Man die persoonsgegevens stal uit GGD-coronasysteem veroordeeld door rechtbank

Geplaatst op in Regulering, Security, 27 reacties

De rechtbank in Utrecht heeft een 23-jarige Rotterdammer veroordeeld voor de diefstal van persoonsgegevens uit het coronasysteem van de GGD in 2020. Dat meldde Tweakers vorige week. Het is een vervolg op een ontdekking uit januari vorig jaar, toen grootschalig bleek te worden gehandeld in GGD-gegevens uit deze systemen. Er werden toen ook twee mensen aangehouden, waarvan er nu dus een veroordeeld wordt voor computervredebreuk met datadiefstal. Dat is in zoverre opmerkelijk omdat deze meneer wel degelijk in het betreffende systeem mocht zijn.

De kern van hoe dit kon gebeuren haal ik uit dit stukje proces-verbaal:

Op 7 januari 2021 was ik met medeverdachte en toenmalig GGD-collega [medeverdachte] in [plaats] . Hij was aan het werk. Ik zat samen met [medeverdachte] op de bank en hij zat achter de laptop. Hij kwam erachter dat de persoonsgegevens van iedereen met een coronatest-afspraak konden worden geraadpleegd. Wij waren onder de indruk. [medeverdachte] heeft de persoonsgegevens van BN’ers opgezocht, vastgelegd en deze aan mij doorgestuurd.
Een zeer gebrekkige beveiliging dus. De gegevens werden in appgroepen gedeeld, hoewel ik niets lees over het verhandelen daarvan. Maar dat maakt voor de strafbaarheid op zich niet uit. We hebben het delict computervredebreuk – binnendringen waar je niet mag zijn – en een verzwarende omstandigheid is het downloaden of overnemen van gegevens.

Maar wat het dus is met dat ‘binnendringen’, je moet dan wel ergens gaan waar je niet mocht komen. En deze verdachte mócht inloggen in het systeem en die gegevens opzoeken. Dat kon door een gebrekkige (veel te grofmazige) autorisatie, maar hij heeft op zich geen rare dingen gedaan. Het sluit aan bij een zaak uit 2019, waar ook het vér buiten het gewone werk gaan tot strafbaar binnendringen leidde:

De rechtbank is daarom van oordeel dat verdachte bij de niet werk gerelateerde bevragingen de grenzen van zijn autorisatie ver te buiten is gegaan. Die autorisatie was verdachte immers juist uitsluitend ter beschikking gesteld met betrekking tot de uitoefening van zijn werk binnen de politie. … Door zijn inloggegevens te gebruiken voor doeleinden die ver buiten de grenzen van zijn autorisatie vallen, heeft verdachte onbevoegd gebruik gemaakt van de servers van de politie. Naar het oordeel van de rechtbank is verdachte daarmee opzettelijk en wederrechtelijk binnengedrongen in een geautomatiseerd werk (…)
In deze zaak motiveert de rechtbank het beperkt:
door het inloggen met een onrechtmatig gebruikt account en/of wachtwoord, althans met een ander doel dan waarvoor hem dat account en/of wachtwoord ter beschikking stond en waarvoor hem die toegang was toegestaan
Dit voelt voor mij wat kort door de bocht. Niet ieder “ander doel” is direct computervredebreuk.

Wat betreft de recente discussie over “geautomatiseerd werk”, dat gaat hier goed, de tenlastelegging vermeldt “computersyste(e)m(en) en/of server(s) van de GGD (het zogenaamde CoronIT-systeem)”. Dus door in te loggen op je account en persoonsgegevens op te zoeken die je absoluut niet hoorde op te zoeken, dring je ongeautoriseerd binnen in de hardware van de GGD.

Arnoud

Mag een abonnementsverlener eisen dat ik een toegangspas met foto gebruik?

Geplaatst op in Ondernemingsvrijheid, Privacy, 6 reacties

Een lezer vroeg me:

Ik heb een abonnement voor toegang tot dierentuinen genomen. Daarbij stond in de voorwaarden dat het abonnement persoonlijk is, en om dat af te dwingen moest er een foto bij. Mijn foto werd echter automatisch afgekeurd omdat deze zoals een ‘echte’ pasfoto van voren, neutraal kijkend en beide oren in beeld. Is dit allemaal toegestaan?
Algemeen is het zeker toegestaan om een persoonsgebonden abonnement te verkopen. Overeenkomsten voor dienstverlening zijn namelijk als hoofdregel altijd met een specifiek persoon, niet met iedereen die een pasje kan laten zien.

