De US Copyright Office accepteert geen registraties van (mede) door AI gegenereerd werk, nou en?

Geplaatst op in Innovatie, Intellectuele rechten, 9 reacties

De US Copyright Office, waar je auteursrechtelijk beschermde werken registreert als je rechtszaken wilt voeren, weigerde recent de registratie van de graphic novel Zarya of the Dawn omdat een deel van het werk door AI Midjourney gegenereerd was. Dat las ik bij The Verge. Weliswaar erkent men dat de tekst en plot en dergelijke het werk zijn van de mens Kris Kashtanova, maar de afbeeldingen zijn “not the product of human authorship” en daarmee niet voor registratie vatbaar. Betekent dit nu iets voor de rechtsontwikkeling van AI? Meh.

Kashtanova is artiest en productontwikkelaar bij Ministudio.AI, een dienst gericht op AI-gedreven visuele ontwerpen. Zoals graphic novels dus, waarvoor zhij een jaar geleden het plot schreef en met de Midjourney tool de bijbehorende grafische voorstellingen creëerde. De registratie bij de US Copyright Office was bedoeld om duidelijkheid te krijgen waar de auteursrechten dan liggen.

De US Copyright Office is formeel niet meer dan een registrerende instantie: je kunt daar naar Amerikaans recht je werk deponeren, en met de registratie ben je dan bevoegd een rechtszaak te starten en statutory damages (zeg maar een wettelijk gefixeerde schadeclaim) te doen. Er zit geen inhoudelijke toetsing in, hoewel men wel de bevoegdheid heeft registraties af te wijzen als ze evident niet aan de formele eisen te doen. En dat bleek hier het geval: Kashtanova had haar plan op de socials gedeeld, en dat was een medewerker van het Copyright Office opgevallen.

Dat leidde tot een afwijzingsbrief, die gezien het belang van de zaak gepubliceerd werd.

[W]hile the word “Midjourney” appears on the cover page of the Work, there is no indication of the intent or meaning of the word on the cover.  … Because the application had not disclosed the use of artificial intelligence, the Office determined that the application was incorrect, or at a minimum, substantively incomplete.
De USCO vat haar taak van het promoten van het auteursrecht breed op, want ze geeft vervolgens een uitgebreide juridische analyse waarom een AI geen (co-)auteur kan zijn, met zoals het hoort prachtige caselaw:
In cases where non-human authorship is claimed, appellate courts have found that copyright does not protect the alleged creations. For example, the Ninth Circuit held that a book containing words “‘authored’ by non-human spiritual beings” can only gain copyright protection if there is “human selection and arrangement of the revelations.”
Voor de afbeeldingen die Kashtanova via Midjourney genereert, ziet de USCO te weinig menselijke tussenkomst. Weliswaar voert zhij een prompt in, maar die leidt tot meerdere afbeeldingen waarop de mens geen invloed heeft. Dat laat zien dat de overwegende mate van creativiteit dus in de tool zit. Als de prompt leidend was, dan zou er één afbeelding uitkomen, zeg maar:
Rather than a tool that [Mx]. Kashtanova controlled and guided to reach her desired image, Midjourney generates images in an unpredictable way. Accordingly, Midjourney users are not the “authors” for copyright purposes of the images the technology generates. … A person who provides text prompts to Midjourney does not “actually form” the generated images and is not the “master mind” behind them. Instead, as explained above, Midjourney begins the image generation process with a field of visual “noise,” which is refined based on tokens created from user prompts that relate to Midjourney’s training database. The information in the prompt may “influence” generated image, but prompt text does not dictate a specific result.
Men trekt de vergelijking met Adobe Photoshop, dat ook een forse mate van eigen intelligentie inbrengt met de bewerkingstools, maar daarbij geldt wel steeds dat Photoshop doet wat je vraagt (niet lachen daar achterin). De controle ligt daarmee nog steeds bij de mens die Photoshop gebruikt. Dat het veel werk is om de juiste prompts te verzinnen en de beste afbeeldingen te selecteren, dat gelooft men graag, maar is geen creatieve inbreng in de zin van het auteursrecht.

