Mag de winkel een verkeerd geretourneerd product weggooien?

Geplaatst op in Ondernemingsvrijheid, 86 reacties
Clker-Free-Vector-Images / Pixabay

Zo lachwekkend dat ik er misschien wel over wil bloggen, was de vraag:

Recentelijk hebben mijn vriendin en ik een identieke Apple Watch besteld met beide onze eigen accounts. Ik besloot de mijne te retourneren. 2 weken later kreeg ik bericht dat het serienummer niet overeen kwam en kwam ik dus erachter dat ik de verkeerde Apple Watch had terug gestuurd. “Voor de veiligheid van hun medewerkers” zou het retour gestuurde pakketje weggegooid worden. Mag dit zomaar?
Korte antwoord: hahaha inderdaad, nee natuurlijk niet.

Op zich mag een winkel met een geretourneerd product doen wat ze willen, maar natuurlijk gaat dat niet op als het ontvangen product niet het juiste is. Vergissingen kunnen gebeuren, en alleen al vanuit de redelijkheid en billijkheid geef je dan een seintje en overleg je hoe dit op te lossen.

Het kan natuurlijk dat de winkel het niet gezien heeft, maar dat is hier niet aan de orde: de serienummers zijn gecontroleerd, dus men wíst dat het niet het bestelde horloge was die werd geretourneerd.

Wat had moeten gebeuren, is dat de winkel contact opneemt met de vraagsteller om te melden dat het verkeerde product is geretourneerd. Ik snap dat de winkel die niet wil accepteren, men kan immers niet zien of dat een ouder model is of wat er mee gebeurd is sinds de aankoop. De vraagsteller moet dan alsnog het beoogde horloge retourneren, of zou eventueel af kunnen zien van de annulering.

Dat verkeerd opgestuurde horloge moet natuurlijk terug. En omdat dit een fout was van de consument, moet deze zorgen dat het terugkomt – op zijn kosten dus. Hij kan ook afzien van retour, en dan mag de winkel met het product doen wat deze wil.

Arnoud

 

FIOD en OM halen IPTV-dienst offline die 10.000 zenders en Netflix aanbood

Geplaatst op in Intellectuele rechten, Regulering, 25 reacties

De Nederlandse FIOD heeft samen met het Openbaar Ministerie een grote IPTV-dienst offline gehaald, las ik bij Tweakers. De streams werden aangeboden vanaf een datacenter in Den Helder, en omvatte ruim 10.000 tv-zenders en streamingdiensten als Netflix, Viaplay, Videoland, ESPN en Disney+. Dat tientje per maand ben je kwijt als afnemer van die dienst, maar echt zorgen maken over strafvervolging hoeft nou ook weer niet.

De FIOD kwam in beeld omdat het bedrijf inkomsten op grote schaal witwaste, en zoals iedereen weet wordt je uiteindelijk altijd gepakt op de belastingen (hoi Al Capone). Er is bij mijn weten geen actieve strategie om achter IPTV-aanbieders aan te gaan vanuit het Openbaar Ministerie, wat natuurlijk te maken heeft met het feit dat die aanbieders zelden in Nederland gevestigd zijn. Staand beleid is al lange tijd dat men alleen ingrijpt bij bedreiging volksgezondheid, banden met georganiseerde misdaad of grootschalige piraterij die de markt verstoort. En dat is niet direct aan de orde bij zo’n IPTV dienst.

Opzettelijke inbreuk op auteursrecht is een misdrijf (art. 31 Auteurswet), en omdat downloaden uit illegale bron ook niet mag, geldt dit formeel dus ook voor welbewust downloaden uit illegale bron. Wie 10 euro per maand betaalt en daarvoor toegang tot 10.000 zenders verwacht, is volgens mij echt welbewust de wet aan het overtreden. Tegelijkertijd: het opsporen is de moeite niet waard, dus dat zal echt niet gebeuren.

Een leuke discussie ontspint zich nog in de comments bij Tweakers: dit had niet gemogen, er is geen sprake van omzetverlies et cetera want de mensen die dit afnemen willen eigenlijk vooral buitenlandse zenders/aanbod kijken dat hier niet legaal te krijgen is. Plus, als je dit allemaal legaal afneemt is het veel te duur – je kunt al snel aan 60 tot 100 euro per maand zitten als je al die diensten afneemt.

Ik vind het moeilijk sympathie voor die argumenten op te brengen. Met name dat “buitenlandse zenders” voelt als een te gezocht argument. Maar goed.

Arnoud

 

Dit is dus hoe je als jurist niét ChatGPT moet gebruiken (en ik leer je hoe wel)

Geplaatst op in Ondernemingsvrijheid, Security, 11 reacties

Een advocaat uit New York gebruikte ChatGPT om een verweer in te dienen bij een letselschadezaak, en dat ging ongeveer zoals je zou verwachten: de volgendewoordvoorspeldienst genereerde een imposant stukje proza inclusief relevante zaken en verwijzingen naar wetsartikelen, die allemaal niet bleken te bestaan. Excuses zijn aangeboden, maar toch. Wut.

De zaak kwam aan het rollen nadat advocaat Steven Schwartz (30 jaar ervaring) vliegmaatschappij Avianca Airlines had aangeklaagd vanwege letselschade bij een cliënt. Nadat de maatschappij verweer had gevoerd, diende Schwartz een uitgebreide repliek in waarbij hij meende te mogen profiteren van geavanceerde generatieve Artificial Intelligence die in luttele minuten doodsaai juridisch werk transformeerde in een intellectuele ervaring.

