Justitie dreigt naar rechter te stappen na terugkeer Sanderink bij Centric

Geplaatst op in Informatiemaatschappij, 4 reacties

Het Openbaar Ministerie roept de veelbesproken miljonair Gerard Sanderink op toch niet weer topman te worden bij zijn IT-bedrijf Centric. Dat meldde AG Connect onlangs. Na anderhalf jaar geleden te zijn teruggetreden, ziet Sanderink er nu geen probleem meer in kennelijk om weer aan het roer te staan van het schommelende bedrijf. Deel zoveel in een eindeloze soap.

Centric is een van de oudere ICT-bedrijven in Nederland (1992), en is vooral bekend omdat ze vele ICT-opdrachten voor de overheid uitvoert. Al sinds jaar en dag is Gerard Sanderink er de grote baas, en alles kabbelde netjes voort totdat Sanderink kennis kreeg van Rian van Rijbroek, over wie ik eigenlijk niet blogde maar die dus een enorme reputatie heeft in de ICT- en security-community. Alleen geen hele goeie.

Wat er precies is gebeurd zullen we denk ik nooit weten, maar op hoofdlijnen komt het erop neer dat Sanderink een relatie met Van Rijbroek kreeg, waarna enorme hommeles ontstond met zijn ex-partner Brigitte van Egten. Sanderink beschuldigt die van van alles en nog wat, wat tot vele procedures leidde waar Sanderink eigenlijk altijd bij verloren heeft. En met boter en suiker ook nog, inclusief miljoenen aan dwangsommen en tuchtklachten voor de advocaat.

En het was me wat aan bizarre verhalen:

Van Rijbroek bleek, via de mailaccounts van Sanderink, duizenden mails te hebben verstuurd naar ministers, hoge ambtenaren, journalisten en zakelijke relaties van Sanderinks bedrijven. De mails bevatten bizarre beschuldigingen aan het adres van Sanderinks ex-vriendin Brigitte van Egten. Niet alleen over vermeende fraude en diefstal, ze werd ook beschuldigd van seksuele relaties met Afrikanen, activiteiten in de porno-industrie, connecties met drugscriminelen en het omkopen van journalisten.
Centric kon zich daar lange tijd bij afzijdig houden (“privékwestie in de relatiesfeer”), maar dat veranderde in april toen het bedrijf voor bijna 2 miljoen beslag liet leggen bij van Egten onder het mom van een schadeclaim. Misbruik van recht, noemde de rechtbank dat in mei, en dat is een keihard oordeel waar normale advocaten zich diep voor schamen. Toevallig was het bedrag namelijk precies de verbeurde dwangsommen van Sanderink (A):
Hoewel DSS en Centric c.s. hebben benadrukt dat zij volledig los van elkaar opererende vennootschappen zijn, zijn zij kennelijk (ongeveer) gelijktijdig en pas na het vonnis van 25 november 2021 op het idee gekomen dat zij een forse vordering op [eiseres] hebben die (in totaliteit) het bedrag aan verbeurde dwangsommen overschrijdt. Dat is op zijn minst opmerkelijk te noemen en is zonder dat [A] daarbij een bepaalde rol heeft gespeeld, niet (goed) verklaarbaar. Naar het oordeel van de voorzieningenrechter zijn DSS c.s. er in ieder geval niet in geslaagd om hiervoor een aannemelijke verklaring te geven. Ter gelegenheid van de mondelinge behandeling is namens DSS en Centric c.s. verklaard dat het twee cliënten van dezelfde advocaat zijn, die vaststellen dat zij beide een vordering op [eiseres] hebben. De voorzieningenrechter kan daarvoor geen andere reden zien dan dat zowel DSS en Centric c.s. een band heeft met [A] en dat de laatste het geschil met [eiseres] heeft zoals dat hiervoor besproken is.
Naar aanleiding van deze ophef en forse druk van grote klanten (met name DNB en AFM) besloot Sanderink zich als bestuurder terug te trekken. Vanwege niet nader uitgelegde “recente ontwikkelingen binnen Centric” komt hij nu weer terug, en daar schrikt het OM van:
Op woensdag 19 oktober heeft dhr. Sanderink echter zitting genomen in het bestuur van Centric. Daarmee is een streep gezet door alle inspanningen van het OM, het bestuur en de ondernemingsraad van Centric. De onderneming blijkt zelf onvoldoende in staat te zijn om de rust te herstellen. Het OM concludeert daarom dat het aangewezen is de Ondernemingskamer te verzoeken om te beslissen of,  en zo ja,  welke maatregelen nodig zijn om de stabiliteit en continuïteit van Centric te waarborgen.
De Ondernemingskamer is een speciale afdeling van het gerechtshof in Amsterdam die zich richt op het beslechten van geschillen binnen bedrijven. Normaal doet die alleen procedures tussen bedrijven (en bedrijven en hun bestuurders), maar het OM kan verzoeken de zogeheten enquêteprocedure uit te laten voeren in het algemeen belang.
De gedachte is dat de Ondernemingskamer van het gerechtshof Amsterdam (OK) op verzoek van de aandeelhouders of een betrokken vakorganisatie en de vennootschap zelf een onderzoek kan gelasten naar het beleid en de gang van zaken van de vennootschap (het kan overigens ook gaan om een coöperatie of een onderlinge waarborgmaatschappij, maar in de praktijk gaat het bijna altijd om een besloten of naamloze vennootschap).
Het is wel een signaal van jewelste, het komt zeer zelden voor dat het OM deze stap neemt. In het FD kwamen ze niet verder dan motorbendes (No Surrender en Bandidos) en fraude bij de mondkapjesdeal van Stichting Hulptroepen Alliantie, in goed gezelschap ben je dan.