De aanvraag wordt daarmee afgewezen, zij het dat Kashtanova deze mag aanvullen door bijvoorbeeld een disclaimer toe te voegen op de AI afbeeldingen. Zijn die dan publiek domein? Nou ja, in de opinie van de USCO dus wel, maar de Copyright Office is geen rechtbank. Hoewel hun opinie zwaar weegt (en goed onderbouwd is), is dit dus zeker geen uitgemaakte zaak.

Arnoud

Mag de huisbaas de Ring-deurbel voor zichzelf houden?

Geplaatst op in Ondernemingsvrijheid, 11 reacties

Een vraag via Twitter:

Dochter woont met 6 in een studentenhuis. Huisbaas installeert een Ring-deurbel maar deelt de code niet met alle bewoners. Hij wil zicht hebben op wie er op bezoek komen. Ik vind dit een ernstige inbreuk op de privacy. Wat vind jij?
Soms zijn ze makkelijk, nee natuurlijk is dit een inbreuk op je privéleven als huurder, dit kan gewoon niet. En dat het dan makkelijk voor de verhuurder is omdat Ring nu eenmaal zo werkt, is daarbij totaal geen argument.

Hoofdregel uit de wet is dat de deurbel (van de buitendeur) het probleem van de huurder is, maar op zich is het natuurlijk prima als de verhuurder zorgt voor een deurbel. Dat mag een ding van 5 euro van de bouwmarkt zijn of een dure videobel met app, zolang die maar doet wat we gewoonlijk onder de functie van een deurbel verstaan.

Wat deze verhuurder doet is alleen een heel ander verhaal: hij heeft een camera opgehangen waarmee hij de huurder en diens bezoek kan bespioneren. Dat dat toevallig samenloopt met de deurbel, is voor mij totaal niet relevant. Zicht hebben op bezoek is geen legitiem belang, dat is de vrije keuze van de huurder.

Je kunt hier natuurlijk een punt van maken, of de deurbel verwijderen, al heb je voor dat laatste een bijzonder schroevendraaiertje nodig. De Ring vervolgens herprogrammeren en aan je eigen app koppelen kan ook. Het punt is natuurlijk wel dat de verhuurder dat vrij snel merkt, en dan boos verhaal zal komen halen. Daar helpt dan geen password reset bij.

Arnoud

Tesla past filmen met Sentry Mode-camera’s in Nederland aan na AP-onderzoek

Geplaatst op in Privacy, Regulering, 14 reacties

Tesla gaat voor Nederlandse gebruikers aanpassen hoe de Sentry Mode werkt, las ik bij Tweakers. De vier camera’s op de auto’s filmen voortaan niet meer standaard, en de bewaartermijn gaat omlaag. Dit op last van de Autoriteit Persoonsgegevens. Maar Tesla krijgt geen boete of andere sanctie: men ziet de bestuurder als de verwerkingsverantwoordelijke.

In 2019 blogde ik over de toen-net-ingevoerde Sentry Mode:

Deze modus zorgt ervoor dat verscheidene camera’s worden gebruikt om een beeld van 360 graden rondom de auto op te nemen. De nieuwere Tesla’s hebben acht camera’s rondom het voertuig en kunnen daarmee dus worden ingezet om bijvoorbeeld onvoorzichtige fietsers of doelbewuste bekrassers vast te leggen, zodat er bewijs is van hoe schade is ontstaan.
Mensen vroegen zich toen af of dat strafbaar was. Nee dus, dit is geen ‘aangebrachte’ camera in de zin van het strafrecht omdat een Tesla regelmatig verplaatst wordt. Een privacyschending is het ook niet, dat volgt uit jurisprudentie uit alweer 2009 over een camera die vanuit huis de auto in de gaten houdt.

Maar de AP gaat over de AVG, en komt daarbinnen terecht tot de conclusie dat het hier gaat om verwerking van persoonsgegevens – mensen komen herkenbaar in beeld, en dat valt onder de Europese regels over verwerking van persoonsgegevens. Dit dus los van de vraag of mensen hun privacy wordt geschonden als ze op de openbare weg langs een Tesla lopen.