Ik vergat er trouwens nog bij te zeggen dat nadat de wederpartij verzocht om kopieën van deze beweerdelijke jurisprudentie, Schwarts deze aan ChatGPT opvroeg en de resultaten opstuurde. Dat viel niet in goede aarde bij de rechter, die dus nu aanstuurt op sancties tegen de advocaat.

Wat ging hier mis? Zoals hij zelf uitlegt:

Schwartz, in an affidavit, said that he had never used ChatGPT as a legal research source prior to this case and, therefore, “was unaware of the possibility that its content could be false.” He accepted responsibility for not confirming the chatbot’s sources. Schwartz is now facing a sanctions hearing on June 8.
We hebben hier een paar keer discussies gehad over of mensen al dan niet snappen wat ChatGPT is en hoe je het kunt gebruiken. Ik proef dan altijd een toon van ongeloof dat mensen zouden denken dat het wáár is wat eruit komt. Deze zaak laat volgens mij geen geïsoleerd one-in-a-million incident zien, maar eerder toevallig de eerste die betrapt werd.

Voor de duidelijkheid: GPT snapt niets van tekst, heeft geen idee wat een docket number is of zelfs maar wat het verschil is tussen een werkwoord en een tussenwerpsel. Het systeem is verbluffend goed in het maken van mooie zinnen, maar doet dat enkel op basis van statistiek, woordpatronen. Dat verklaart meteen hoe GPT met nepbronnen aan kan komen zetten: op die plek hoorde iets dergelijks te staan, en termen als “Varghese” of “China South Airlines” komen vaak voor bij dit soort teksten (luchtvaartrechtszaken) en daar moet een “v. ” tussen, prima, doen we dat.

ChatGPT gebruik je dus niet om bronnenonderzoek mee te doen. Er zijn systemen die een tekstgeneratie loslaten op zoekresultaten (zoals Bing of Bard), maar dat vereist dus een extra laag in het systeem. ChatGPT gebruik je om tekstanalyse te doen, of de opzet van een tekst te maken zodat je er zelf mee verder kunt. In advocatentaal: het is een student-stagiair, behandel het ding ook als zodanig.

Leren wat je wél kunt vragen? In september geef ik drie keer een masterclass “GPT in de juridische praktijk“. Wat kun je vragen, hoe vraag je dat en hoe weet je of je relevante antwoorden hebt. Schrijf je snel in!

Arnoud

Meta krijgt Ierse AVG-boete van 1,2 miljard euro voor illegale dataoverdrachten en vooral een verbod ermee door te gaan

Geplaatst op in Ondernemingsvrijheid, Privacy, Regulering, 22 reacties

De Ierse privacytoezichthouder heeft Meta een AVG-boete van 1,2 miljard euro gegeven, las ik bij Tweakers. Dit vanwege het gebruik van de zogeheten ‘standaard contractuele clausules’ als grond voor de overdracht van persoonsgegevens naar buiten de EU, wat sinds het ineenstorten van het Privacy Shield de schaamlap werd waarmee privacyjuristen een en ander rechtvaardigden.

De beslissing (leeswaarschuwing: 222 pagina’s) begint ergens in de jaren negentig bij het Safe Harbor regime, waarmee je onder de Gegevensbeschermingsrichtlijn persoonsgegevens kon overbrengen naar de VS. Dat is relevant, want zowel Safe Harbor als Privacy Shield zijn gesneuveld vanwege in de kern dezelfde problematiek: de VS biedt geen adequaat beschermingsregime voor persoonsgegevens, en een individuele verwerkingsverantwoordelijke kan te weinig doen om het in haar geval toch adequaat te maken.

Dit nog los van dat niemand iets dééd om het adequaat te maken. Toen roepen “er is een Privacy Shield dus we zitten goed” niet meer mocht, werd dat meteen veranderd in “we hebben SCC’s afgesproken dus we zitten goed”. Mocht u zich afvragen wat er in vredesnaam in die dingen stond – u kunt ze hier nalezen in al hun ellenlange juridische glorie, maar het komt neer op een papieren werkelijkheid, mooie woorden over borgen van rechten en afdwingen van bevoegdheden. Ik ben vergeten wie zei dat juristen de magiërs van deze tijd zijn: schrijf een mooie clausule over hoe het moet zijn en presto, de wereld is veranderd.

De SCC zijn een mooi voorbeeld van zo’n papieren werkelijkheid. Ja, ze binden de verstrekker uit de EU en de ontvanger uit de VS juridisch en verplichten ze tot medewerking aan allerlei zaken die betrokkenen zouden kunnen wensen. Denk aan inzage of verwijdering. Maar ze werken alléén in die relaties, want andere partijen kun je niet binden als die niet mee willen werken. En wat was ook weer de reden dat Safe Harbor en Privacy Shield sneuvelden? Precies, dat Amerikaanse overheidsdiensten bij de persoonsgegevens konden. En die zijn niet aan SCC gebonden.

Anders gezegd: met enkel SCC afspreken kun je niet borgen dat de rechten van je gebruikers daadwerkelijk gehandhaafd kunnen worden, en dat is uiteindelijk wel een keihard vereiste voordat je persoonsgegevens structureel in een ander land opslaat. Want wat kan er zoal gebeuren? Ik citeer een paar voorbeelden uit de beslissing.