Ondertussen dient op 31 oktober een bodemprocedure van Van Egten tegen Van Rijbroek, diverse Centric-directeuren, de bedrijven zelf en zo ongeveer iedereen verder die hier een rol in speelt.

Man man man man man.

Arnoud

Eenzijdig nieuwe voorwaarden op je site zetten is niet bindend

Geplaatst op in Ondernemingsvrijheid, 17 reacties

Nieuwe voorwaarden alleen op je site zetten is niet genoeg, las ik bij de onvolprezen Eric Goldman (althans Kieran McCarthy): die zijn in de VS alleen bindend als je ze daadwerkelijk actief mededeelt aan je gebruikers. In de oude voorwaarden zetten “kom regelmatig maar controleren of bovenstaande anders is” kan dus echt niet meer, en interessant genoeg eist de rechtszaak waar McCarthy over blogt ook nog eens bewijs van het actief mededelen. Dat kan nog een pittige worden, ook bij ons.

In het Amerikaans recht noemen ze website-voorwaarden vaak nog “browsewrap” voorwaarden, je gaat er mee akkoord door op de site te bladeren. Daar zit dus een grens aan: je moet wel constructive notice hebben gehad dat er voorwaarden zijn, en hetzelfde geldt voor wijzigingen daarvan. Zoals Goldman zegt, “The Company may update these terms of use at any time by posting updates to this site.”  is dus altijd al dubieus geweest.

In Nederland had zoiets ook niet gewerkt. Bij ons moet bij het aanbod gemeld zijn dat de voorwaarden van toepassing zijn, en moet je ze kunnen lezen (en downloaden/opslaan, bij internettransacties). Je hoeft geen apart akkoord op de voorwaarden te geven, zo’n tekst als “Door op Bestellen te klikken ga je mede akkoord met de voorwaarden” of zelfs “Op ieder gebruik van deze dienst zijn onze voorwaarden van toepassing” is genoeg. Mits er een link naar de PDF bij staat en die zin niet te missen is in het bestelformulier. Dit geldt ook voor nieuwe voorwaarden, die moeten op dezelfde manier worden gemeld.

Wat nog intrigerend is is de afsluiter die McCarthy signaleert:

What’s more, the burden on websites to provide technical evidence of notice is perhaps greater than we might previously have expected. Mere assertions and declarations might not get the job done anymore. It was always a good idea for IT departments to track with cookies or logs whenever a user assents to an online agreement. But now it’s looking like a “need to have” instead of just a “good to have.”
Die “declaration” was in dit geval een verklaring van de advocaat van eiser dat er een popup was geweest met een verwijzing naar de nieuwe voorwaarden. De rechter gaat daaraan voorbij en wil daadwerkelijk objectief tastbaar bewijs van die popup. En dat gaat voor heel veel mensen een héle lastige worden als ze dat zouden moeten aantonen.

In Nederland hebben we zoiets in 2015 bij de hand gehad: een IT-leverancier stelde dat de klant bij een offerte via de website akkoord was gegaan met de de bekende FENIT voorwaarden:

Dat ter hand stellen [van de voorwaarden, wat verplicht is om ze verbindend te verklaren] kwam hier neer op bewijzen dat de voorwaarden op de site stonden op 31 mei 2010, de dag dat de overeenkomst werd gesloten. De persoon die de website had gebouwd, verklaarde als getuige dat hij in 2010 een document had gehad en dat zonder te lezen op de pagina van de voorwaarden had gezet. Niet heel sterk, en bovendien was deze persoon óók nog eens directeur van Quantaris. Een partijgetuige, zoals dat heet, wordt niet zomaar geloofd als ze dingen verklaren in hun eigen voordeel.
Ook waren screenshots van de oude site (die ondertussen weer online waren gezet) in gebracht als bewijs, maar dat overtuigt de rechter nog minder:
[Er] kan uit die schermafdrukken op geen enkele wijze worden opgemaakt dat de FENIT-voorwaarden 2003 op de ten deze relevante datum 31 mei 2010 gemakkelijk toegankelijk waren via de site http://www.quantaris.nl. De schermafdrukken vermelden geen enkele, in dit verband relevante datum. Bovendien wijkt de schermafdruk van de website van Quantaris.nl af van de screendumps van de website van Quantaris.com die Quantaris als producties 18 tot en met 20 in het geding heeft gebracht.
Hoe dit op te lossen, daar ben ik nog steeds niet over uit. Iemand een suggestie?

Arnoud

AI recruitmentsoftware is “automatische pseudowetenschap”, wat zal de wet ervan vinden straks?

Geplaatst op in Ondernemingsvrijheid, Privacy, 2 reacties
geralt / Pixabay

Een recente studie van de Universiteit van Cambridge laat zien dat AI software voor werving en selectie vaak “geautomatiseerde pseudowetenschap” is, zo las ik bij The Register. Het gaat om tools zoals de Personality Machine, die mensen scoort op de Big Five persoonlijkheidstheorie – in de HR de “meest gebruikte en best onderzochte persoonlijkheidstheorie.” Uiteraard is het argument dan dat zo’n AI veel objectiever kan scoren, want er leeft dus het idee dat een getal uit een computer “objectief” is en vrij van vooroordelen en dergelijke. Maar het gaat mis op veel simpeler punten. Ik dacht, een leuke voor de aankomende AI Verordening.