Gegevensbescherming gaat over zaken als transparantie, weten dat iemand gegevens verzamelt en wat er dan gebeurt. De AP legt uit wat er zoal veranderd is:

Zo komt de Sentry Mode nu alleen in actie als de auto aangeraakt wordt. En niet zodra de camera’s een ‘verdachte’ beweging rond de auto zien. Ook gaat de auto op zo’n moment niet standaard filmen, maar krijgt de eigenaar alleen een tekstbericht op de telefoon.

De auto kan nog steeds camerabeelden maken, maar alleen wanneer de gebruiker die functie zelf inschakelt. Als de camera’s beelden opnemen, geeft de auto dit aan op het scherm in de auto. Ook geven de koplampen dan een speciaal lichtsignaal. Zo weten mensen dat zij gefilmd worden.

De AP ziet de eigenaar/bestuurder van de auto als verwerkingsverantwoordelijke. Dat is logisch vanuit de AVG, want de bestuurder beslist over het aanzetten van deze modus en over wat er met de beelden gebeurt. Tesla zegt namelijk dat ze niet voor hen toegankelijk zijn en ze ook niet zelf aan of uit kan zetten.

Een privépersoon kan zeker ook onder de AVG vallen. Er is een uitzondering voor persoonlijk/huishoudelijk gebruik van persoonsgegevens, maar die geldt niet bij het verzamelen van persoonsgegevens in het openbaar. Dat is een grijs gebied bij camera’s rond je huis, maar een auto parkeer je gewoonlijk op de openbare weg – in ieder geval als je Sentry Mode meent nodig te hebben lijkt me.

Het mooie van deze uitspraak is voor mij vooral dat de AP het bedrijf Tesla aanspreekt, hoewel die dus niet de verantwoordelijke voor de opnames zijn. Tesla maakt ‘slechts’ middelen, en onder de AVG is niet duidelijk in hoeverre dergelijke partijen gehouden zijn AVG compliant middelen op te leveren. Gezien de praktische impact van deze vorm van camerasurveillance is het dus goed dat Tesla deze kant kiest.

Arnoud

 

Is het detecteren van mijn adblocker strafbaar?

Geplaatst op in Ondernemingsvrijheid, Privacy, 50 reacties

Een lezer vroeg me:

Steeds vaker kom ik op websites waar ik een melding krijg dat ik een adblocker (wat correct is) draai en of ik deze wil uitzetten omdat anders mij de toegang wordt geweigerd. Mag dat zomaar? Portscannen is toch strafbaar, dit lijkt mij hetzelfde.
Het zal van de gebruikte detectietechniek afhangen maar algemeen durf ik wel te zeggen dat dit niet strafbaar is.

Steeds vaker gebruiken advertentiegedreven websites adblocker-detectiescripts en krijg je een waarschuwing of aansporing om die uit te zetten. Je kunt zelfs de toegang worden geweigerd. Dat is in beginsel legaal voor private partijen, want zolang er geen feitelijke afhankelijkheid is van die partij kan men allerhande voorwaarden stellen aan de toegang. En “je moet onze advertenties bekijken” is een redelijke.

Omdat advertenties irritant kunnen zijn of zelfs met malware besmet, kiezen veel mensen er voor om adblockers te installeren. Dan kom je dus bij zo’n site binnen terwijl die denken dat jij de advertenties kijkt. En in die wapenwedloop is dan de adblockerdetector weer de volgende stap.

De meeste maken geen gebruik van geavanceerde trucs, zoals de vraagsteller lijkt te denken. Het uitlezen van iemands add-ons zou inderdaad spannend zijn, maar het is vaak al genoeg om te kijken of een bepaald stukje van de webpagina ingeladen wordt of niet. Als de pagina wel maar de banner rechtsboven niet wordt opgevraagd, dan zit daar waarschijnlijk een bannerblocker tussen. Of als een bepaald kader op de pagina verborgen wordt in de browser. Er zijn technieken genoeg.

De volgende vraag is natuurlijk wat je dáár dan weer tegen kunt doen. Behalve Javascript uitzetten heb ik nog niet echt wat kunnen ontdekken dat betrouwbaar werkt.

