Franse decryptieplicht wordt ook toegepast op smartphonelockscreens

Geplaatst op in Regulering, 41 reacties
8385 / Pixabay

Het Franse Hof van Cassatie heeft geoordeeld dat een verdachte in een criminele zaak verplicht kan worden om de lockscreencode van zijn of haar smartphone aan te leveren. Dat meldde Tweakers onlangs. In Frankrijk geldt een absolute decryptieplicht, dus ook voor verdachten. En omdat je lockscreencode ook geldt als decryptiesleutel van alle bestanden op het interne geheugen, valt de lockscreencode daar ook onder. Uiteraard geeft dat de nodige juridische heisa.

Ik zou een boek moeten schrijven over dit soort dingen – oh wacht. Het lijkt erop dat de discussies over encryptie uit de jaren negentig weer helemaal terug zijn, beginnend met het idee dat encryptie door de overheid te kraken zou moeten zijn. Omdat dat technisch niet te doen is, maar je mensen wel kunt dwingen wachtwoorden te vertellen (relevant xkcd) heeft men in Frankrijk gekozen voor een wet die kort gezegd iedereen dwingt op bevel alle data te ontsleutelen waar ze het wachtwoord van weten. Artikel 434-15-2 van de Code Pénal bepaalt (bron vertaling):

A penalty of three years’ imprisonment and a fine of €45,000 are incurred by anyone who, having the key to decipher an encrypted message which may have been used to prepare, facilitate or commit a felony or a misdemeanour, refuses to disclose that key to the judicial authorities or to operate it following instructions issued by the judicial authorities under of title II and III of Book I of the Code of Criminal Procedure.
De kern is dus de sleutel hebben en een redelijk vermoeden dat het bericht bewijs is bij een strafrechtelijke overtreding of misdrijf. De eerste vraag die dan bij iedereen opkomt is hoe de autoriteiten vaststellen dat iemand de sleutel wéét. Dat lijkt nog geen argument in Frankrijk te zijn geweest. Ik zou het ook niet sterk vinden, specifiek bij het lockscreen van je telefoon. Je mag aannemen dat je voorafgaand aan je arrestatie bent geobserveerd, en als een agent dan heeft gezien dat jij je telefoon bediende, en een uur later zeg je “eh sleutel geen idee” dan zou ik dat geheel niet geloven.

Het meer fundamentele argument is natuurlijk waarom je mee zou moeten werken. Je bent immers niet verplicht mee te werken aan je eigen veroordeling? Dat klopt, maar de Europese mensenrechtenjurisprudentie is zodanig dat dat alleen gaat om dingen die afhankelijk van jouw wil zijn. Een vingerafdruk bij iemand nemen is dus geen overtreding van dat verbod, want die vinger die is er los van de wil van de verdachte. Een wachtwoord moeten vertellen is iets dat je weet, dus dat valt dan wel onder die wil van de verdachte. Althans dat vinden we in Nederland, de Franse hoogste rechter dacht daar in 2019 anders over:

Since the right not to incriminate oneself does not extend to data which can be obtained from the data subject by resorting to coercive powers but which exist independently of the will of the person concerned, the Court of Appeal did not disregard any of the legal and conventional provisions referred to in the plea;
Het argument is dus dat de gezochte gegevens bestaan los van jouw wil, en dat die dus wezenlijk anders zijn dan een bekentenis over hoe je de bank beroofd hebt bijvoorbeeld. Het is dan meer een feitelijk complexer verhaal hoe we je dwingen. De sleutel van je fysieke kluis die pakken we van je sleutelbos of we wachten tot je naar de wc geweest bent, dat komt wel goed. Maar een digitale sleutel met fysieke dwang afpakken, dat gaat niet. Daarom juridische dwang. Uiteraard liggen er al vragen bij het EHRM hierover (zaak 23624/20 Minteh).

In deze zaak speelde vooral het argument nog of een lockscreencode van een telefoon wel een decryptie-sleutel is, aangezien hij toegang geeft tot het OS of gebruikersaccount en niet tot opgeslagen data. Maar dat laatste kan heel goed wél het geval zijn: moderne mobiele OS’en slaan data versleuteld op, en pas na ontgrendelen met je lockscreencode wordt de data beschikbaar. Daaarmee is die code dus wél een decryptiesleutel geworden.

Arnoud

 

Is het toegestaan om persoonsgegevens te delen in WhatsApp groepen?

Geplaatst op in Privacy, Uitingsvrijheid, 2 reacties

Een lezer vroeg me:

Is het toegestaan om persoonsgegevens te delen in WhatsApp groepen?(zowel zonder als met toestemming van die persoon). Ik weet bijna zeker van niet, maar kun jij mij helpen in welke artikel van de AVG dit is weergeven?
Persoonsgegevens verspreiden via digitale kanalen is een elektronische verwerking daarvan. De AVG is dan van toepassing. Het maakt niet uit of je dit als bedrijf of als particulier doet, en ook niet of het grootschalig of incidenteel gebeurt.