De beschrijving van JobPersonality.com over die theorie is veelbelovend:

Uit jarenlang en wereldwijd psychologisch onderzoek blijkt dat je iemands persoonlijkheid door middel van vijf dimensies, de zogenaamde Big Five, kunt beschrijven. Deze dimensies zijn extraversie, vriendelijkheid, emotionele stabiliteit, ordelijkheid en openheid. Per dimensie kun je hoog, laag of ergens daar tussenin scoren. Er zijn geen slechte scores. Je moet er alleen voor zorgen dat je een (werk)omgeving vindt of creëert die bij je persoonlijkheid past. Veel persoonlijkheidstests die bij loopbaanadvies worden gebruikt, zijn gebaseerd op de Big Five persoonlijkheidstheorie.
Het idee: je scoort mensen op die vijf dimensies en bepaalt dan bij welk werknemersprofiel ze passen. Een zeer introverte, zeer ordelijke gesloten persoonlijkheid moet je niet naast een extroverte supervriendelijke medewerker in de sales neerzetten bijvoorbeeld, maar ik zou die wel als data-jurist bij ons willen hebben. Alleen, hoe bepaal je die scores? Dat is dus mensenwerk en dat is waar het dan mis kan gaan: verhalen te over van HR-medewerkers die op basis van de aanwezigheid van een stropdas iemand hoog op ordelijk scoren of op etnische afkomst en dergelijke iemand als introvert of instabiel aanmerken.

Dat is waar de AI-promoties bij binnenkomen: een AI belooft dat objectief te doen. Die heeft niets met stropdassen maar kijkt naar de inhoud, zo is het verhaal, en daar komt dan dus een veel betere score uit. En ook als iemand in het gesprek een minder moment heeft, zal dat bij een AI er niet toe doen. Dit is het belangrijkste argument waarom AI steeds vaker aangenomen wordt, het elimineren van menselijke tekortkomingen. (De eigenlijke reden is kostenbesparing want goede HR-mensen zijn duurder dan een licentie op zo’n tool.)

Gaat dat nou echt goed? Nou nee, want alles staat of valt met hoe zo’n AI getraind is. Quoth the Raven, pardon the Register:

They found the software’s predictions were affected by changes in people’s facial expressions, lighting and backgrounds, as well as their choice of clothing. These features have nothing to do with a jobseeker’s abilities, thus using AI for recruitment purposes is flawed, the researchers argue.
Oftewel: de AI is getraind op foto’s van mensen waarbij aangegeven is welke score ze hebben, waarna de AI dingen is gaan zoeken die deze mensen van elkaar onderscheiden. En voor een AI is “lacht klaterend” net zo goed een feature als “heeft goede verlichting” of “heeft een boekenkast op de achtergrond”. Dus als je de extraverten kunt onderscheiden van de introverten door te kijken naar de belichting in de foto, dan is dat helemaal prima.

Het paper gaat nog in op een aanverwant onderwerp, namelijk het elimineren van bias op etnische afkomst of gender. Waarbij de tools enerzijds beloven dat ze niet kijken naar die aspecten bij de beoordeling, maar dat je wel een diversiteits-vlaggetje aan kunt zetten als je extra divers wilt recruiten(?). Men is daar zeer kritisch over:

AI hiring firms argue that their tools can increase the diversity of a firm’s incoming workforce in two ways. First, companies such as HireVue suggest that since AI-powered hiring tools can process far larger numbers of applications than human recruiters, it also allows companies to assess a more diverse range of candidates: … . Secondly, AI hiring firms like myInterview and Retorio insist that the removal of bias from the hiring process will naturally result in a more diverse workforce. … While we do not deny that AI-powered tools may help HR professionals recruit more diverse workforces, we also caution that such “diversity tools” may obscure the structural issues within organizations that lead to underrepresentation in workforces and exclusive work cultures.
Het introduceren van diversiteit of het sturen op eliminatie van bias is een zeer ingewikkeld concept, niet iets dat je met het uitrollen van een leuke nieuwe AI tool eventjes oplost. Maar dat even terzijde: hoe kijkt de wet hier tegenaan?

Op dit moment is de enige echte regelgeving de AVG, die in artikel 22 bepaalt dat je mensen niet mag onderwerpen aan besluiten die enkel door een computersysteem zijn genomen. Iemand geautomatiseerd afwijzen omdat de Big 5 score uit die tool niet past bij het functieprofiel valt daaronder en mag dus niet. Een recruiter mag de output van de tool wel gebruiken als deel van een evaluatie, mits die meer is dan “computer says no” natuurlijk.

De aankomende AI Act (AI Verordening) is al heel wat strenger over dit soort tools. Overweging 36 zegt expliciet

AI-systemen die worden gebruikt op het gebied van werkgelegenheid, personeelsbeheer en toegang tot zelfstandige arbeid, met name voor de aanwerving en selectie van personen, voor het nemen van besluiten over de promotie en het ontslag en voor de toewijzing van taken, de monitoring of de evaluatie van personen in werkgerelateerde contractuele betrekkingen, moeten ook als systemen met een hoog risico worden geclassificeerd, aangezien deze systemen aanzienlijke gevolgen kunnen hebben voor de toekomstige carrièrekansen en het levensonderhoud van deze personen.
“Hoog risico” wil hier zeggen dat ze alleen gebruikt mogen worden als aan zeer strenge eisen is voldaan. De kern is dat je een “systeem voor risicobeheer” hebt, waarmee je de relevante risico’s in kaart hebt en kunt bijsturen wanneer deze dreigen zich voor te doen. Ook heb je gewerkt met data die voldoet aan hoge kwaliteitseisen die hoort bij het vakgebied. Als mensen anders scoren op basis van de belichting, dan is dat dus niet in orde bijvoorbeeld. En oh ja, van dit alles heb je schriftelijk bewijs dat het allemaal zo is, én je hebt mensen die meekijken of het systeem echt goed blijft werken.

Dat je het systeem op basis van een mooie glimmende folder en demonstratie in de boardroom (“Even kijken hoe Johan van Finance scoort haha”) hebt aangekocht, is daarbij geen argument: je moet als gebruiker van de tool zélf kunnen aantonen dat deze veilig is. Natuurlijk mag je dan bewijs van de leverancier vragen, maar dat moet dus voldoen aan die wettelijke eisen en het is jouw probleem als de leverancier onvolledig is of liegt over een en ander.