Vanuit die regel is het dus ook in beginsel toegestaan om via het pasje te regelen dat je met de abonnementshouder te maken hebt, en niet met een willekeurige lener van het pasje. Een pasfoto opnemen is dan ook een op zich logisch middel.

Alleen loop je dan wel tegen het probleem aan dat je dan de foto tot biometrisch persoonsgegeven maakt: je gebruikt de foto als herkenningsmiddel. Dat mag alleen onder de strenge voorwaarde dat je geen reëel alternatief hebt, zoals de naam via een overheidsidentiteitsbewijs controleren of een eenmalige scanbare code op je telefoon laten zien die je via je account kocht.

Wat hier verder nog gebeurt, is dat de dienstverlener zo te lezen met een machine learning algoritme onderzoekt of de foto geschikt is voor het beoogde doel. Dat is toegestaan áls het onderliggende gebruik van de foto (als identificatiemiddel van de abonnementshouder) dat ook is. Wel moet de dienstverlener natuurlijk voorkomen dat de ML-aanbieder de foto gaat hergebruiken voor trainingsdoeleinden (training van het ML-algoritme, voor de duidelijkheid).

Arnoud

Amazon Prime vertraagt reviews met drie dagen bij Amazon’s Rings of Power

Geplaatst op in Ondernemingsvrijheid, Uitingsvrijheid, 46 reacties
aitoff / Pixabay

Streamingdienst Amazon Prime Video heeft stilletjes een vertraging ingebouwd in zijn reviewsysteem voor films en series, las ik bij RTL Nieuws. Zo moeten neprecensies, bots en internettrollen worden afgevangen die met review bombing hun ongenoegen willen uiten over  de artistieke vrijheid die de schrijvers nemen met het verhaal en de inzet van acteurs van kleur. Bij filmsite IMDB zouden zelfs reviews en scores weggehaald worden voor de serie, en dat is opmerkelijk omdat IMDB van dezelfde eigenaar is als de serie. Wat dus de vraag opriep: mag dat, negatieve recensies over je eigen series weren van een reviewplatform?

Het nieuwe systeem met 72 uur vertraging is al enkele weken gelezen uitgerold, maar valt nu pas op omdat de nieuwe Lord of the Rings-serie in première is gegaan en een hoop mensen dus boos zijn over een en ander. Review bombing – massaal slechte recensies of scores achterlaten – is dan een beproefd recept om je ongenoegen te uiten, Wikipedia heeft een mooie serie voorbeelden. Voor de duidelijkheid: het gaat dan niet over werkelijk de serie inhoudelijk slecht vinden, maar om boosheid over iets anders. Bijvoorbeeld een vervelende kopieerbeveiliging in een game, raar gedrag van de directie of zoals in dit geval het vermeende te progressieve karakter van de serie.

Rings of Power maakt al sinds de eerste aankondigingen veel los: hoezo kunnen elfen ineens een getinte huid hebben of van Aziatische afkomst zijn? (De opmerking dat een dwerg weliswaar een vrouw van kleur kan zijn maar toch zeker wel een báárd heeft, daar sta ik helemaal achter.) Het versterkte het beeld dat Hollywood (en de tech-contentproducenten) zich laten leiden door politieke correctheid. En dan is de score van de serie saboteren een makkelijke vorm van protest.

In reactie op deze oneigenlijke reviews heeft Amazon dus die vertraging ingebouwd, waardoor onder meer tijd gecreëerd wordt om reviews te controleren voordat ze live gaan en de echte reviews wegspoelen. Het is in zoverre wel lastig omdat een recensie sinds een tijdje ook beschermd is, in ieder geval in Europa, waar art. 6:193g sub aa BW het een oneerlijke handelspraktijk noemt:

het plaatsen of doen plaatsen van valse beoordelingen of aanbevelingen van consumenten of op misleidende wijze voorstellen van consumentenbeoordelingen of sociale media-aanbevelingen, teneinde producten te promoten.
Het idee hierachter is natuurlijk het verzinnen van recensies of ze zo bijknippen dat ze positief lijken. Maar recensies en negatieve cijfers weghalen zodat het gemiddelde hoog uitkomt, kun je zien als een vorm van misleiding. Ik kan bij Prime Video geen specifieke regels vinden over wat er wel en niet mag in je recensie, maar alleen al uit de redelijkheid volgt dat een recensie gebaseerd moet zijn op wat je gezien hebt, een inhoudelijke beoordeling van het gebodene zeg maar. Het weghalen van recensies die daar niet aan voldoen, kan ik moeilijk “misleiding” door Amazon noemen.