Als een verwerking onder de AVG valt, moet je een grondslag hebben. Toestemming is zo’n grondslag, dus in het geval dat er (specifiek en duidelijk) toestemming is verkregen, dan mag het. Maar ook zonder toestemming kan het, bijvoorbeeld als de verstrekking nodig is om een overeenkomst uit te voeren. Denk aan het adres van je Marktplaats-koper appen naar je broer die de vaas gaat brengen.

Bij delen in een groep kom je meestal uit bij grondslag van het gerechtvaardigd belang (art. 6 lid 1 sub f AVG). Je zegt dan eigenlijk, zowel ik als deze groep hebben er recht op deze informatie te delen, en we hebben rekening gehouden met de privacy van deze persoon. De vraag is dan wat dat recht is en hoe je dan rekening hebt gehouden.

Een veel voorkomende situatie is dat je wilt waarschuwen voor een verdacht persoon (de buurtapp, het is 4 uur en alles heit wel). Dan zijn de persoonsgegevens dus het signalement (of kenteken) van die persoon en waar die zich dan bevindt. Hierover had ik in 2016 ook al een vraag, het antwoord is eigenlijk ongewijzigd. Zie ook de comments!

Een andere optie is dat iemand in een groep vraagt om contactgegevens, bijvoorbeeld of iemand een oppas of klusser weet. In dat geval zou ik eerder kiezen voor een privéreactie, gezien die vraag is het niet nodig om de hele groep die gegevens te verstrekken.

Een derde optie is dat die persoon lid moet worden van de groep. Dat zou AVG-technisch beter via een privébericht naar een beheerder kunnen, waarbij die bij de persoon navraagt of die het echt wil.

En zo kan ik nog wel even doorgaan. Waarmee ik maar wil zeggen, er is niet één antwoord maar het is een beredeneerde keuze waarbij je met genoeg randzaken rekening moet houden.Arnoud

Wacht even, een passieve radar is nu óók al verboden onder de wapenwet?

Geplaatst op in Regulering, 9 reacties

This really sucks, zo begint het Krakenproject met haar aankondiging: vanwege “regulatory reasons” mogen wij onze passieveradarsoftware niet meer aanbieden als deel van het Kraken software defined radio project. Kraken is een leuk speeltje om gericht naar radiosignalen te kijken, bijvoorbeeld om te bepalen waar een zendmast staat. Maar je kunt zo veel meer dankzij de leuke algoritmes in het pakket. Een hele bijzondere was de passieve radar: deze stuurt zelf geen pulsen uit, maar luistert juist heel zorgvuldig naar binnenkomende signalen met verschillende antennes, waarbij verschillen in ontvangsttijd en -kwaliteit je helpen bepalen waar een bepaald object is. En dat mag dus niet.

Oké dat was een heel pittige intro. Dit artikel in IEEE Spectrum is een stuk duidelijker:

With one hand I pointed the surveillance antenna at the overcast skies and held my phone in the other. Gratifyingly, I almost instantly started seeing a blip on the speed-versus-range radar plot, matched a few moments later by the rumble of an approaching jet. (The plot updates about once every 3 seconds.) Because of the strength of the echoes, I was able to raise the signal-cutoff threshold significantly, giving me radar returns uncluttered with noise, and often with multiple aircraft. A win for SDR!
Het lijkt erop dat dit artikel mede de ondergang is geweest van de feature. Radar heeft namelijk militaire toepassingen, en is daarom als technologie fors gereguleerd. Dit is de bekende (beruchte) International Traffic in Arms Regulation (ITAR) waarmee in de jaren negentig cryptografische software zoals PGP ook werd tegengehouden. Encryptiesoftware wordt onder die wet net zo streng gereguleerd als munitie, maar ook radarsystemen staan erop:
(xxvii) Bi-static/multi-static radar that exploits greater than 125 kHz bandwidth and is lower than 2 GHz center frequency to passively detect or track using radio frequency (RF) transmissions (e.g., commercial radio, television stations);
Naar de letter voldoet een opstelling met de software van Kraken aan die omschrijving, en kennelijk vond iemand bij het Amerikaanse ministerie van Defensie (of een bezorgde jurist bij Kraken) dit reden om bij het project aan de bel te trekken.

Op zich raar, want er is al geruime tijd een “public domain exception“, als informatie of software in het publiek domein beschikbaar is dan geldt exportcontrole daarvoor niet meer. Verder wordt het Kraken project niet in de VS gerund, zij het dat de software wel op het Github-platform van Microsoft staat. Maar op safe spelen bij dit soort regels is natuurlijk geen gek idee.