Meelezende HR mensen, hebben jullie ervaring met dergelijke tools en op welke punten in het proces zet je deze in?

Arnoud

Brein verliest hoger beroep om Ziggo waarschuwingsbrieven te laten versturen

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 13 reacties

Ziggo hoeft waarschuwingsbrieven van stichting Brein niet door te sturen naar klanten, zo meldde Security.nl onlangs. Volgens het gerechtshof Arnhem-Leeuwarden is er er geen juridische grondslag die Ziggo verplicht hieraan mee te werken. Dit bekrachtigt een vonnis uit februari waarin de rechtbank ook bepaalde dat de provider geen torrent-waarschuwingsbrieven van Brein hoeft te sturen naar frequente torrentgebruikers.

Zoals ik in februari blogde, het ging hier om een nieuw idee van de auteursrechthandhaver: identificeer frequente uploaders, en stuur ze een “we hebben je in de gaten”-brief in de hoop dat men ermee stopt. Dat is niet hetzelfde als ze gelijk dagvaarden, wat gezien de kosten en gedoe niet meteen wenselijk is. Maar de ervaring leert dat als je mensen waarschuwt, ze er regelmatig mee stoppen – al is het maar omdat ze denken dat de volgende stap wél een rechtszaak is.

Alleen een probleempje: het verwerken van persoonsgegevens van personen waartegen een min of meer gegronde verdenking bestaat van handelingen die inbreuk maken op een auteursrecht, moet aangemerkt worden als het verwerken van strafrechtelijke persoonsgegevens. Dit aldus de Autoriteit Persoonsgegevens in haar onderzoek tegen Dutch Filmworks die direct met boetes naar torrenters wilde gaan smijten.

Vanwege die reden concludeerde de rechtbank in februari dat Ziggo een vergunning nodig zou hebben (om als “privédetective” in opdracht strafrechtelijke persoonsgegevens te verzamelen). Dat staat inderdaad in de AVG als je die formeel leest, maar het doet gek aan want Ziggo is niet echt een particulier recherchebureau dat in de virtuele bosjes gaat liggen om mensen structureel in de gaten te houden.

Het Hof begint in hoger beroep met zich af te vragen op grond waarvan Ziggo überhaupt brieven door moet sturen. De redenering van Brein was: op grond van Lycos/Pessers moet je namen en adressen afgeven van inbreukmakers, een brief doorsturen is minder erg voor die mensen hun privacy dus dan kan daar geen argument tegen zijn. Het Hof ziet dat anders:

In deze zaak gaat het er niet om dat Brein zich bij de burgerlijke rechter teweer wil stellen tegen specifieke onrechtmatige gedragingen. Zij wil overtreders waarschuwen. Het mogelijk onthouden van effectieve rechtsbescherming aan een (rechts)persoon die meent onrechtmatig bejegend te worden is hier niet aan de orde.
Lycos/Pessers ging erom dat je moet kunnen procederen tegen een concreet iemand. Maar diverse onbepaalde iemanden een boze brief sturen is nog geen juridische actie, daarom valt het buiten de rechtsplicht die dat arrest oplegt.

Brein eist op dit moment al NAW gegevens van grote uploaders met als doel daartegen rechtsmaatregelen te nemen.

Die verzoeken worden volgens Brein doorgaans toegewezen. Niet aannemelijk is dus dat het verzenden van waarschuwingsbrieven een noodzakelijke stap is om civielrechtelijke actie te kunnen ondernemen tegen (een andere groep van) inbreukmakers. Ook is nog niet duidelijk in hoeverre het doorsturen van waarschuwingsbrieven zal maken dat in de toekomst op een kleinere schaal auteursrechtinbreuken zullen worden gepleegd. Partijen verschillen daarover van mening, maar vooralsnog heeft Brein niet voldoende onderbouwd gesteld dat te verwachten valt dat dat doel juist bereikt kan worden met (dit onderdeel van) de waarschuwingscampagne.
Het belang van Brein is dus enigszins speculatief te noemen. Daar staat tegenover dat Ziggo dus inderdaad stevige maatregelen moet nemen: een nieuw bedrijfsproces inrichten, daarbij rekening houden met de strenge eisen uit de AVG voor strafrechtelijke persoonsgegevens, een DPIA uitvoeren en wat al niet meer. En inderdaad dus ook die recherche-vergunning ex artikel 33 lid 4 sub c UAVG.

Het klopt, maar toch voelt het een tikje raar. Brein mag dus wel NAW gegevens van inbreukmakers eisen voor een gerechtelijke procedure, maar niet NAW gegevens van inbreukmakers om een voorlichtingsfolder en “hou op” brief te sturen? Ik snap de weerstand maar het voelt inconsequent en ik heb moeite de argumentatie van het Hof te volgen.

Arnoud

Overheden verzamelen op grote schaal tweets zonder gebruikers te informeren

Geplaatst op in Privacy, 40 reacties
OpenClipart-Vectors / Pixabay

Overheidsinstanties zoals het ministerie van sociale zaken, de Belastingdienst en de Nederlandse Voedsel- en Warenautoriteit (NVWA) verzamelen op grote schaal tweets over onder andere hun beleid zonder Twittergebruikers hierover te informeren. Dat meldde Security.nl onlangs op gezag van onderzoek door AG Connect en Trouw. Het gaat om sentimentanalyse, data-analyse waarbij bakken met tweets zeg maar als “positief” of “negatief” worden gelabeld zodat je kunt zien hoe je beleid valt bij de mensen. Ook hier heerst dus die misvatting dat dat mag omdat Twitter openbaar is. Kunnen we eens ophouden met “ja maar openbare bron” als argument?