Section 702 FISA permits the Attorney General and the Director of National Intelligence to authorise jointly, following FISC approval, the surveillance of individuals who are not US citizens located outside the US in order to obtain “foreign intelligence information”, and provides, inter alia, the basis for the PRISM and UPSTREAM surveillance programmes. EO 12333 allows the NSA to access data “in transit” to the US, by accessing underwater cables on the floor of the Atlantic, and to collect and retain such data before arriving in the United States and being subject there to the FISA. Activities conducted pursuant to EO 12333 are not governed by statute.
Deze bevoegdheden worden niet beperkt door het hanteren van SCC’s, of zelfs maar door de Privacy Shield-afspraken die eerder golden. Dus dan kun je SCC’en wat je wilt, deze risico’s blijven bestaan. En deze vorm van surveillance/datagraaien is eenvoudigweg in strijd met de fundamentele rechten van burgers in de EU. En dát is waarom het misgaat.

Meta had daar tegenover gesteld dat zij data alleen sterk versleuteld overbrengen vanuit Europa naar haar datacenters in de VS. Dus dan kan FISA of die executive order wel toelaten dat de NSA de onderzeekabel aftapt (het gaat immers om personen buiten de VS), maar ze kunnen er niets mee. Alleen is dat juridisch geen argument. De Europese wetgeving eist juridische borging, de mogelijkheid van een beroepsprocedure bij de rechter bijvoorbeeld. En die is er niet. Daarmee is de situatie in de VS dus fundamenteel niet in orde, en dat Meta dan denkt dat haar encryptie onkraakbaar is, is dan niet relevant. Als ze meer denken te kunnen doen, dan hebben ze dat in ieder geval niet toegelicht.

Het punt is dus wel duidelijk: het is fundamenteel mis in de VS met gegevensbescherming (joh, echt) en enkel een stapel papier produceren met modelclausules gaat daar geen sikkepit aan veranderen. Voor het toch stelselmatig exporteren van Europese persoonsgegevens wordt een boete van 1,2 miljard Euro opgelegd. En belangrijker: een verbod om ermee door te gaan. Want ik zie de “oh 1,2 miljard is niks” comments alweer langskomen:

I make an order pursuant to Article 58(2)(d) GDPR to require Meta Ireland to bring its processing operations into compliance with Chapter V GDPR, by ceasing the unlawful processing, including storage, in the US of personal data of EEA users transferred in violation of the GDPR, within 6 (six) months following the date of notification of this Decision to Meta Ireland
Meta krijgt twaalf weken om af te bouwen, en moet binnen vier weken gedocumenteerd laten zien wat het plan is en waarom dat zal leiden tot stoppen van de export. Komt er geen plan, dan moeten ze nog steeds stoppen en dan zoeken ze zelf maar uit hoe dat moet gebeuren. Maar wel binnen die 12 weken dus.

Deze boete en dit stopbevel geldt alleen voor Meta natuurlijk, want die zijn de aangesproken partij. Maar, zo merkt men vervolgens op:

It is clear, however, that the analysis in this Decision exposes a situation whereby any internet platform falling within the definition of an electronic communications service provider subject to the FISA 702 PRISM programme may equally fall foul of the requirements of Chapter V GDPR and the EU Charter of Fundamental Rights regarding their transfers of personal data to the USA.
Dat is dus ook weer een heel fundamentele. Zoals mijn collega Caroline al schreef, “dit besluit van de DPC duwt het nu echt onvermijdelijk in ons gezicht”: we zitten vast, er is een fundamentele mismatch tussen wat bedrijven als Meta of Google (die dit met Analytics ook al kreeg) graag willen en wat de wet zegt, en hoewel de wet traag is, komt er een punt dat je gewoon moet accepteren dat dit niet meer kan. Het vervelende is alleen, dit is niet een punt waar de wetgever iets van wil vinden, en de rechter kan weinig anders dan bevestigen wat in deze beslissing staat. Dat de maatschappij dan wellicht vastloopt, is een implementatiedetail.

Arnoud

 

Vallen encrypted data ook onder de AVG als ik ze elders opsla?

Geplaatst op in Privacy, 14 reacties

Een lezer vroeg me:

Pas heb ik ‘Advanced Data Protection’ van Apple op mijn iCloud-account geactiveerd. Toen kwam bij mij de volgende gedachte op: Als mijn data volledig versleuteld is, en ik ben de enige die sleutels heeft, maakt het dan (voor AVG/GDPR) uit waar die data opgeslagen is?
Wanneer persoonsgegevens buiten de EU (eigenlijk de Economische Ruimte) opgeslagen worden, gelden daar allerlei eisen voor die kort gezegd neerkomen op het tegenhouden van buitenlandse datagraaiers. De ideale oplossing is als het land erkend is als adequaat, zoals is gebeurd bij Zuid-Korea of het Verenigd Koninkrijk, maar je kunt ook goochelen met dingen als bindende bedrijfsvoorschriften of de model contractuele clausules.

Als het niet gaat om persoonsgegevens, dan gelden al die regels niet. En daar zit hem de kneep: is een encrypted blob nu wel of niet een (set) persoonsgegeven(s)? Het antwoord daarop beantwoordt meteen de vraag of de AVG van toepassing is. Er is niet zoiets als “een beetje van toepassing”, je valt onder de AVG en de héle berg eisen, of je valt er volledig buiten.