Arnoud

Twitter laat gebruikers betalen voor tweefactorauthenticatie via sms, mag dat van de AVG?

Geplaatst op in Security, 11 reacties
OpenClipart-Vectors / Pixabay

Bestaande Twitter-gebruikers die van tweefactorauthenticatie (2FA) via sms gebruikmaken zullen hier vanaf 20 maart voor moeten betalen. Dat meldde Security.nl onlangs. Het platform heeft de beveiligingsmaatregel namelijk onderdeel gemaakt van het betaalde Twitter Blue-abonnement. Voor velen reden om me te vragen, “mag dat wel” met name omdat de AVG adequate beveiliging eist en dit toch een manier is om velen van de sms 2fa af te krijgen.

De reden die Twitter opgeeft is het veelvoorkomende misbruik van deze functie, wat met name een probleem is omdat elk sms-bericht Twitter geld kost (en niet de gebruiker). Twitterbaas Musk stelt dat dit aan bots van de telecomoperators zou liggen, wat ik niet helemaal begrijp maar ik ben dan ook maar een jurist.

Oké, dus mag het van de AVG? Die eist immers dat je persoonsgegevens adequaat beveiligt (art. 32) en bij online dienstaccounts van de omvang van Twitter is 2fa dan wel een aangewezen maatregel. Alleen: specifiek de vorm met sms is dan weer de slechtste keuze, omdat sim swapping een makkelijke truc is om de authenticatieberichten om te leiden en daarmee het account te kapen. Een 2fa authenticatieapp of liever nog een securitykey zijn veel betere opties.

De ophef komt met name omdat mensen die voor 2fa kiezen, vrijwel altijd voor sms kiezen en dan zich nu gedwongen zien om over te stappen. Beter zou zijn om nu dus te wisselen naar een authenticatieapp. En dat mag van de AVG.

Arnoud

 

Wehkamp gaat geld vragen voor retouren, mag dat wel?

Geplaatst op in Ondernemingsvrijheid, 17 reacties

Online warenhuis Wehkamp is van plan om klanten ‘binnen enkele maanden’ retourkosten te laten betalen voor pakketten die teruggestuurd worden naar het magazijn. Dat meldde vakblad Linda onlangs. Het gaat in eerste instantie om vijftig cent per teruggestuurd artikel, minder dan de werkelijke kosten (die twee euro bedragen, aldus Wehkamp). Wat natuurlijk de vraag opriep: mag je dat doen, zo een bedragje in rekening brengen?

De achterliggende gedachte snap ik wel: men citeert bijvoorbeeld ceo Graham Harris die zegt “We hebben alles gedaan, geprobeerd het gedrag te veranderen met betere foto’s, hulp bij ‘de goede maat’ kiezen, onze IT-mensen hebben alles uit de kast gehaald en dat hielp allemaal maar iets. Dan kun je niet anders.”

En retourneren dat doen we. Ik las bij Emerce dat 84% van de Nederlanders regelmatig wat terugstuurt, en ik hoor vaak dat in de mode de helft van de bestelde artikelen binnen 14 dagen retour gaat. Dat hakt er wel in natuurlijk.

Hoofdregel uit de wet is dat de consument de retourkosten betaalt (art. 6:230s lid 2 BW):

De consument draagt de rechtstreekse kosten van het terugzenden van de zaak, tenzij de handelaar heeft nagelaten de consument mee te delen dat hij deze kosten moet dragen.
Dubbele ontkenningen zijn nooit leuk. In gewone taal staat hier namelijk “De handelaar draagt de kosten tenzij hij expliciet heeft gezegd dat de consument de retour moet betalen” en dat is precies andersom. Maar hoe dan ook: ja, het mag dus, zolang het (a) de rechtstreekse kosten van retourneren zijn en (b) de handelaar het expliciet heeft medegedeeld.

Dat van punt (a) gaat over het voorkomen van allerlei ‘administratiekosten’ en andere grappen om mensen af te schrikken te retourneren. Dat expliciet mededelen is niet heel moeilijk; je moet vooraf en duidelijk informeren over allerlei zaken en de regeling van retourkosten staat daar expliciet bij (art. 6:230m lid 1 sub i BW). Als het per post retour kan, dan is “u betaalt zelf de retour” genoeg, als het ingewikkeld/groot is dan moet je ook voorrekenen wat het kost.