Het idee achter sentimentanalyse is dat je op basis van grote datasets de werkelijkheid kunt meten, en dat dat een stuk goedkoper/makkelijker is dan steeds een enquête eruit doen of 1200 Nederlands bellen. Waar zeker wat in zit, en we hebben ook genoeg tools (zoals van Microsoft) die op basis van statistische tekstanalyse kunnen zeggen of een tweet over een onderwerp gaat en daar dan positief of negatief over is. Dat kun je dan over de tijd meten, groeperen naar locatie van gebruikers (Randstad versus de provincie, bijvoorbeeld), groei of daling signaleren en ga zo maar door.

Punt is natuurlijk wel, dat begint allemaal bij een enorme verzameling berichten van Twitter. En tweets (met Twitternaam) zijn nu eenmaal persoonsgegevens en dus valt het verzamelen en tot sentimenten omturnen van die gegevens onder de AVG. Mag dat? Ja, in principe wel: dit is een vorm van wetenschappelijk en statistisch onderzoek en dat kun je binnen de grondslag van het gerechtvaardigd belang (art. 6 lid 1 sub f AVG) prima rechtvaardigen. (Ook bij overheden, omdat dit niet gaat om uitoefening van een publiekrechtelijke taak.) Toestemming van de twitteraars is dus niet nodig.

Wat wél nodig is, is dat mensen worden geïnformeerd over dit verdere gebruik. Dat staat gewoon in de AVG, en is iets dat altijd moet bij data harvesting. Ik geef toe dat dit bij een klantanalyse wat makkelijker is, daar zet je het in je privacyverklaring of je stuurt een update in het portaal. Bij dit soort gebruik van Twitterdata is er maar één manier en dat is iedereen een tweet sturen (DM’s sturen kan niet altijd). Daar zouden we gek van worden als iedereen dat deed, maar dat is voor een individuele organisatie niet disproportioneel of onmogelijk. (Bij data-verzameling met een drone of sensoren op straat is het natuurlijk een ander verhaal qua complexiteit, dus dan is een bordje of banner genoeg.)

Ik zie in de reacties her en der boosheid met het argument “kom op, Twitter is openbaar en iedereen doet het”. Dat laatste is vast waar, maar verandert niets aan het punt dat de makkelijke toegankelijkheid van de bron géén argument is onder de AVG. Je bent niet vogelvrij omdat men kan scrapen zonder ingewikkelde contracten of toelatingsprocedure. En vanuit juridisch perspectief zou dat ook heel raar zijn, dat het legaal is om iets te doen omdat het heel makkelijk is, en dat alleen bij moeilijk scrapen je mensen zou moeten gaan informeren of zo?

Arnoud

 

Politie waarschuwt Nederlandse hostingbedrijven weer voor malafide resellers

Geplaatst op in Ondernemingsvrijheid, 10 reacties

De politie heeft Nederlandse hostingbedrijven net als vorig jaar weer een brief verstuurd waarin wordt gewaarschuwd voor malafide resellers, meldde Security.nl onlangs. Die verhuren de serverruimte van Nederlandse hostingbedrijven door aan andere partijen, waaronder cybercriminelen. De brief bevat een lijst van verdachte resellers, met het advies “dringend om te controleren of de genoemde resellers in [uw] klantenbestand voorkomen”  en dan de overeenkomst op te zeggen. Dat voelt als een zwaktebod, als je weet dat deze figuren zo malafide zijn waarom vervolg je ze dan niet? Nou ja, dat ligt dus ingewikkeld.

In juni blogde ik over het OM, dat het “werkelijk idioot” noemde hoe de juridische en technische werelden uit elkaar zijn gegroeid op dit punt. Je hebt een Nederlands bedrijf met een server hier, op die server staat een malafide site, maar de reseller zit formeel op de Seychellen en dan krijg je geen rechtshulpverzoek. De Nederlandse verhuurder werkt niet mee want die ziet ook niet wat zijn resellers verkopen, en kan dan verder niet ingrijpen. Ja, de hele serverkast offline halen, maar dat is nogal disproportioneel.

Zoals ik toen al zei, ik kan me niet direct voorstellen dat dezelfde reseller én een berg pittige cybercriminelen én Alipay Nederland als klant heeft, maar dit is het voorbeeld dat men steeds noemt. Deze brief lijkt dus een nieuwe actie te zijn, ga eens na of er rare figuren tussen je klanten zitten en zo ja, doe er wat aan als dat zo uitkomt.

Dat is nog een lastige, want het OM kan niet vorderen (eisen) dat een bedrijf de relatie met een klant verbreekt. En dan krijg je dus de discussie of je als politie vriendelijk mag vragen terwijl er geen grond voor is. Vaste lezers weten dat dat discutabel is, omdat mensen vragen van politieagenten al snel opvatten als een vriendelijke geformuleerd bevel. De juridische regel is dat het mag, tenzij de vraag in meer dan triviale mate iemand in zijn grondrechten treft. Bij wijze van spreken: vragen of je iemand op een gele scooter hebt zien wegrijden daarnet, dat mag gewoon. Vragen of ze even je securitycambeelden mogen bekijken, dat vergt een vordering en dat mogen ze dus niet vragen.

Ik zie eerlijk gezegd geen grondrechten nontriviaal in het geding komen met deze vraag “heroverweeg eens de relatie met deze onwelriekende partijen”. Ja, ondernemersvrijheid, maar die pleit juist vóór het kunnen afsluiten. (Ik denk dat het OM het zo toejuichen als die resellers rechtszaken beginnen, want dat levert veel inzicht in relevante informatie.) En bovendien zit er nog een eigen check op, “we zeggen hierbij op want we kregen een brief van de politie” is juridisch geen steekhoudend argument. Maar “op basis van politie-informatie hebben wij – zie artikel 8.3 van onze voorwaarden – uw account geïnspecteerd en daar cybercrime-forums aangetroffen, dat is in strijd met artikel 4 TOS en daarom zegen wij op” is wél een geldige reden om op te mogen zeggen.