Het onleesbaar maken van persoonsgegevens is in de terminologie van de AVG een vorm van pseudonimiseren, de herleidbaarheid onmogelijk maken tenzij je beschikt over extra informatie. Een decryptiesleutel is daarvan een voorbeeld. Dus wie de definities letterlijk leest, ontkomt niet aan de conclusie dat dit gewoon onder de AVG valt – die blob bevat persoonsgegevens, ze zijn heel goed beveiligd maar ze zitten er toch echt in.

Vorige week blogde ik over het Breyer-arrest en haar opvolger. Een IP-adres is daar een voorbeeld van een persoonsgegeven, omdat het via wettige middelen kan worden herleid tot een persoon. En in die opvolger werd bepaald dat je de analyse over herleidbaarheid moet doen vanuit het perspectief van de ontvanger van de gegevens. Dat het in abstracto voor iemand mogelijk is om de identificatie te doen (de decryptie) is niet genoeg, kon specifiek die ontvanger dit doen met redelijke en wettige middelen?

Vertaald naar deze casus is dan dus goed verdedigbaar dat die buitenlandse partij zich niet aan de AVG hoeft te houden. Die mag dus alles doen dat hij wil (binnen het contract) met die blob. Niet erg, want het is een encrypted blob dus wat gaat hij doen?

Maar voor de klant van die hostingpartij blijft de blob gewoon persoonsgegevens bevatten. Hij kan immers de encryptie triviaal ongedaan maken, hij heeft namelijk de sleutel. En dat betekent ook dat hij de data niet op een buitenlandse server mag zetten, tenzij het land waar hij dat doet adequaat is, er BCR of MCC zijn of een van de andere uitzonderingen van toepassing zijn. De regels zijn dus precies hetzelfde als wanneer je plaintext gegevens ergens wilt parkeren.

Ik geef toe, dat doet vreemd aan want juist als je gegevens sterk versleutelt dan zou er niets mee moeten kunnen gebeuren. En dan zijn er ook geen risico’s voor betrokkenen. Maar bekijk het eens zo: als de sleutel toch ooit uitlekt, en die blob staat in een land waar persoonsgegevens vogelvrij zijn, dan zou de hostingpartij die lekker kunnen ontsleutelen en met de gegevens aan de haal gaan – waar mensen dan niets tegen kunnen doen. En ook dat is niet de bedoeling.

Arnoud

Kan mijn werkgever met deze bepaling eigendom claimen van een boek dat ik in mijn vrije tijd schrijf?

Geplaatst op in Intellectuele rechten, 7 reacties

Die titel zag ik via Reddit, en laat “een boek in mijn vrije tijd schrijven” nou altijd mijn standaardvoorbeeld zijn van iets waar je werkgever géén rechten op kan claimen. Maar hier ligt het iets subtieler:

Dit is een bepaling in de arbeidsovereenkomst van een bedrijf waar ik aan de slag zal gaan als copywriter. Ik heb deze nog niet getekend, want ik vraag me af of de rechten van het boek waar ik in mijn vrije tijd aan werk en welke niets te maken heeft met deze werkgever, geclaimed kunnen worden door dit bedrijf.

De reden dat ik “boeken in vrije tijd” uitzonder is omdat het criterium grofweg is of het je werk is om zulke dingen te maken, en weinig mensen hebben als werk “boeken en zo” te schrijven. Alleen is dat een te makkelijk argument als we het over copywriters hebben, want een tekstschrijver of copywriter kan zeer zeker ook wel opgedragen krijgen een boek te schrijven als werk. En als je zo’n opdracht krijgt, dan liggen de rechten op dat boek echt bij je werkgever.

Schrijf je een boek zonder opdracht, maar hád je de opdracht redelijkerwijs niet kunnen weigeren als die je hypothetisch was gegeven, dan is dat boek in principe toch gewoon auteursrechtelijk van je werkgever. Eigen initiatief zeg maar, en dan doet het er niet toe of je spullen van het werk hebt gebruikt, onder werktijd schreef of je baseerde op eerdere teksten die al eigendom van het werk waren. De discussie gaat over de aard en inhoud van het boek, niet waarmee je het geschreven zou hebben.

In dit geval is het nog iets complexer, want er staat een hele lap hierover in het contract:

“Alle rechten van industriële en intellectuele eigendommen, zoals auteursrechten, merkrechten, octrooien, rechten op modellen en tekeningen, kwekersrechten enzovoorts, welke ontstaan tijdens, door of in verband met de uitoefening van de door werknemer op grond van de arbeidsovereenkomst te verrichten werkzaamheden komen uitsluitend toe aan werkgever en worden geacht aan werkgever te zijn overgedragen zonder dat hiervoor een nadere overdracht zal zijn vereist en zonder dat werknemer recht heeft op een vergoeding hiervoor. Werknemer is gehouden werkgever bij eerste gelegenheid op de hoogte te stellen van alle vindingen die tot de boven bedoelde rechten aanleiding zouden kunnen geven. Het is werknemer niet toegestaan om de resultaten van zijn werkzaamheden zelf openbaar te maken, te verveelvoudigen, in het verkeer te brengen, te verkopen, te verhuren, af te leveren of anderszins te verhandelen dan wel voor een ander aan te bieden of te doen inschrijven.”
Het is op zich legaal om in een schriftelijk en ondertekend arbeidscontract meer auteursrechten op te eisen dan waar je voor de wet recht op hebt als werkgever. De vraag is natuurlijk waarom een werknemer dit zou accepteren, maar de wet ziet dat als een onderhandelingspunt en bevat géén dwingend verbod op zo’n clausule. (Let op, in een personeelshandboek of eenzijdig medegedeeld arbeidsvoorwaardenreglement is dit dan weer niet mogelijk, net zo min als met een achteraf verplicht te tekenen documentje.)