Die vijftig cent is een arbitrair bedrag maar minder dan de werkelijke retourkosten. Dat is dus legaal, juridisch doet Wehkamp de tegemoetkoming dat je maar een deel van de retourkosten hoeft te betalen.

Legaal is het dus. Maar of het gewaardeerd wordt? Bij retourzendingfaciliteerder Sendcloud citeren ze onderzoek dat 79% van de consumenten gratis wil retourneren, en daar ook zijn winkel op uitkiest. Nou is de Wehkamp natuurlijk een hele grote, en voor een hoop dingen ook de enige (gezien de prijs/snelheid van levering) maar ik ben toch benieuwd.

Arnoud

Universiteit Leiden verwijdert honderden slimme camera’s na privacyzorgen

Geplaatst op in Informatiemaatschappij, Privacy, 6 reacties
edwardbrownca / Pixabay

De Universiteit Leiden gaat honderden slimme camera’s die het tijdens de coronapandemie inzette en eind 2021 na grote ophef uitschakelde definitief verwijderen, las ik bij Security.nl. Het ging om bijna vierhonderd camera’s die zonder eerst een DPIA te doen werden ingezet, en bovendien consequent als ‘sensoren’ of ‘scanners’ werden aangeduid terwijl het dus video-camera’s waren. Ze gingen uit, maar begin januari werd bekend dat de universiteit de camera’s weer wilde inschakelen. Dat leidde tot Kamervragen en nu gaan ze dus definitief uit.

Ik citeer even het universiteitsblad Mare, dat een en ander onthulde:

De beveiliging van de 371 slimme camera’s die de Leidse universiteit tijdens de coronacrisis liet installeren, bevatte grote fouten. Daarnaast is de privacy van studenten en medewerkers geschonden en de medezeggenschap onvoldoende ingelicht. … [G]ebruikers konden zonder in te loggen informatie over de camera zien, en wachtwoorden waren met een onveilige en verouderde versleuteling beveiligd.
De camera’s waren er aan het begin van de corona-lockdownperiode gekomen met als kennelijk doel personen te tellen. Maar ze kunnen veel meer.
Het zijn camera’s van de Zwitserse fabrikant Xovis, en die kunnen veel meer dan tellen. De camerasensoren zijn uitgerust met kunstmatige intelligentie die de beelden constant analyseert. Naast tellen, kunnen ze looproutes volgen van de voorbijgangers, hun lengtes weergeven, inschatten hoe oud personen zijn, wat hun geslacht of humeur is, en zelfs kijken of iemand een gezichtsmasker draagt.
Dat is dan als je alle opties aanzet, maar de universiteit zou voor het enalaagste niveau hebben gekozen: alleen registratie van ‘silhouetten’ en daaruit extraheren van algemene getallen zoals aantal mensen in tijdvak door de gang. Maar de beveiliging daarvan was buitengewoon slecht, zodat iedereen met een béétje kennis dit zo omhoog had kunnen zetten. (Ik citeer “Wie ‘Xovis Universiteit Leiden’ googelt komt meteen uit bij het inlogscherm voor de administrator.” en doe een facepalm.)

De ophef gaf dus aanleiding tot nader onderzoek en vervolgens alsnog een DPIA, maar de druk was zo groot dat men nu besluit de camera’s definitief uit te zetten.

Arnoud

DeGiro moet schade door gekaapt beleggingsaccount deels vergoeden

Geplaatst op in Security, 1 reacties

DeGiro moet de schade die een klant door een gekaapt beleggingsaccount leed deels vergoeden, meldde Security.nl onlangs. De klant probeerde te herstellen van een gekaapt account, maar kreeg te weinig medewerking van de aandelenbroker. Klachteninstituut Kifid vindt de schade beide partijen gelijk te verwijten.