En let op: het gaat hier om civiel recht, dus de eisen zijn een stuk lager dan wanneer het OM een rechtszaak tegen zo’n reseller zou beginnen. Zeker als je een béétje fatsoenlijke voorwaarden hebt, waarin dingen staan als “naar ons redelijk oordeel” in plaats van “wettig en overtuigend is vast komen te staan met toegelaten bewijsmiddelen” (art. 338 en 339 WvSv). Omdat het gaat om zakelijke relaties, is er contractueel heel veel ruimte.

Arnoud

Een op de drie Britse kinderen heeft een socialemedia-account voor volwassenen, mag dat?

Geplaatst op in Ondernemingsvrijheid, 19 reacties

Om beschermingsmaatregelen van sociale media te omzeilen, liegt een op de drie Britse kinderen bij het aanmelden over de eigen leeftijd, las ik bij Nu.nl. De Britse toezichthouder Ofcom (zeg maar de ACM) laat dit in onderzoek zien. Het gaat dan zowel om kinderen onder de dertien als kinderen in de groep dertien tot achttien. En, zoals een juridisch correct handelende zeventienjarige me vroeg, wanneer mag dat dan wel, op sociale media als kind?

Ik was een klein beetje verrast dat het de Ofcom was die het onderzoek had uitgevoerd. De Ofcom is de markttoezichthouder, dus eerlijke mededinging, misleidende reclame, oneerlijke handelspraktijken, dat werk. Die leeftijdsgrenzen komen uit de AVG, en daarover gaat collega-toezichthouder ICO. Maar het onderzoek komt uit de taak van de Ofcom om mediawijsheid te stimuleren, en gedrag van minderjarigen op accounts voor volwassenen valt daar zeker wel onder.

Socialemediadiensten hanteren vrijwel allemaal een absolute ondergrens van dertien jaar, dat volgt namelijk uit de Amerikaanse COPPA wetgeving. Als je site zich richt op kinderen onder die leeftijd, of daadwerkelijk weet dat er kinderen onder die leeftijd zijn, dan moet je harde leeftijdscontroles en toezicht toepassen én mag je een hoop dingen niet meer (zoals invasief tracken). Bijgevolg heeft Amerikaans internet massaal besloten “dan mogen die kinderen er gewoon niet op”.

In Europa, waar we het perfide Albion dan ook maar even onder rekenen, is die grens van dertien jaar alleen terug te vinden in de AVG. En dan ook nog eens als een keuze voor lidstaten: artikel 8 AVG bepaalt dat kinderen onder de zestien jaar niet zelf toestemming kunnen geven als een bedrijf dat vraagt, maar ook dat landen zelf die grens lager mogen leggen. In Engeland is dat ook gebeurd en wel bij het minimum van dertien jaar.

Dat is natuurlijk mooi en aardig, maar aan de handhaving schort het nogal, om het zachtjes te zeggen. Als er al op wordt gecontroleerd dan is dat “vul je geboortedatum in” of een vinkje bij “ik verklaar meerderjarig te zijn”. En ook op jonge leeftijd weten kinderen heus wel de “ie-aag ree” knop te vinden. Waarna vervolgens niets gebeurt ter verificatie (wat in theorie van COPPA en AVG wel zou moeten, dus).

Die juridisch correct handelende zeventienjarige had overigens schriftelijke toestemming van zhaar ouders om alle wettige handelingen uit te voeren op bekende sociale media die een volwassene zou kunnen of willen doen. Ik geef toe: uitzondering.

Somebody please think of the parents, hoor ik achterin. Want die ouders die moeten toch op hun kinderen online letten? Ja leuk, maar dit is een juridische blog, en de juridische verantwoordelijkheid ligt dus bij die socialemediaplatforms. Dus laten we het daar eens over hebben.

Arnoud

De strijd tegen illegale torrents, hoe zet je daar een boete op?

Geplaatst op in Intellectuele rechten, 24 reacties

Krijgen we Duitse praktijken in Nederland? Die vraag stelde Tweakers in een recent Plus-artikel. In Duitsland is het gebruikelijk dat torrentgebruikers een claimbrief van een advocatenkantoor op de mat krijgen met daarin een beschuldiging en een schikkingsvoorstel. En je wordt ook echt gedaagd, dus betalen zul je. In Nederland is handhaving altijd tegen de grote jongens gericht: de torrentplatforms, de ISP’s, de grote seeders. Maar de discussie blijft: moeten particulieren ook gaan betalen? Dat riep de vraag op hoe zo’n boete in het recht moet worden vormgegeven. (Hoe dit in Duitsland werkt, is mij nog steeds niet duidelijk.)

Auteursrecht is civiel recht, iets dat burgers onderling uitvechten. Dat staat los van het strafrecht (in theorie is opzettelijke auteursrechtinbreuk strafbaar maar dat is al decennia een dode letter). Het civiel recht gaat erom dat burgers tegen elkaar beschermd worden en elkaar aan kunnen spreken op schade en ongewenst gedrag. Maar de bedoeling is niet dat je rijker wordt van andermans ongewenst gedrag. Claims gaan dus over schadeloosstelling, vergoeding van wat je kwijtgeraakt of misgelopen bent.

Als ik een auteursrecht schend, moet ik dus de schade vergoeden. Maar niet méér dan dat, niet 500 euro betalen bijvoorbeeld terwijl de schade 50 was. Als ik bij de buren een vaas omgooi, moet ik de vaas vergoeden en niet tien keer dat bedrag. (Ik ben strafbaar wegens vernieling en ik zóu bij de strafrechter een boete kunnen krijgen, maar die gaat niet naar de buren.)