De werkgever heeft hier een veelgebruikt criterium gehanteerd: rechten die zijn “ontstaan tijdens, door of in verband met de uitoefening van de werkzaamheden”. Dat “door of in verband met” is grofweg wat de wet zelf ook al zegt, de uitbreiding is dus het “tijdens” het werk. En dat is dus altijd precies mijn voorbeeld: de portier die onder werktijd op de werklaptop een thriller schrijft, heeft daar echt zelf het auteursrecht op. Hij doet zijn werk mogelijk niet goed (want opletten zal er niet bij zijn tijdens het schrijven), hij kan wellicht worden ontslagen voor plichtsverzuim maar dat is het – dat boek is en blijft van hem zelf.

Wie letterlijk dit beding leest, ziet “tijdens”, en dat zou ook de portier omvatten die onder werktijd (dus tijdens het werk) aan die thriller werkt. En dat kun je dus afspreken, als je het opschrijft in een ondertekend arbeidscontract.

Tegelijkertijd geldt ook bij arbeidscontracten de Haviltex-regel van contractsuitleg: niet alleen de taalkundige uitleg, maar ook wat partijen onderling bedoeld hadden toen ze dit opschreven. En daarbij wordt ook de onderlinge positie van de partijen meegewogen. Bij arbeidscontracten is dat meestal een deskundige en sterk staande werkgever, tegenover een werknemer die meestal weinig kan inbrengen behalve “tekenen of niet”. In dat geval wint al snel de interpretatie die in het voordeel is van de werknemer.

De interpretatie “ook de thriller die je als copywriter schreef hoewel je werk is marketingteksten voor de website te maken” vind ik niet echt in het voordeel van de werknemer. “Het handboek Online Marketing en Copywriting dat je in je vrije tijd schreef vanuit je ervaringen als copywriter bij ons” zou ik er dan weer wél onder vinden vallen. Dat komt dus neer op een lichte verbreding van het wettelijke criterium, met name om de grensgevallen richting de werkgever te duwen. Want het is een grijs gebied, een handboek hoe je werk te doen maar gericht op vakgenoten algemeen en niet collega’s.

Arnoud

Ziggo moet toch weer wel downloaders een Breinbrief sturen

Geplaatst op in Ondernemingsvrijheid, Privacy, 5 reacties

Ziggo is verplicht om een waarschuwingsbrief van Brein door te sturen naar haar klant via wiens IP-adres een bibliotheek met e-books online toegankelijk is voor internetgebruikers en als dat nodig is, de NAW-gegevens van deze klant aan Brein te verstrekken. Dat besliste het Hof Arnhem begin deze maand. Daarmee valt het hoger beroep in deze zaak verrassend anders uit dan de vorige uitspraken, waarbij Ziggo dit (vanwege AVG-perikelen) juist niet hoefde te doen. Wat is er nu ineens zo anders?

Het idee is zo simpel als wat: identificeer frequente uploaders, en stuur ze een “we hebben je in de gaten”-brief in de hoop dat men ermee stopt. Dat is niet hetzelfde als ze gelijk dagvaarden, wat gezien de kosten en gedoe niet meteen wenselijk is. Maar de ervaring leert dat als je mensen waarschuwt, ze er regelmatig mee stoppen – al is het maar omdat ze denken dat de volgende stap wél een rechtszaak is. Wat dus kan in Nederland, omdat zowel up- als downloaden van beschermd materiaal verboden is zonder toestemming.

Strafbaar zelfs, in theorie. En dat is waar dan het probleem zit: wie bijhoudt wie er auteursrechten schendt, verwerkt strafrechtelijke persoonsgegevens en daar gaan AVG-juristen altijd heel moeilijk bij kijken. De AVG kent daar immers zo ongeveer het strengste regime voor, met als belangrijkste relevante beperking dat je niet voor privédetectivebureau mag spelen als je daarbij zulke gegevens verwerkt. Tenzij je een vergunning hebt, en dan nog. En dat was voor de rechter vorig jaar reden om te bepalen dat Ziggo hier niet aan mee hoeft te werken.

Zoals ik altijd zeg, als het antwoord is dat een auteursrechthebbende pech heeft, dan is het antwoord vrijwel altijd fout. In juridische termen: dan wordt geen recht gedaan aan het hoog niveau van bescherming van intellectuele eigendom zoals in verdragen en Europese regels vastgelegd. Brein ging om die reden dan ook in hoger beroep. Maar Ziggo ook, want die vond dat het afgeven van NAW-gegevens niet automatisch  ‘ter instelling, uitoefening of onderbouwing van een rechtsvordering’ hoeft te zijn, zoals de rechtbank had geoordeeld.