Arnoud

Mag de staat Californië gerechtelijke databevelen uit andere staten aan banden leggen?

Geplaatst op in Regulering, 4 reacties
webandi / Pixabay

Met een nieuwe wet wil de staat Californië een “data haven” worden voor gegevens over reproductieve gezondheid. De wet verbiedt het verstrekken van gegevens aan politiediensten uit de hele VS wanneer het onderzoek een mogelijke abortus betreft die in Californië legaal zou zijn. Dit is opmerkelijk, omdat in de VS de staten eigenlijk altijd elkaars politievorderingen zonder discussie erkennen. De discussie past in een breder kader van internationale soevereiniteit versus internet.

De nieuwe Californische wet is een reactie op een politievordering uit de staat Nebraska, die privéchats tussen een moeder en dochter via Facebook opeiste in het kader van een strafrechtelijk onderzoek naar een vermoeden van aldaar illegale abortus. Facebook werkte daar zonder problemen aan mee, wat de nodige ophef gaf omdat uit de chats bleek dat de besproken abortus bij 23 weken zou plaatsvinden, wat in Californië legaal is.

Het is in zoverre opmerkelijk omdat de Amerikaanse Grondwet (de Full Faith and Credit clause, Article IV, Section 1) met zich meebrengt dat staten onder normale omstandigheden zonder discussie elkaars vonnissen en gerechtelijke bevelen erkennen. Nebraska had dus het volste recht om van Facebook die data te verlangen.

Het creëert natuurlijk meteen een enorm probleem: de wet van Nebraska zou Facebook verplichten de data te geven, de wet van Californië verbiedt precies dat. Dan zit je dus klem als bedrijf. Net zoals wanneer je een Europees bedrijf bent dat onder de US CLOUD Act blijkt te vallen (zoals een Europese dochter van Microsoft). Dat kan zomaar gebeuren, zo liet de NCSC onderzoeken. Maar daar staat tegenover dat als je in Europa zit, je dus onder de Europese AVG valt. Tegelijkertijd met de CLOUD Act, en als die elkaar tegenspreken dan heb je een probleem.

Wie wint er dan? Daar doet het recht geen uitspraak over. In het geval van de Californische versus de Nebraskaanse wet is er wellicht nog een oplossing, omdat de federale grondwet boven de nationale wetten gaat. Dan komt het conflict dus neer op wanneer die Full Faith clausule opgaat in gevallen als deze, iets waar het ultraconservatieve Supreme Court vast een antwoord op heeft. Een dergelijke internationale rechtbank is er niet voor de AVG versus CLOUD Act.

Arnoud

Kan Musk dankzij die Twitter-klokkenluider dan misschien wél van de aankoop af?

Geplaatst op in Ondernemingsvrijheid, 6 reacties

Voormalig hoofd beveiliging van Twitter en klokkenluider Peiter Zatko is door Elon Musk gedagvaard, meldde Tweakers vorige week. Een week eerder had Zaitko bij CNN en de Washington Post de alarmklok geluid: Twitter zou ‘een abnormaal hoog aantal beveiligingsincidenten kennen’, de software is hopeloos verouderd en het management heeft geen idéé hoe veel bots er eigenlijk zijn, en het boeit ze ook in het geheel niet. Dat laatste kwam Musk natuurlijk heel goed uit, aangezien die al een tijd op zoek is naar een argument om van zijn aankoop van het socialemediabedrijf af te komen. Vandaar de hoorzitting. Maar maakt het enige kans?