Het probleem vanuit auteursrechthandhaving is dat de meeste claims veel te klein zijn. Een grote uitgever aanspreken wegens ongeautoriseerde overname van je website in hun boek dat kan nog wel, maar een blogger aanspreken op één plaatje van je stockfotoset, of een downloader voor één aflevering van een serie die op Netflix staat, welk bedrag koppel je daaraan?

Dit is een probleem omdat mensen dan redeneren “ik kan gewoon inbreuk maken, en word ik gepakt dan betaal ik 50 cent”. Dat voelt onrechtvaardig, het is immers niet de bedoeling dat mensen inbreuk maken op je rechten. (Morele discussie over auteursrecht daargelaten.) Dus men wil meer afschrikking, meer handhaving, keihard optreden. Als kinderen elke dag door mijn tuin rennen en voetballen, dan wil ik ballen lek gaan prikken, overweeg ik berenklemmen en valkuilen met stevige staken en eis ik dat de politie in vol ornaat voor mijn tuin gaat staan.

Een boete is een bekende vorm van afschrikking, en Duitsland laat zien dat dat werkt. Vraag is alleen, hoe moet je dat vormgeven in het recht? Want in het civiele recht bestaat dat dus niet, een boete die naar het slachtoffer gaat. En omdat de schade dus 50 cent is, kun je het ook niet camoufleren als een schatting van de schade.

Dat zou dus een forse wetswijziging met zich meebrengen, en dan zijn er vele andere rechtsgebieden die óók zulke boetes willen. Denk aan winkels die dieven willen afschrikken (die 181 euro is nu zogenaamd een “schatting van de schade”, maar welke winkeldief gaat daar een punt van maken) of verhuurders die misbruik van hun spullen willen tegengaan.

Tegelijk: als je dat niet doet, blijf je dus zitten met het probleem dat er geen effectieve handhaving tegen individuele inbreukmakers mogelijk is. Dan moet je dus of zeggen, we noemen dit legaal (want als je geen handhaving op iets toelaat, moet je het vrijgooien), of we nemen hardere maatregelen zoals het strafrecht en/of strikte eisen tegen andere partijen. Ik weet niet wat daar een oplossing in moet zijn.

Arnoud

Amersfoort verbiedt gebruik van niet-herleidbare algoritmes

Geplaatst op in Informatiemaatschappij, 5 reacties

De gemeenteraad Amersfoort maakt zich zorgen over algoritmes, las ik in het stadsblad. De gemeenteraad constateerde namelijk recent dat het voor de burger onmogelijk is om in te zien -ergo, te controleren- tot welke acties de uitkomst van algoritmen leiden. Daarom heeft men besloten voorlopig geen algoritmen te gebruiken waarvan men de uitkomst niet kan herleiden. Wat een mooie stap is, maar wel eentje die vele vragen oproept want om welke algoritmes gáát het dan in Amersfoort?

Zo te zien heeft de gemeente geen registratie in het Algoritmeregister, maar dat is wel een van de voornemens uit een andere motie die recent werd aangenomen. Hier zien we ook iets meer duidelijkheid over de Amersfoortse zorgen:

  1. Het gebruik van nationaliteit en etniciteit als datavariabele in alle risicomodellen, -profielen, – systemen, -selectie en zwarte lijsten binnen de gemeente gebruikt worden uit te sluiten tenzij deze via het ethische afwegingskader een positief advies krijgen;
  2. Tevens te verzekeren dat ook zelflerende algoritmes in risicoclassificatiemodellen deze indicatoren niet gebruiken;
  3. Een publiek toegankelijk algoritmeregister naar het model van Helsinki of Amsterdam in te richten op de website van de gemeente Amersfoort;
  4. In dat register de datasets te openbaren van algoritmes die de gemeente Amersfoort gebruikt.
Bij een onderzoek in 2019 vond de NOS grootschalig gebruik van voorspellende algoritmes, met een hoog risico op discriminatie als gevolg. Dat zat hem dus in het niet goed begrijpen of verklaren van het gedrag van die dingen. Amersfoort kwam in dat onderzoek ook voor:
In andere gevallen bleek het voor overheden zelf ook lastig om te achterhalen wat er eigenlijk gebeurt. Zo voorspelt de gemeente Amersfoort wat de kans is dat een bepaalde leerling een voortijdig schoolverlater wordt. Maar hoe dat precies werkt, en op welke data dit wordt gebaseerd, kon de gemeente Amersfoort niet achterhalen. … Na publicatie van dit verhaal liet de gemeente Amersfoort weten dat geen gegevens zoals etniciteit worden gebruikt. Wel weegt het algoritme mee of een leerling bijvoorbeeld van school is gewisseld of is blijven zitten.
Dit sluit aan bij het landelijke beeld, dat gemeentes voorspellende algoritmes inzetten om fraude en criminaliteit op te sporen, in te schatten wat voor zorg iemand nodig heeft en de opleidingsvoortgang van leerlingen te bewaken. En bij zulke inzet van AI in het sociale domein is het risico op vooringenomenheid levensgroot: datasets kunnen impliciete vooringenomenheid uit het verleden bevatten, of beïnvloed zijn door selectieve samenstelling. Ik ken een gemeente waar wel een goede dataset was van het roomblanke gymnasium maar niet van de zeer diverse scholengemeenschap, raad eens wie er grote risico’s liepen op het intensieve traject voorkomen schoolverlating?

Het lastige is wel meteen dat het niet zo simpel is als de kolom nationaliteit of etniciteit weglaten uit je Excelbestand. Vaak is die factor eerder een stevige correlatie met de echte problemen, zoals taalachterstand sinds de basisschool, stille armoede of onbekendheid met het systeem voor aanvragen van aanvullende bijstand. Een beetje statistiek vist de gevallen met die problemen er nog steeds probleemloos uit, en wie dat dan weer langs de etnische maatstaf legt komt tot de conclusie van discriminatie. Wat dus onjuist is, maar de data zegt het wel.