Arnoud

Nederlandse politie arresteert man om maken van deepfakeporno van BN’er

Geplaatst op in Regulering, 29 reacties

De politie heeft onlangs een 38-jarige Amersfoortse man opgepakt omdat hij een deepfakeporno zou hebben gemaakt van de NPO-presentatrice Welmoed Sijtsma. Dat meldde Tweakers vorige week. De journalist en presentatrice van Goedemorgen Nederland en Op1 maakte er voor omroep WNL een vierdelige docuserie van, Welmoed en de seksfakes. Tijdens het maken van de docuserie is ook de maker van haar nep-filmpje opgespoord, die na verhoor weer is vrijgelaten. Dat roept de vraag op of en hoe deze man strafbaar is.

Een deepfake is een techniek voor het samenstellen van videobeelden met machine learning, meer specifiek een generatief antagonistennetwerk of generative adversarial network (GAN). Heel simpel uitgelegd bestaat een GAN uit twee AI systemen, de een genereert plaatjes en de ander probeert te zien of die gegenereerd zijn. Pas als die laatste ze niet herkent, zijn ze af. Maar los van de technische details, de omschrijving uit het AD “Mijn hoofd is op het lichaam van een pornoactrice gemonteerd.” laat prima zien waar het om gaat. Er zijn immers genoeg andere manieren om dit resultaat te bereiken, ze zijn alleen duurder of arbeidsintensiever dan een GAN.

Is dat strafbaar? Ja. Sinds een paar jaar hebben we een nieuw wetsartikel over onvrijwillige porno, namelijk art. 139h Strafrecht:

Met gevangenisstraf van ten hoogste een jaar of geldboete van de vierde categorie wordt gestraft: a.hij die opzettelijk en wederrechtelijk van een persoon een afbeelding van seksuele aard vervaardigt; b. hij die de beschikking heeft over een afbeelding als bedoeld onder a terwijl hij weet of redelijkerwijs moet vermoeden dat deze door of als gevolg van een onder a strafbaar gestelde handeling is verkregen.
Dit artikel is ingevoerd vanuit de wens om ‘wraakporno’ te bestrijden, zeg maar stiekem je partner filmen tijdens seks en dat publiceren om haar (het is vrijwel altijd een haar) pijn te doen of te vernederen. Maar ik zie geen reden waarom een GAN-gegenereerd beeld hier niet onder zou vallen.

De discussie gaat dan namelijk over de vraag of het een ‘afbeelding’ is. Dat lijkt mij wel: die persoon is herkenbaar in beeld, dat is het hele punt van de deepfake. Dat er geen beeldbewerking is gebruikt en dat je het portret wellicht niet zelf hebt gemaakt, is dan geen argument.

Ditzelfde woord ‘afbeelding’ staat namelijk in het wetsartikel dat kindermisbruikafbeeldingen (csam) strafbaar stelt. Daarbij is door de minister gezegd:

Voorts is sprake van vervaardigen van kinderporno als bijvoorbeeld een verdachte foto’s van kinderhoofdjes op pornografische foto’s van volwassenen plakt, realistische tekeningen of computeranimaties maakt, maar ook als (heimelijk) beeldmateriaal gemaakt wordt van (naakt) spelende kinderen, met een kenbaar seksuele strekking.
In het strafrecht betekenen dezelfde woorden dezelfde dingen. Als dus ‘afbeelding’ in 139h staat, dan geldt die uitleg van de minister ook voor artikel 139h. Dus is een “realistische tekening of computeranimatie” een vorm van “afbeelding”, en je kunt van een deepfake veel zeggen maar “tekening of animatie” dekt de lading prima. En dat de afbeelding een tekening is, is geen bezwaar om het een portret van iemand te noemen, zie het strafbareportretrecht (art. 31 Auteurswet). Ik zie dus het probleem niet.

Werkte ik bij de politie dan was ik een minderheid, want in NRC schrijft onderzoeker Marthe Goudsmit:

De huidige wettekst biedt wel ruimte voor een interpretatie waarbij deepfakes ook strafbaar zijn, maar is daar niet duidelijk over. Daardoor komt een slachtoffer dat aangifte wil doen in een soort lekkende pijpleiding terecht: allereerst zal de politie moeten inschatten dat pornografische deepfakes onder de huidige strafwet vallen. Als de politie denkt van niet, kan geen aangifte worden gedaan. Als de politie de aangifte echter wel opneemt, is voor vervolging nodig dat er een officier van justitie is die er brood in ziet. Als dat dan ook het geval is, zal uiteindelijk de rechter moeten bepalen of in art. 139h Sr met ‘beeldmateriaal’ ook nepfoto’s bedoeld worden. In het beste geval zegt de rechter ‘ja’. Maar de rechter kan ook ‘nee’ zeggen, en dan heeft Nederland geen wet die pornografische deepfakes strafbaar stelt.
De huidige richtlijnen van het OM gaan inderdaad niet in op het aspect “is een foto van werkelijk gebeurde seks” versus “een hoofd is op andermans lijf geplakt”. Ik vermoed omdat de aandacht twee jaar geleden vooral ging over dat eerste, deepfakes bestonden wel maar waren nog geen maatschappelijk fenomeen. Dat is wel een héél frustrerende opstelling.

