zijn dat je als gebruiker auteursrecht hebt op de data die je uploadt. Bij Zoom is dat discutabel, de video-opname van een overleg op afstand lijkt me geen auteursrechtelijk beschermd werk. Maar als een fotohostingsite dit zou doen, dan zou men wél tegen het auteursrecht aan kunnen lopen. Alleen is daarvan al lange tijd aangenomen dat dat mag, een onbeperkte licentie opeisen in algemene voorwaarden. Dus waarom niet voor AI trainen?

In Europa wordt nu gewerkt aan de Data Act, een nieuwe Verordening die toegang tot met name internet-of-things apparatendata gaat reguleren. Deze wet is nog niet af (zie dit bizar maar verhelderende overzicht) maar bevat geen bepalingen over het gebruik van data door de dienstaanbieder jegens de partij waar de data van verkregen zijn.

Alles bij elkaar zie ik dus niet meteen fundamentele bezwaren tegen wat hier gebeurt. En dat zit hem er dus met name in dat de AI generieker is dan die ene gebruiker, zodat je niet kunt zeggen dat jouw gegevens tegen jou gebruikt worden.

Arnoud

Mag ik statistiek bedrijven op de HR-dossiers om het verloop te meten?

Geplaatst op in Ondernemingsvrijheid, Privacy, 3 reacties
3844328 / Pixabay

Een lezer vroeg me:

Binnen het bedrijf waar ik Privacy Officer ben, heb ik de vraag gekregen of wij gegevens van personeelsdossiers mogen gebruiken voor het trainen van een machine learning model dat zoekt naar oorzaken van verloop van medewerkers. Uiteraard worden namen en adressen weggelaten, maar desondanks worstel ik met de vraag of dit wel mag gezien doelbinding, informatieplichten en proportionaliteit?
Er zijn grofweg twee manieren om op basis van persoonsgegevens een machine-learning analyse te doen:
  1. Binnen de AVG, waarbij je te maken krijgt met beperkingen zoals doelbinding en grondslagen.
  2. Buiten de AVG, waarbij die beperkingen niet gelden maar je wel écht anonieme data moet hebben.
Het idee dat je door namen en adressen weg te laten “anonieme” gegevens krijgt, is natuurlijk volstrekt naïef. Gegevens blijven persoonsgegevens zolang je ze nog direct of indirect terug kunt vertalen naar de personen. Een lijst van bijvoorbeeld verzuimdata over de jaren 2021-2023 is uniek voor een specifieke medewerker, en daarmee ook een persoonsgegeven als je diens naam of personeelsnummer weglaat.

De standaard truc is om die data vervolgens te gaan husselen, zodat het niet meer het patroon van een specifieke werknemer is. Dan heb je de data in AVG-termen echt geanonimiseerd, alleen heb je dan ook meteen alle waardevolle informatie weggegooid want het gaat juist om patroonanalyse om te herkennen waar verloop aan kan liggen. Ik zie dan ook niet hoe je dit kunt doen buiten de AVG om.

Binnen de AVG is het een stuk lastiger. Doelbinding wordt snel genoemd: die HR-gegevens (zoals in- en uitkloktijden) verzamelde je voor een heel ander doel. Alleen bepaalt artikel 5 lid 1 sub b AVG dat specifiek bij gebruik voor statistische doeleinden er géén sprake is van onverenigbaarheid. Maar de overige bepalingen van de AVG blijven gewoon staan, zoals recht van inzage en verwijdering en natuurlijk uitleg over wat je doet met die gegevens.

Te overwegen is dan ook dit uit te besteden bij een extern bureau. Die kunnen via artikel 44 Uitvoeringswet AVG de rechten van inzage (artikel 15 AVG), correctie (artikel 16 AVG) en beperking (artikel 18 AVG) buiten toepassing laten wanneer zij voorzieningen hebben getroffen om te zorgen dat de gegevens ook werkelijk alleen voor hun onderzoeksdoeleinden worden gebruikt. Dit maakt de praktijk iets makkelijker.

Een algemeen probleem blijft natuurlijk de betrouwbaarheid van zo’n data-analyse, zeker als je dat doet op basis van data van één bedrijf. Zorgen voor goede statistische betrouwbaarheid is ook een AVG eis (juistheid, behoorlijkheid, art. 5) en wie met kleine datasets statistiek bedrijft, kan daar flink de neus tegenaan stoten.

Arnoud

Bitcoinbeurs Crypto.com mag legaal in Nederland aan de slag

Geplaatst op in Regulering, 2 reacties

Crypto.com heeft een registratie bij De Nederlandse Bank gekregen, omdat het aantoonde aan de antiwitwaseisen van de toezichthouder te voldoen. Dat meldde Nu.nl onlangs. Het is opmerkelijk, omdat concurrerende cryptobeurs Binance géén vergunning, pardon registratie kreeg. Wat was het verschil?

Binance zag zich in juni genoodzaakt terug te trekken uit de Nederlandse markt. Concurrenten speelden daarop in, en Crypto.com kan met haar registratie nu snel schakelen.

In het Nu.nl-bericht duikt zowel de term ‘vergunning’ als ‘registratie’ op als synoniemen. Dat is natuurlijk juridisch onjuist: een registratie is een mededeling van de registrant (zoals bij de KvK, ik ben vanaf nu een bedrijf) en een vergunning is een gunst áán de registrant (jij mag vanaf nu taxidiensten leveren). Aan vergunningen kunnen inhoudelijke eisen zitten (zoals kwaliteitseisen), een registratie heeft hooguit wat formele punten.

Tegelijk snap ik de verwarring wel: in de praktijk is de opstelling van DNB haast niet te onderscheiden van een vergunningsprocedure. Zoals specialist Simon Lelieveldt regelmatig betoogt, hoewel de wet ‘registratie’ zegt worden er toch echt vergunningseisen gehanteerd.

Een recent nieuwsbericht op de website van DNB toont echter dat zij toch aansturen op een toetsing vooraf, op basis van eisen identiek aan de vergunningeisen die voor trustkantoren gelden. DNB verwijst namelijk naar de term Systematische Integriteitsrisicoanalyse (SIRA), een specifieke vergunningseis onder financieel toezicht. Het is een begrip dat in de anti-witwaswet die voor bitcoinbedrijven geldt, niet te vinden is.
De eis blijkt een copypaste van regels voor trustkantoren, die wel degelijk een vergunning nodig hebben. Dat voelt dus een tikje raar: als een registratieplicht genoeg zou zijn (volgens de wetgever), waarom dan toch die strengere eisen? Vermoedelijk vindt DNB de cryptowereld toch wat cowboy-achtig, een standpunt dat ik zeker wel kan delen, en zoekt men daarom toch naar instrumenten om de scherpste randjes eraf te halen.

Arnoud