Dat gezegd hebbende, het is een hele goede stap van Amersfoort en ik denk dat veel gemeentes hier van kunnen leren. Ik zou vooral dat vierde punt zeer toejuichen, zeker als daar ook bij gezet wordt waar de data vandaan komt en waaruit blijkt dat die data iets zegt over het probleem.

Arnoud

Rechter: thuiswerker onterecht ontslagen voor weigeren cameratoezicht

Geplaatst op in Informatiemaatschappij, Ondernemingsvrijheid, 14 reacties

Een telemarketeer in dienst van een Amerikaans bedrijf die vanuit huis werkte en weigerde om de camera van zijn computer de hele werkdag aan te laten staan is onterecht ontslagen, las ik bij Security.nl. De rechtbank Zeeland-West-Brabant oordeelde dat permanente camera-observatie bij thuiswerken hier niet door de beugel kan, en geeft de man 80.000 euro (een jaarsalaris) mee als ontslagvergoeding. Lompe Amerikanen, de AVG, privacy op het werk en telemarketeers, dat belooft juridisch een knalfuif.

De man was in dienst bij het Amerikaanse bedrijf Chetu Inc., dat een vestiging in Rijswijk had naast haar hoofdvestiging in Florida. Een team frisse ontwikkelaars in identieke polo’s maakt daar software van wereldklasse en je carrièrepotentieel is enorm: “one of the lowest attrition rates in the industry”, behalve dus in Rijswijk waar dit toch wel een -1 op je key performance indicatoren is.

De man uit Rijswijk had direct met het Amerikaanse bedrijf een arbeidsovereenkomst gesloten. Dat kan, maar het wordt dan soms wel ingewikkeld en je komt dingen tegen waar ons BW geen brood van lust. Zoals een proeftijd van 90 dagen en een ontslagrecht voor werkgever zonder opgaaf van redenen. Dat kan onder het recht van Florida, net zoals de navolgende werkinstructie:

Op 23 augustus 2022 ontving [naam verzoeker] per e-mail van Chetu Inc. de mededeling dat hij met onmiddellijke ingang diende deel te nemen aan het ‘Corrective Action Program (“CAP”) – Virtual Classroom’. Daarbij diende hij gedurende de gehele werkdag te zijn ingelogd, zijn scherm te delen en zijn camera aan te laten staan.
De man werkte sinds het begin van zijn dienstverband vanuit huis, en reageerde aldus:
“I don’t feel comfortable being monitored for 9 hours a day by a camera. This is an invasion of my privacy and makes me feel really uncomfortable. that is the reason why my camera is not on. You can already monitor all activities on my laptop and I am sharing my screen.”.
Reactie werkgever:
Hi [naam verzoeker] , Your employment is hereby terminated. Reason: Refusal to work; Insubordination”.
Dat gaat lekker, everyone is encouraged to reach their full potential mijn glimmende metalen hoela.

De rechtbank Zeeland leest die reactie als een ontslag op staande voet, want werkweigering is volgens ons wetboek een grond waarmee je een staandevoetje kunt rechtvaardigen. Althans:

Aan een rechtsgeldig ontslag op staande voet worden blijkens artikel 7:677 lid 1 BW drie eisen gesteld. Er moet sprake zijn van een dringende reden, op grond daarvan moet onverwijld zijn ontslagen en die reden moet tijdig en voldoende duidelijk aan de werknemer zijn meegedeeld.
Die mail is wel érg summier als invulling van bovenstaande. Van werkweigering bleek verder niets, en dat lijkt me logisch omdat het ging om het niet aanzetten van de camera. Is dat insubordination, “ongehoorzaam of weerspannig gedrag”, in het Nederlands arbeidsrecht “hardnekkig weigeren om te voldoen aan redelijke bevelen of opdrachten vanwege de werkgever in de zin van artikel 7:678 lid 2, onder j BW”? In Florida wel, althans daar hoef je geen reden te hebben om iemand te ontslaan dus iedere reden is hoe dan ook goed.

Het komt er dus op neer, is het bevel redelijk? Nee, zegt de rechter: dit is in strijd met artikel 8 EVRM, het fundamenele recht op bescherming van je persoonlijke levenssfeer. Chetu had daar geen enkele reden voor opgegeven, alleen dat bij werken op kantoor je collega’s je ook kunnen zien. Maar dat is zeer zeker niet genoeg: het is wel wáár dat collega’s je kunnen zien als je op je werk bent, maar dat is geen rechtvaardiging dat je collega’s je thuis moeten kunnen zien.

De rechter maakt nog een kronkel over de AVG die niet helemaal klopt: de webcam zou alleen livestreamen (“observeren”) en niet opnemen en dan zou de AVG niet gelden. Dat is een wel heel stoffige vuistregel van toen bits nog van hout waren en camera’s analoog. Als je dan een camera aanzette zonder opname, dan werden er geen persoonsgegevens in een bestand of dossier gestopt (een serie opnames op datum+werknemer is een bestand) en werd er ook niets elektronisch verwerkt (want analoge camera). Maar bij een digitale camera is het simpel: enkel meekijken via de livestream is een verwerking van persoonsgegevens.

Het doet voor de zaak verder niets, want de uitkomst is hoe dan ook dat Chetu geen terecht ontslag op staande voet heeft gegeven met deze vrijwel geheel afwezige motivatie. De werknemer krijgt dan ook diverse vergoedingen (en achterstallig loon) mee, totaal een slordige 70.000 euro. Ook wordt zijn concurrentiebeding vernietigd, wat een verstandige eis was van zijn advocate gezien ik zo’n bedrijf er wel voor aanzie om dat doodleuk te handhaven zodra ze op Linkedin zien dat hij een nieuwe baan heeft.

Arnoud