Het Hof begint met te omschrijven wat Brein nu precies van plan is:

Brein verzoekt primair een trapsgewijze aanpak. Allereerst vordert zij dat Ziggo een waarschuwingsbrief en zo nodig nog een aangetekende brief stuurt naar haar klant, waarin de klant wordt gewezen op de inbreuk met het (dringende) verzoek om de openbare toegang tot de Calibre-bibliotheek onmiddellijk af te sluiten. Alleen als die brief (brieven) niet spoedig leidt (leiden) tot het stoppen van deze openbare toegang, verzoekt Brein om verstrekking van de NAW-gegevens van de Ziggo-klant, zodat zij zelf de klant kan aanspreken. Brein heeft daaraan toegevoegd dat zij uitsluitend het staken van de inbreuk (op last van een dwangsom) zal vorderen, maar dat zij geen schadevergoeding zal (mag) vorderen.
Deze aanpak voldoet eigenlijk prima aan privacyverwachtingen van de burger, aldus het Hof. Het ontvangen van zo’n brief via je eigen provider is minder inbreukmakend dan direct door Brein aangesproken te worden. Blijf je dan volhardend, dan mag je verwachten dat Brein je direct benadert. En om excessen te voorkomen (ik kijk naar jou, Dutch Filmworks) beperkt Brein alvast haar eisen bij de eventuele rechtszaak tot uitsluitend een stakingsbevel met dwangsom.

Daarmee is de zaak nog niet klaar, want de AVG heeft zo haar eigen mening over wat er met gegevens over mensen gebeurt. Het kan goed dat er geen enkel privacybelang (meer) is, maar dat je toch aan AVG regels moet voldoen. Zo ook hier: Ziggo gebruikt NAW-gegevens voor het leveren van internettoegang, en het doorsturen van Breinbrieven kun je moeilijk een vorm van internettoegang noemen. Daarmee ontbreekt de doelbinding, zou je zeggen. Maar het Hof ziet toch ruimte in de AVG, namelijk in artikel 6 lid 4:

Het hof is van oordeel dat de verwerking berust op een lidstaatrechtelijke bepaling die in een democratische samenleving een noodzakelijke en evenredige maatregel vormt ter waarborging van de in artikel 23 lid 1 AVG bedoelde doelstellingen. Zoals hiervoor in 4.7 overwogen baseert Brein haar vordering op artikel 28 lid 9 Aw en op de zorgvuldigheidsnorm uit artikel 6:162 BW om een inbreuk op de rechten en vrijheden van anderen (namelijk een inbreuk op auteursrechten) tegen te gaan (artikel 23 lid 1 onder i AVG).
In artikel 28 lid 9 Auteurswet staat dat je (ook) als isp verplicht kunt zijn om persoonsgegevens af te geven (“hij die op commerciële schaal diensten verleent die bij de inbreuk worden gebruikt”), en als je daar de Lycos/Pessers-criteria uit art. 6:162 BW bij optelt dan heb je een keurige wettelijke basis die het andersoortige gebruik van persoonsgegevens noodzakelijk maakt. Zeker omdat de AVG geen vrijbrief kan zijn om andersoortige rechten (zoals auteursrecht) maar gewoon te passeren (art. 23 lid 1 AVG).

Maar dat strafrechtelijke karakter dan, maakt dat de zaak nog anders? De AVG en de Uitvoeringswet zijn daar streng in, en de uitzonderingen zijn dan ook beperkt geformuleerd. De uitzondering waar het hier om ging, is artikel 32 UAVG, waarin staat dat het mag als dat “noodzakelijk is voor de instelling, uitoefening of onderbouwing van een rechtsvordering”. De rechtbank las dat als “van de partij die de persoonsgegevens verwerkt”, en omdat Ziggo niet zelf wilde procederen ging deze uitzondering dus niet op. Het Hof vindt dat een té beperkte lezing, met name omdat de wet zelf zegt “een rechtsvordering”, wat dus ook andermans rechtsvordering kan zijn. En dat sluit aan bij de tekst van de AVG zelf, en bij een Europees arrest over het koppelen van IP- en NAW-gegevens door een rechthebbende.

Alles bij elkaar wint de handhaving van het auteursrecht dus (weer eens) van andere rechten, in dit geval dat van privacy en gegevensbescherming. Er is in zoverre nog een streepje ruimte dat Brein per concrete soort inbreuk moet aangeven waarom zij de NAW-gegevens nodig heeft, en dus geen GPT-brievengenerator mag koppelen aan een bittorrent-IP-log.

Arnoud

 

 

Rechter: IT-bedrijf is niet verantwoordelijk voor cyberaanval Hof van Twente

Geplaatst op in Security, 1 reacties

De rechtbank Overijssel heeft geoordeeld dat IT-bedrijf Switch niet de schadevergoeding van 4 miljoen hoeft te betalen die Hof van Twente geëist heeft in verband met de ransomwareaanval in 2020. Dat las ik bij Tweakers. Weer eentje in de categorie zorgplicht, maar in dit geval had Switch het prima geregeld – en dat het RDP-wachtwoord ‘Welkom2020’ was, was toch echt de keuze van de gemeente zelf.