Persoonlijk zou ik bij zo’n onduidelijkheid juist zeggen, forceer een uitspraak. Hoe dan ook is duidelijkheid beter dan gedraai en “mja wie weet”, toch?

Arnoud

Basisschoolleerling bestelt per ongeluk voor half miljoen euro aan lesmateriaal

Geplaatst op in Ondernemingsvrijheid, 11 reacties
OpenClipart-Vectors / Pixabay

Een basisschoolleerling in Vught heeft per ongeluk voor 500.000 euro aan lesmateriaal besteld op de webshop van uitgever Malmberg, meldde de NOS onlangs. Toen het de jongen niet lukte om in te loggen in het online rekenprogramma, kwam hij (groep 7) via-via op de site van Malmberg, waar het aanmaken van een account voor de webshop een fluitje van een cent bleek. En kennelijk dus ook het doorlopen van het bestelproces. Zo werd het uiteindelijk voor alle partijen een bijzondere, maar leerzame ervaring. Wat moeten we hier juridisch van vinden?

De bestelling viel direct op bij medewerkers van uitgever Malmberg, het gebeurt ook niet elke dag dat je van een nieuwe klant een order van een half miljoen krijgt. Snel onderzoek onthulde dat er geen order vanuit een medewerker was geplaatst, waarna de naam werd herleid tot een jongen uit groep 7.

Wat ging hier nu mis? Kennelijk mocht je bij de webshop van Malmberg een account aanmaken voor een school enkel op basis van (de domeinnaam uit) het e-mailadres van de school. Waardoor deze leerling (ja, in groep 7 heb je een schoolmailadres) dus een account kon maken, en vervolgens kon bestellen op factuur. Dat voelt security-technisch niet geheel wenselijk, hoewel het een compliment is voor de UI-designer dat je webshop door kinderen (9-11) bruikbaar is.

Was de bestelling nou bindend geweest voor de school, vroegen diverse mensen me in de mail. Ze hadden het immers kunnen opvatten als een legitieme order vanuit dat domein. In dit geval niet: de order was kennelijk zeer opvallend, en dan moet je eraan twijfelen. En als je twijfel hebt of moet hebben, dan mag je niet gerechtvaardigd vertrouwen op de juistheid van de wilsuiting (zoals dat juridisch heet) en kun je de wederpartij er niet aan houden. Zie ook die zaak waarin Bol.com in een phish trapte, die hadden ook beter moeten opletten.

Als het nou één lesboek was geweest, dan was dat misschien anders komen te liggen. Het is niet raar dat een school een boek bijbestelt, en dan doet het er eigenlijk ook niet toe hoe de inkoper heet. Misschien juist wel niet, omdat het dan gaat om een sproetje tijdens het leerjaar. Dus die order zou afgehandeld worden, en dat zou dan terecht zijn omdat de afgesproken authenticatie neerkwam op “inkopers hebben een emailadres van het domein van school”. Dat is nu aangepast: nieuwe accounts  bij Malmberg moeten voortaan eerst worden goedgekeurd door de directeur en het hoofd van de ICT.

De leerling kreeg een gesprekje, de uitkomst daarvan is me niet heel duidelijk. In de jaren tachtig had men dit denk ik als hacken gezien, in de jaren negentig had hij een baan als ict-securitymedewerker aangeboden gekregen, en in de jaren tien wellicht verwijdering van school wegens overtreding van de terms of service? Gelukkig klinkt deze school heel verstandig.

Via Twitter nog een aanvulling:

Wij kregen een aantal jaar geleden allemaal zichtzendingen voor een bepaald vak. Was aangevraagd door een leerling die de huidige methode niet leuk genoeg vond. Kon het wel waarderen.
Waarvan akte.

Arnoud

Moet je een klant helpen migreren naar de concurrent?

Geplaatst op in Ondernemingsvrijheid, 2 reacties
OpenClipart-Vectors / Pixabay

Als je een maatwerk-webshop voor een klant bouwt, en je krijgt later ruzie, ben je dan verplicht die klant te helpen migreren naar de concurrent? Oh jee, dat is weer zo’n zorgplicht-vonnis hè? Ja, dat is weer zo’n zorgplicht-vonnis. En zoals bij elk zorgplicht-vonnis komt het aan op hoe je je contract hebt opgesteld en wat daarbij redelijk was om vast te leggen. In dit geval: ja, je moet deze klant helpen migreren, rot voor je dat je ruzie hebt.