De klant ontdekte vorig jaar maart dat er aankoopopdrachten via zijn account waren uitgevoerd waar hij geen opdracht tot had gegeven. Diezelfde dag nam hij contact op met de broker, die meteen het account blokkeerde, want dit kon wijzen op misbruik door een derde. Vervolgens zou tweefactorauthenticatie aangezet worden, waarna de klant weer mocht inloggen.

Dit duurde alleen even, en die aandelen zaten nog steeds in zijn account en waren ondertussen aan het dalen. Hij kreeg alleen DeGiro niet zo ver om deze te verkopen om zo de schade te beperken. De verkoop lukte pas toen het account weer open ging, maar toen waren er al duizenden euro’s aan schade geleden.

In haar dupliek heeft DeGiro aangevoerd dat de consument op 4 maart 2022 om 16.59 uur twee orders heeft geplaatst, waaruit zij afleidt dat de rekening toen niet meer geblokkeerd was. Volgens DeGiro houdt het feit dat de aandelen pas op 14 maart 2022 zijn verkocht geen verband met het tijdelijk blokkeren van de rekening, maar is dit waarschijnlijk veroorzaakt door de (limiet)prijzen in verkooporders van de consument.
Echt een reactie op de vele mails en dergelijke van de consument is dat niet, en dat is natuurlijk raar. Je kunt natuurlijk normaal wel zeggen dat je alleen opdrachten via het account wil hebben, maar dat gaat hier niet want het account is dicht. En je bent bezig die consument te helpen het probleem op te lossen, dus daar hoort dan ook iéts meer meegaandheid bij in het oplossen van het probleem.

DeGiro is daarmee aansprakelijk voor de gevolgen. Zij het dat het Kifid de schade halveert, omdat de consument ook tekort geschoten was door niet uit zichzelf eerder al tweefactorauthenticatie aan te zetten. Iets waar DeGiro al regelmatig over gewaarschuwd had.

Arnoud

Ethische hackers mogen dankzij nieuwe wet Belgische bedrijven hacken zonder toestemming

Geplaatst op in Security, 14 reacties

Hoogdag voor de ethische hackers, want vanaf vandaag gaat een wet in die hen een pak meer vrijheid geeft. Dat meldde de VRT onlangs. Maar met ook een pak restricties: melden bij de verantwoordelijke binnen 72 uur, geen geld of ander gewin, en iets waar den Floor ambetant van wordt: een geheimhoudingsplicht voor de ethisch hacker. Hoe zit dit juridisch?

Sinds vorig jaar november geldt in België een kaderwet voor de beveiliging van netwerk- en informatiesystemen, waarbij het Centrum voor Cybersecurity België (CCB) de coördinerende instantie is. Eén van hun taken (art. 62 van die wet) is het nemen van maatregelen om te reageren op incidenten, problemen op te sporen et cetera. Die bevoegdheid is ingezet om een beleidsmaatregel te nemen (zouden wij zeggen) over de bekendmaking van kwetsbaarheden aan het CCB.

Het beleid komt neer op een aantal bekende zaken:

  1. Niet verder gaan dan noodzakelijk voor het aantonen van het probleem.
  2. Handelen zonder bedrieglijk opzet of het oogmerk om te schaden. Dat betekent enerzijds jezelf identificeerbaar maken tijdens de hack en anderzijds geen geld vragen achteraf voor de geleverde ‘dienst’.
  3. Het incident zo snel mogelijk melden bij de organisatie. Op diverse plekken lees ik 72 uur, maar dat gaat over incidenten waarbij je persoonsgegevens ontdekt (datalekken), want dat is de AVG deadline. En het CCB ziet dus de ethisch hacker als verwerkingsverantwoordelijke daarvoor, uiteraard naast de ‘echte’ verantwoordelijke. Dat gaat mij wat snel, ik zou dat alleen zo zien als je daadwerkelijk gegevens te pakken hebt gekregen.
  4. Het incident ook zo snel mogelijk melden bij het CCB, tenzij de organisatie een duidelijk responsible disclosure beleid heeft (want daarin staat dan al een meldingsregeling door de organisatie).
  5. Geen informatie openbaar maken zonder toestemming van het CCB.
Als je je aan deze regels houdt, dan geldt een “rechtvaardigingsgrond op limitatieve wijze” in de zin van de strafwet, oftewel dan kun je niet worden vervolgd. Ik zie niet meteen hoe deze regeling het Belgische OM tegen zou houden, maar omdat het beleid vanuit de overheid komt, zou dat in principe genoeg moeten zijn.