In december 2020 voerde een ransomwarebende via een bruteforceaanval een gijzeling uit op de systemen van de gemeente, en eiste 750.000 euro losgeld. De gemeente betaalde niet, maar moest dus alles opnieuw bouwen. Dat was niet gebeurd als de IT-leverancier “haar kasteel (netwerk) had voorzien van een slotgracht, muren en bewakers zodat het niet kon worden binnengevallen.” Aldus de beeldspraak van de advocaat van de gemeente. Even nuchter vat de rechtbank het samen met

De rechtbank is van oordeel dat [Switch], gelet op haar contractuele verplichtingen en zorgplicht, wel heeft gezorgd voor de slotgracht, muren en bewakers, maar dat de gemeente een door haar beheerde achterdeur die toegang gaf tot het kasteel heeft opengezet door de brug neer te laten (de RDP-poort open te zetten) en een makkelijk te raden code (wachtwoord) voor het openen van de deur in te stellen, waardoor de bewakers niet ingrepen.
Altijd leuk die analogieën, maar wat was er nu echt gebeurd? Daarvoor pakken we het zeer gedegen onderzoeksrapport van het NFIR erbij. De korte maar recht voor z’n raap samenvatting is dit:
De aanvallers hebben toegang verkregen tot het netwerk van de gemeente via het Remote Desktop Protocol (RDP). Via RDP kan een server op afstand, via het internet, beheerd worden.  De server FTP-server was voor iedereen op het internet via RDP benaderbaar. Het eerste moment van ongeautoriseerde toegang heeft plaatsgevonden met het account “testadmin”. Het wachtwoord van het “testadmin”-account was op 15 oktober 2020 gewijzigd naar “Welkom2020”.
(Dat geluid op de achtergrond is de collectieve facepalm van alle meelezende securitymensen.) Dit is in juridische taal een niet echt adequate beveiliging, en dat is relevant want als we het gaan hebben over zorgplichten niet nakomen dan is dat wel zo’n beetje de standaard. En voor juristen zonder technische kennis is dit dus de brug die open staat en letterlijk het woord waarmee de wacht je doorlaat.

Wie valt deze tekortkoming te verwijten? Er was natuurlijk een héél pak papier want dit was een aanbesteedde ict-opdracht. De rechter begint met opmerken dat je die stukken zo moet lezen dat de bewoordingen leidend zijn (en dus niet de bedoeling, dit is de cao-norm en niet de Haviltex-norm). Inderdaad zoals bij die verzekeraar van laatst. Vervolgens volgt een trits eisen, waarbij voor mij eruit springt dat

• de informatieveiligheid van de data en de opslagdienst in het algemeen dient geborgd te zijn, zodanig dat voldaan wordt aan de eisen die vanuit het informatiebeveiligingsbeleid van de gemeente hieraan worden gesteld, welk beleid is gebaseerd op de Baseline Informatie-beveiliging Nederlandse Gemeenten (BIG);
Hoewel een algemene monitoringplicht deel was van de afspraken, was er geen expliciete securitymonitoring overeengekomen. Switch hoefde dus pas aan de bel te trekken als uit algemene monitoring een securityincident zou blijken. Wel hoorde bij haar taken het verzorgen van adequate backups. Switch had dat ook serieus onderzocht, en onder meer de back-up server en NAS te isoleren en de back-up server buiten het Active Directory domein te plaatsen. Daar had de gemeente nee op gezegd.

Wat security betreft, waren er dus enkele specifieke afspraken maar zeker geen overkoepelende verplichtingen. Althans, niet in de overeenkomst zelf. Als je de onderliggende algemene inkoopvoorwaarden (de GIBIT) erbij pakte en klantvriendelijk las, dan had je vrij snel een stevige en brede algemene securityplicht gevonden – onder meer die Baseline Informatiebeveiliging Nederlandse Gemeente (BIG) was deel van de overeenkomst. Maar de rechter vindt niet dat je zó makkelijk een zwik verplichtingen kunt importeren:

Ten slotte geldt dat de informatiebeveiliging een kernverplichting van [bedrijf 1] betreft in het kader van de overeenkomst: aan een dergelijke kernverplichting kan niet via algemene voorwaarden zoals de GIBIT-voorwaarden een andere en veel ruimere strekking worden gegeven dan specifiek overeengekomen. Dat zou zich ook niet verdragen met het hiervoor genoemde transparantiebeginsel.
Switch moest het netwerk kwalitatief monitoren, en de gemeente wilde de mogelijkheid hebben om bepaalde acties zelf uit te kunnen voeren zonder “gezeur van de IT” (noem ik het maar even). En dat kregen ze. Daar achteraf dan van maken “jij had de security moeten monitoren en moeten piepen als wij iets geks deden” is niet echt de bedoeling. Dit is waar rechters voor zijn: die kunnen geen RDP configuratiebestanden lezen, maar wel bepalen dat iemand achteraf zit te draaien om een ander de schuld te geven van z’n eigen fouten. Dit soort dingen:
[bedrijf 1] heeft de gemeente er medio 2020 nog op gewezen dat het gelet op de veiligheid beter was leveranciers alleen via de Kaseya-tool toegang te geven, maar voor de gemeente is dat geen aanleiding geweest gebruik te gaan maken van die tools op haar eigen account.
Een RDP poort open zetten heeft an sich geen directe impact op de kwaliteit van de IT-dienstverlening, dus dat is ook niet iets waar Switch wat van had moeten zeggen. En als er vervolgens een zwak wachtwoord wordt ingesteld dat tegelijkertijd wél aan de wachtwoordeisen voldeed, dan is er ook vanuit dat oogpunt weinig te detecteren.
Wat er ook zij van de discussie of deze door [bedrijf 1] voorgestelde maatregelen voldoende zouden zijn geweest om de cyberaanval te voorkomen of de gevolgen ervan te beperken (NFIR meende eerst van ‘wel’ en later van ‘niet’), is, bezien in het licht van het gegeven dat het gehackte account door de gemeente werd beheerd, daaraan de hoogste rechten waren verbonden en een zwak wachtwoord was ingesteld, een feit dat de gemeente (kennelijk uit kostenoverwegingen) niet is ingegaan op [bedrijf 1] voorstel. Daardoor heeft zij [bedrijf 1] de mogelijkheid onthouden om de veiligheid van de back-up te verbeteren, hetgeen voor haar rekening en risico komt.
Je zorgplicht als ict-leverancier houdt dus op als je het expliciet op tafel hebt gelegd, de risico’s hebt aangegeven en je dan een duidelijk “nee, gaan we niet doen” krijgen. Hier, deze mag u uitprinten en inlijsten:
De zorgplicht van een ICT-beheerder gaat niet zover dat waar functionele monitoring is overeengekomen, security monitoring daar (kennelijk gratis) onderdeel van uitmaakt.
Er is géén eis dat je dan hoger escaleert bij de klant, zoals de gemeente had gesuggereerd: jij onderhandelt met iemand, als die partij zegt “nee, gaan we niet doen” dan is dat de einduitkomst en dat de CISO van de gemeente of de wethouder IT-zaken wellicht anders had besloten, is niet jouw probleem. Zuur voor de gemeente, maar juridisch gezien was het toch echt haar eigen schuld.