In 2019 ontwikkelde de gedaagde (een online marketingbureau) voor een wellnesscenter een webshop, op basis van het open source Magenta pakket. Dit voor een fixed fee met jaarlijks onderhoudskosten, waarbij naast een eigen ontwikkelcontract ook de Nederland ICT voorwaarden werden gebruikt. (De heersende mening is dat wie met NL ICT contracteert, niets hoeft maar wel geld mag pakken van de klant.) Ook werd een specifieke SLA afgesloten voor € 7920 per jaar.

Tijdens de looptijd van bovengenoemde twee overeenkomsten is er tussen partijen veelvuldig gediscussieerd over de correcte nakoming van de uit de ontwikkelovereenkomst voortvloeiende verplichtingen, zo lees ik dan in het vonnis. Juristen weten dan: ruzie in de tent. Op de details gaat de rechter nu niet in, wel zie ik een smak ingebrekestellingen én een stapel facturen. Dit leidde uiteindelijk tot een buitengerechtelijke ontbinding, gevolgd door de nodige stevige gesprekken waarna een kortlopende SLA (één maand met stilzwijgend maandelijkse verlenging) werd gesloten.

Nu wilde de klant overstappen naar de concurrent, wat de ontwikkelaar weigerde. En kon weigeren: hij had de exclusieve toegang tot de Github-broncodeomgeving, de ssh keys voor de productieomgeving, de API-sleutels en dergelijke voor koppelingen met derden en ga zo maar door. Oh, en natuurlijk het fundamentele punt van de auteursrechten op de shop, die conform de voorwaarden bij hem zouden zijn gebleven.

De rechter doet echter wat de rechter moet doen: het contract uitleggen op zoek naar de bedoelingen van partijen, in plaats van slaafs artikel 10.2 van de Nederland ICT voorwaarden voor te lezen. Het ging hier immers om een ontwikkelovereenkomst voor een eenmalig bedrag, gevolgd door een jaarlijkse vergoeding voor beheer van een en ander.

Anders dan [gedaagde] betoogt kan hieruit niet worden afgeleid dat partijen hebben beoogd aan [eiseres] slechts een gebruiksrecht van webshop toe te kennen gedurende de looptijd van de overeenkomst. Daarbij is van belang dat de overeenkomst niet voor een bepaalde duur is gesloten en evenmin sprake is van een betaling van een vergoeding voor het gebruiksrecht gerelateerd aan de duur van de overeenkomst. Integendeel, er is juist een substantieel eenmalig bedrag voor de ontwikkeling van de webshop afgesproken en daarnaast een terugkerend bedrag voor het technische beheer.
Impliciet schemert daar doorheen dat er iets ‘gekocht’ is, of dat de rechten afgekocht worden als je op deze manier contracteert. Een op zich normale constructie in het auteursrecht. En zo’n afspraak gaat dan – als maatwerkafspraak – boven het bepaalde in de algemene voorwaarden. Dat gebruiksrecht dat is er dus nog.

Moet de leverancier meewerken aan migratie? Dat onderwerp was al regelmatig langsgekomen in de onderhandelingen, tussen het gooien met ingebrekestellingen en facturen door. Daar had hij zich bereid verklaard daar wellicht wel aan mee te werken. En dat krijgt hij nu terug in het gezicht:

Zo heeft [gedaagde] in haar brieven van 22 juli 2022 en 26 juli 2022 (prod. 17 bij dagvaarding) voorstellen gedaan aan [eiseres] om, weliswaar onder voorwaarden, tot migratie van de webshop over te gaan. [gedaagde] kan redelijkerwijs niet, voor het eerst in dit kort geding, onder verwijzing naar haar algemene voorwaarden, het standpunt in te nemen dat van een verplichting om medewerking te verlenen aan migratie (al dan niet onder voorwaarden) geen sprake zou zijn, daar waar zij eerder de bereidheid heeft getoond aan migratie haar medewerking te verlenen.
Ook moet je zo’n vérstrekkende consequentie van een overeenkomst – je betaalt 40k maar als het contract opgezegd wordt, heb je niets – wel iets explicieter melden dan hier is gebeurd, namelijk in het geheel niet totdat men bij de rechter stond. Ik haal daaruit, zet dit expliciet (dus met gewone letters) in je opdracht of offerte. Nee, dat zullen ze niet leuk vinden en ze gaan vast zeggen dat ze zelf eigenaar willen worden en willen weten hoe de dienst blijft draaien als jij ermee stopt. Maar voor iedereen is het beter dat je die discussie voert in het offertetraject, lijkt me.

Dan nog het laatste punt, de openstaande facturen. Veel ondernemers redeneren, er is een openstaande vervallen factuur, ik hoef niets te doen. Dat klopt in principe, je hebt een opschortingsrecht, je mag je werkzaamheden staken als er niet betaald is ondanks een ingebrekestelling. Echter, de opschorting moet wel in verhouding staan tot de schuld. Dat was hier niet zo: van de € 48.553 fixed fee was 40.000 euro voldaan, en de facturen van de overige kosten waren nog niet opeisbaar. Dus dan blijft er te weinig over om een migratie te mogen weigeren.