In Nederland is de constructie dat bedrijven zelf een responsible disclosure beleid opstellen, en dat het OM in principe niet vervolgt als een ethisch hacker die regels volgt. De bedoeling van zo’n beleid is dat er enige ruimte is om te publiceren, dit hele ding heet immers responsible disclosure en is bedoeld om druk te creëren dat dingen gerepareerd worden. Een veelgebruikte termijn daarbij is 60 of 90 dagen na melding (hoewel de modeltekst van d’n Floor geen deadline noemt).

Natuurlijk kun je als CCB zeggen, niets aan de hand want zodra de situatie veilig is dan geven wij uiteraard toestemming. Maar een afhankelijkheid van een welwillende instantie is niet hetzelfde als een wettelijk recht om iets te mogen doen. Dus dat is wel een vervelende beperking.

Arnoud

 

 

ABN Amro mag onbewerkte kopie van identiteitsdocument toch opslaan

Geplaatst op in Ondernemingsvrijheid, Security, 29 reacties

ABN Amro mag een foto of scan van een onbewerkt identiteitsdocument toch opslaan, aangezien dit niet in strijd met de AVG is, las ik bij Security.nl. De beroepscommissie van het financiële klachteninstituut Kifid oordeelde anders dan de klachtenuitspraak van vorig jaar, waarin het vastleggen en bewaren van een kopie van dit ID-bewijs juist sterk aan banden werd gelegd.

Achterliggende discussie is dat wie bij een bank zit, met enige regelmaat een kopie ID moet overleggen. Dit in verband met anti-witwaswetgeving (de Wet ter voorkoming van witwassen en financieren van terrorisme, Wwft) waarbij “ken je klant” en bewijzen dat je goed hebt gecontroleerd centraal staat. Dat die hele wetgeving niets oplevert behalve een pak bureaucratie daar gaat niemand over, maar dat terzijde.

In de uitspraak van vorig jaar werd bepaald dat om die wettelijke reden de bank dus een onbewerkte kopie (geen watermerk en geen uitgestreepte dingen) mag eisen. Echtheidskenmerken kunnen zijn afgeschermd of verminkt door zo’n bewerkte kopie. En omdat een bank wettelijk verplicht moet toetsen aan die kenmerken, moet de bank dus een originele, volledige kopie van het identiteitsbewijs hebben. Fair enough, maar hoezo mag de bank die kopie dan ook nog bewaren?

Het bewaren van bewijs van die verificatie is geregeld in artikel 33 Wwft. Alleen: pasfoto en echtheidskenmerken zijn nu niet meer relevant, want de check is al gedaan. Dit moet de bank dus afschermen bij het opslaan van de kopie, aldus het Kifid vorig jaar. Maar daar komt men in de interne beroepsprocedure dus op terug, met de voor mij gekunstelde argumentatie dat

Het bewaren van het onbewerkte identiteitsdocument heeft immers (onder meer) tot doel om aan te tonen dat dit cliëntenonderzoek heeft plaatsgevonden overeenkomstig de wettelijke eisen. … [ook] omdat aan de hand daarvan de toezichthoudende autoriteiten kunnen vaststellen of de bank haar wettelijke verplichtingen in het kader van het cliëntenonderzoek heeft nageleefd.
Dit zie ik als de klassieke fout: ja, je moet kunnen bewijzen dat je de identificatieprocedure hebt uitgevoerd, maar nee het is niet noodzakelijk dat je daarvoor de kopie ID laat zien. Als je conform procedure de ID hebt gezien en de bij jou benodigde gegevens hebt overgenomen, inclusief het nummer van het identiteitsbewijs, dan heb je bewijs genoeg dat je het ID hebt gezien. Hoe kom je anders aan die gegevens? Het bewaren van de ID is daarmee een bovenmatige stap. Ik dacht dat we deze discussie al gehad hadden?

Arnoud