Arnoud

Oh jee, mag je als burgemeester niet op Twitter met je ambtsketen?

Geplaatst op in Informatiemaatschappij, 4 reacties

Ja, het heet dus ambtsketen en niet ambtsketting, dat wilde ik vooraf even duidelijk hebben. Maar velen schrokken: Sjors Fröhlich, de burgemeester gemeente Vijfheerenlanden, moet stoppen met Twitteren zo meldde hij woensdag. Een burger had hem in niet mis te verstane bewoordingen aangegeven dat hij een ambtsmisbruik pleegde, omdat Fröhlich met ambtsketen op de foto stond, wat in strijd is met de eed of belofte burgemeester. Wacht, wat?

Het is inderdaad zo dat je als burgemeester bij aantreden een eed of belofte aflegt. Daarin staat de zogeheten “zuiveringseed” (moest ik ook opzoeken) waarin je verklaart niet door omkoping je benoeming te hebben gekregen, en dat je je later ook niet laat omkopen. Ook beloof je trouw aan de Grondwet en dat je goed je ambt zult vervullen.

Een ambtenaar die zich laat omkopen, pleegt een ambtsmisdrijf inderdaad. Maar hier gaat het niet om omkoping maar om “persoonlijk gewin”, in de vorm van Twitterberoemdheid kennelijk. Alleen: “persoonlijk gewin” is een informele term voor je laten omkopen als ambtenaar (art. 362 Strafrecht), je krijgt geld of spullen van iemand en in reactie bevoordeel je die persoon (of benadeel je een ander).

Er is geen strafbaarstelling van je ambt gebruiken om als persoon beroemder, inaanzienstaander of iets dergelijks te komen. Ook niet als je daarbij de ambtsketen gebruikt. Hoewel daar regels voor zijn, zit daar geen artikel van strafrecht achter.

Verder is het ook niet zo dat je als burgemeester uitsluitend zou mogen spreken op persoonlijke titel als je het niet via de gemeentewoordvoerder laat gaan of iets dergelijks. Ik zou een burgemeester afraden een foto met ambtsketen te gebruiken bij een account waar dan “op persoonlijke titel” bij staat, maar vooral omdat dat gewoon niet goed samen gaat. Een strafbaarstelling kan ik er niet bij halen.

Arnoud

Webshop vraagt of ik geld terug wil; ik wil graag dat product wordt geleverd. Hoe verder?

Geplaatst op in Ondernemingsvrijheid, 13 reacties

Via Reddit:

Op Koningsdag heb ik bij een webshop een bestelling geplaatst voor sportvoeding. Hierbij heb ik gebruik gemaakt van een kortingscode die alleen op Koningsdag geldig was. Tijdens het bestellen koos ik voor Click&Collect. Hierbij heeft de webshop een label aangemaakt met mijn naam, maar het adres van het PostNL punt wat ik heb geselecteerd. [Dat ging dus mis bij PostNL.] Hierdoor denken ze dat ik mn pakket door het PostNL punt nooit zal ontvangen. Ze bieden aan om mn geld terug te storten.
Ik licht deze vraag er uit omdat ik het vaak langs zie komen: een winkel krijgt om niet-inhoudelijke redenen het product niet geleverd, en meldt dat dan onder terugstorting van de aankoopsom. En dan zou de kous af zijn.

Mooi niet dus. Als je iets koopt (en betaalt), moet de winkel dat gewoon leveren. Dat dit ingewikkeld is omdat er een fout adres is opgegeven, zal ongetwijfeld waar zijn maar moet dan rechtgetrokken worden voorafgaand aan de volgende verzending. En zo ingewikkeld zou dat niet moeten zijn.

Ik snap dat dat een hoop gedoe is, maar deze consument wil natuurlijk vanwege die kortingscode niet van de bestelling af om hem ergens anders opnieuw te kopen. Dus het juridische antwoord is dan simpel, hou voet bij stuk en ze moeten leveren. Tegelijkertijd is het consumentenrecht weerbarstig, want de prijs van het product is niet zo hoog dat je hier een rechtszaak over gaat voeren.

Praktisch zijn er twee oplossingen. De eerste is vragen of het bezorgadres aangepast kan worden, dat is iets dat toch mogelijk moet zijn bij alle webshopsoftware. De tweede is vragen om een nieuwe kortingscode, bij wijze van coulance is dat vaak mogelijk om het proces vlot te trekken.

Arnoud