Ik moest lachen bij het verweer dat de vordering van de webshop tot migratie “onvoldoende bepaald is om te worden toegewezen in kort geding.” Oftewel: de wellness heeft niet gespecificeerd wat zij met een migratie bedoelt, hemeltjelief nu weet ik als IT-professional écht niet wat er moet gebeuren met een Magento-omgeving die ik zelf gebouwd heb en waarvoor ik eerder heb gezegd dat migratie bespreekbaar is. Oh ja, en de beoogde opvolger had een keurig stappenplan aangeleverd met wat er zou moeten gebeuren, en dat was bij de dagvaarding gevoegd. Migreren dus, en wel zo snel als redelijkerwijs haalbaar. Anders een dwangsom die op kan lopen tot een ton.

Bezorgde ondernemers mailen me bij zo’n blog dan vaak, met wat voor tekst in de voorwaarden had deze ondernemer dit kunnen voorkomen? Goeie vraag. Antwoord hangt er dus vanaf wat je wilt bereiken, wil je (tegen redelijke kosten en zo) migraties mogelijk maken, of wil je echt de stekker eruit kunnen trekken en de shop door het putje als je klaar met de klant bent? In beide gevallen geldt dat je dat prima kunt opschrijven, daar heb je echt geen jurist voor nodig:

  • In geval van beëindiging van onze samenwerking zullen we in goed overleg een migratieplan maken om uw webshop tegen een redelijke vergoeding over te zetten naar een door u aangewezen derde. Hierbij bent u een afkoopsom van X verschuldigd voor de auteursrechten op de shop, die wij ons voorbehouden. Openstaande facturen dienen vooraf voldaan te worden.
  • Let op: bij beëindiging van deze overeenkomst kan geen migratie van de aan u geleverde shop worden verricht. U dient in de opzegtermijn (3 maanden) de data te downloaden die u wenst te behouden. De shop en al hetgeen daarmee samenhangt wordt vernietigd op de laatste dag van de overeenkomst. Auteursrechten voorbehouden: het elders herpubliceren van de shop is nadrukkelijk niet toegestaan, ook niet na einde overeenkomst.
Ik geef meteen toe dat die laatste niet heel vriendelijk is en de conversie vast zal verminderen. Maar als je dat bedoelt, dan moet je dat zeggen. Bij beëindiging “ja haha volgens artikel 11.723 sub b algemene voorwaarden hebben we alles daarnet vernietigd” zeggen is écht niet redelijk en gaat je een hoop geld kosten bij de rechter.

Arnoud

Mag ik bijnamen of afkortingen gebruiken als ik online wat bestel?

Geplaatst op in Informatiemaatschappij, nog geen reacties
mohamedhassan / Pixabay

Een lezer vroeg me:

Als ik online iets koop, wil ik natuurlijk aanspraak kunnen maken op mijn rechten. Zoals garantie of binnen 14 dagen retourneren. Ik wil ook vastleggen welke producten ik voor mezelf koop en welke mijn vrouw en ik als getrouwd stel kopen, mede als bewijs bij een onverhoopte scheiding wat van wie is. Wat zegt de wet over naamsvermelding? Kan ik verschillende afkortingen of bijnamen gebruiken bijvoorbeeld?
Het is inderdaad zo dat als je aanspraak wilt maken op een wettelijk recht, je moet bewijzen dat je dat recht hebt. Een factuur van een winkel op jouw naam is daar een prima manier voor. Maar het is niet de enige manier.

Juridisch ligt de lat bij geschillen tussen burgers onderling bij “aannemelijk maken”, zeg maar “het is waarschijnlijker wel zo dan niet”. De lat uit het strafrecht ligt vele malen hoger – geen enkele redelijke twijfel – maar daar hebben we hier niet mee te maken.

Concreet: een reply op de bestelbevestigingsmail of een ingevuld retourformulier met het ordernummer zou genoeg moeten zijn. Een betalingsbewijs met ordernummer is ook genoeg, het is immers toegestaan voor een ander te betalen. Ik ken weinig winkels die daar moeite mee hebben.

Het is volstrekt legaal om je naam bij een bestelling anders dan op je paspoort te schrijven. Het enige is dat je het dan ingewikkeld maakt als je achteraf wilt bewijzen dat die bestelling van jou was, aangezien dat dan niet meer met je paspoort kan. Menigeen (ikzelf ook) bestelt online met variaties op [email protected] of abonneert zich als “Arnoud Cosmopolitan Engelfriet” op diverse tijdschriften. Zie je gelijk waar anderen je gegevens vandaan kopen.

Arnoud

Microsoft en Github aangeklaagd voor opensourceschending door AI tool

Geplaatst op in Informatiemaatschappij, Intellectuele rechten, 17 reacties
Otto, the inflatable autopilot from the movie “Airplane.”

Programmeur en jurist Matthew Butterick heeft Microsoft en Github aangeklaagd vanwege schendingen van opensourcelicenties, las ik bij Bleeping Computer. De reden is Github’s tool Copilot, een AI code generator die getraind is op de bergen software die op Github gehost worden. De generator blijkt regelmatig lappen tekst uit bestaande werken 1-op-1 aan te leveren, zonder daarbij de juiste licentie + bron te noemen. Hoe zeiden ze dat ook weer, één bron jatten is plagiaat en duizend is inspiratie?

Vorig jaar bracht Github de dienst Copilot uit, een AI-gedreven pair programmer die ontwikkelaars helpt bij het schrijven van code. Copilot stelt contextgebonden code en functies voor, en helpt actief bij het oplossen van problemen door te leren van de code die iemand schrijft. “Trained on billions of lines of public code, GitHub Copilot puts the knowledge you need at your fingertips, saving you time and helping you stay focused.” Het idee is vrij simpel: soms heb je even een klein zetje nodig, een paar regels code om weer verder te kunnen – of om te beseffen, nee dit is precies niet hoe het moet. (Ik experimenteer zelf met Lex.page, die dit doet voor tekstschrijvers, als iemand een invite wil hoor ik het graag.)

Het probleem is natuurlijk: die suggesties moeten ergens vandaan komen. Dat is dus die inspiratie, die patronen die Copilot leert herkennen in honderdduizenden bestanden met source code. Net zoals Lex.page en vele andere tools dat doen met tekst, en DALL-E en consorten met afbeeldingen. Alleen: die hebben een bronbestand dat orde van groottes ruimer is. Alle teksten van heel internet versus alle geprogrammeerde software op Github, dat scheelt nogal een slok op een borrel. Daar komt bij dat er bij software nou eenmaal heel wat minder manieren zijn om iets aan te geven, het moet nou eenmaal technisch aansluiten op het voorgaande.

Het verbaast mij dan ook helemaal niets dat je bij Copilot veel vaker gewoon een lap code uit eerdere software krijgt, “hier, zoals deze het doet”. Dat is helemaal logisch gezien context en dataset, alleen is dat juridisch dus problematisch want een lap broncode in je eigen werk overnemen noemen wij auteursrechtinbreuk tenzij dat mag van de licentie. En aangezien dat dus vaak een opensourcelicentie is, krijg je dan te maken met eisen zoals naamsvermelding of – bij de GPL – het weer moeten open sourcen van je eigen broncode wanneer je dat werk publiceert.

Naar goed Amerikaans gebruik is Butterick dus nu een class action lawsuit begonnen, waar iedereen mag meedoen die ook code op Github heeft staan. Het lastige bij zulke zaken is altijd bewijzen dat jouw werk is overgenomen. Maar specifiek bij dit soort Amerikaanse zaken kan dit interessant worden: als onderdeel van de discovery procedure moet Github op zeker moment onthullen hoe zij aan haar dataset is gekomen. En dan kun je gewoon zien dat jouw code daarin is opgenomen (of niet, maar dat lijkt onwaarschijnlijk).

Arnoud

Oh jee, gaat je TikTok-data nu ineens naar China, dat wist ik niet?

Geplaatst op in Ondernemingsvrijheid, Privacy, 16 reacties
geralt / Pixabay

TikTok gaat zijn Europese privacybeleid aanpassen, las ik bij Nu.nl. (Ruud help: zijn of haar beleid?) In de nieuwe versie van het document meldt het sociale netwerk dat data van Europese gebruikers toegankelijk zijn voor TikTok-medewerkers buiten Europa, en noemt Volksrepubliek China expliciet. Dat riep vele vragen op, want echt thee kun je dit niet noemen.

Het bedrijf achter de app TikTok valt onder de AVG, en moet dus melden naar welke landen buiten de Europese Economische Ruimte ze persoonsgegevens overbrengt. TikTok doet dat, zo schrijven ze, alleen aan andere onderdelen van haar “corporate group”, zeg maar het concern. En dan krijg je alinea’s als deze, die tentamenstof zijn voor onze opleiding FG:

Standard contractual clauses: Certain entities in our Corporate Group located in countries without an adequacy decision are granted, under standard contractual clauses, limited remote access to information described in What Information We Collect to provide important functions. These entities are located in Brazil, China, Malaysia, Philippines, Singapore, and the United States.
A lot to unpack here, zou de psycholoog zeggen. TikTok laat zusterbedrijven in andere landen bepaalde diensten uitvoeren en die hebben daar persoonsgegevens bij nodig. Als ik de privacyverklaring snel lees, dan gaat dat bijvoorbeeld om moderatie en controle van klachten. Als er klachten komen dat jij mensen lastigvalt via direct messages, dan is het logisch dat iemand in Singapore dan je direct messages krijgt.

TikTok mag niet zomaar gegevens naar die genoemde landen brengen, omdat die niet “adequaat” zijn, dat wil zeggen geen databeschermingswetgeving hebben die equivalent is aan de Europese. Daar is dan een juridisch lapmiddel voor, te weten de standard contractual clauses, een enórme lap met afspraken die de ontvanger buiten de EU dan moet tekenen. En als ze dat doen, dan weet je in de EU dat het goed zit. Op papier dan.

Een van de genoemde landen is China, niet gek want het bedrijf Bytedance achter TikTok is gevestigd in Beijing. Het komt voor mij dus zacht gezegd niet als verrassing dat er data van TikTok vanuit China benaderbaar is. Maar goed, nu kunnen we er niet meer omheen.

Heeft het gevolgen? Nee, niet direct, althans tenzij ons kabinet inderdaad Tiktok dit gaat verbieden maar hoe dat zou moeten gebeuren (gezien dit Europese regels zijn) zou ik niet weten. en we zitten nou eenmaal met de fictie dat iedereen vrijwillig op TikTok zit en toestemming geeft voor het gebruik, waarbij dankzij de SCC de MSS er niet aan mag, cap. Ik bedoel: dat de Chinese geheime dienst vanwege die contractuele afspraken écht niet aan die gegevens zal komen.

Arnoud

Gerard Sanderink is geschorst als bestuurder IT-bedrijf Centric

Geplaatst op in Informatiemaatschappij, 24 reacties

De Ondernemingskamer heeft Gerard Sanderink geschorst als bestuurder van IT-bedrijf Centric, meldde Tweakers vrijdag. Volgens de speciale zakelijke kamer van het gerechtshof Amsterdam is “de heer Sanderink niet in staat het belang van Centric gescheiden te houden van zijn privébelangen” en is er “aanleiding te twijfelen aan het vermogen van Sanderink om rationele beslissingen te nemen.” Geen grappen dat dit lijkt op Elon Musk bij Twitter alstublieft: dit is best heftig en voor zover ik weet de eerste keer in de Nederlandse geschiedenis.

In oktober stapte het OM naar de rechter, omdat Sanderink als directeur was teruggekomen na de nodige ophef vanuit met name grote overheidsklanten. Ik plagieer mezelf even:

Centric is een van de oudere ICT-bedrijven in Nederland (1992), en is vooral bekend omdat ze vele ICT-opdrachten voor de overheid uitvoert. Al sinds jaar en dag is Gerard Sanderink er de grote baas, en alles kabbelde netjes voort totdat Sanderink kennis kreeg van Rian van Rijbroek, over wie ik eigenlijk niet blogde maar die dus een enorme reputatie heeft in de ICT- en security-community. Alleen geen hele goeie.
De Ondernemingskamer schakelt snel, en dat moet ook want het gaat hier om grote belangen van een belangrijk automatiseringsbedrijf. Zo leveren zij het meestgebruikte pakket voor basisregistratie bij gemeenten, en is DNB grootverbruiker van Centric software. Ook ASML was klant, maar heeft zich teruggetrokken vanwege deze ophef.

Er is veel aan de hand, waarover ik de vorige keer blogde. Het grote probleem was vooral dat de privéproblemen van Sanderink werden uitgevochten via Centric, wat grote zakelijke ophef gaf en gezien de belangen is dat absoluut onwenselijk. Vandaar dus de stap van het OM, en de Ondernemingskamer klinkt behoorlijk geschrokken:

„De werving van nieuw personeel stokt, de Nederlandse activiteiten van Centric zijn inmiddels verlieslatend geworden”, motiveerde de Ondernemingskamer haar besluit. „Dit vormt een acute bedreiging voor de onderneming. Er bestaat gegronde reden om te twijfelen aan de juistheid van het bij Centric gevoerde beleid.”
Dat vormt een directe bedreiging voor de continuïteit van de dienstverlening, wat dus het hele land zou kunnen raken. Vandaar de enorme snelheid (twee weken van start procedure tot uitspraak) en ook de impact van de uitspraak: Sanderink wordt geschorst als bestuurder, en zijn aandelen (op 1 na) worden aan een nader te noemen derde overgedragen.

Door deze uitspraak kan hij – althans juridisch – geen invloed meer op het bedrijf uitoefenen. Hoe dat in de praktijk uit gaat pakken, zou ik nog even benieuwd naar zijn. In december vorig jaar onthulde Tubantia dat dat Van Rijbroek al sinds oktober 2020 greep heeft op Sanderinks bedrijven, als mede-certificaathouder in de stichting administratiekantoor (Centric ontkent met klem).

Arnoud