Zoals ik van de zomer schreef, Musk ging Twitter kopen om het spambot-probleem van Twitter te gaan aanpakken. Na de aankoop – zonder due diligence – viel het toch tegen, waarna Musk overal rondtoeterde dat Twitter hem had voorgelogen over het werkelijke aantal bots en dat hij daarom van de koop af wilde. Geen enkel van zijn argumenten heeft tot dusver enig effect bij de rechter gehad. Twitter heeft heel vage en ingekapselde statements gedaan, en daar zit niets leugenachtigs aan.

De signalen van Zatko zijn serieus. Specifiek over bots schetst hij een zeer negatief beeld. Twitter rapporteert naar de SEC toe alleen over de zogeheten mDAU, de monetizable daily active users, oftewel de gebruikers die elke dag inloggen en waar advertenties aan te vertonen zijn. Daarvan is aldus Twitter waarschijnlijk ongeveer min of meer zegge en schrijve maar met een flinke korrel zout en wie het anders ziet heeft wellicht ook gelijk vijf procent een bot (disclaimer: mogelijk klopt die vijf niet / disclaimer^2: niemand weet hoe je fatsoenlijk bots telt). En zan zegt Zatko:

However there are many millions of active accounts that are not considered “mDAU,” either because they are spam spam bots, or because Twitter does not believe it can monetize them. These millions of non-mDAU accounts are part of the median user’s experience on the platform. And for this vast set of non-mDAU active accounts, Musk is correct: Twitter executives have little or no personal incentive to accurately “detect” or measure the prevalence of spam bots.
Oftewel: als je naar het totaal aantal accounts kijkt, dan zijn er veel meer bots. En gewone gebruikers (dus ook de mDAU’s) komen die dagelijks tegen, dat vinden zij hinderlijk. Maar Twitter doet geen enkele moeite die te detecteren of te bestrijden, en stelt de boel vals voor door steeds te hameren op het lage aantal mDAU accounts.

Voor de lopende discussie is dit volkomen irrelevant. Twitter hééft tegen de SEC gezegd dat ongeveer 5% van de mDAU bots lijken te zijn (met al die disclaimers hierboven). Dat ze met vijf minuten meer moeite een beter getal hadden kunnen produceren is leuk, maar daartoe zijn ze niet verplicht. Er is geen erkende metric om het aantal bots op je dienst te tellen, dus als jij de term mDAU introduceert en uitlegt en dan zegt “hier is het 5% en verder weten we het niet, sorry” dan is dat in een SEC filing helemaal in orde. Zatko toont dus niets aan dat onjuist is in de SEC filings.

De verklaringen van Zatko zóuden een beschuldiging van fraude kunnen dekken, en dat kán een grond zijn om het contract op te zeggen. Maar dan moet Zatko wel bewijs hebben dat het bestuur van Twitter verklaringen zoals bij de SEC gedeponeerd bewust valselijk heeft opgesteld. Enkel er een prutswerk van hebben gemaakt, of zelfs bewust de ogen sluiten voor enorme spamproblemen, is niet hetzelfde als fraude. Dit is dan ook hoe Twitters advocaten nee zeggen op Musks laatste poging tot opzegging.

Arnoud

Oostenrijkse providers blokkeren Cloudflare-IP’s na gerechtelijk bevel

Geplaatst op in Informatiemaatschappij, Regulering, 13 reacties
aitoff / Pixabay

In Oostenrijk zijn IP-adressen van Cloudflare geblokkeerd bij meerdere providers omdat websites die illegale software en media aanbieden daar gebruik van maken. Dat meldde Tweakers vorige week. Een foutje, een auteursrechtwaakhond had die IP-adressen per ongeluk opgenomen in een blokkadelijst die gericht was tegen de downloadsite Newalbumreleases punt net. Pijnlijk, want Cloudflare hergebruikt IP-adressen zeer regelmatig en legitieme websites waren dus uit de lucht hierdoor. Het gaf veel ophef, want hoezo had die rechter niet even gecontroleerd dat die IP-adressen echt bij die downloadsite hoorden? Nou ja: omdat dat de taak is van de partijen, niet van de rechter. Als die beiden zeggen, dit zijn de IP-adressen en die gaan jullie/wij wel/niet blokkeren, waarom moet de rechter dan apart gaan nakijken of die adressen correct zijn?

Op een lijst van ISP Liwest staat Newalbumreleases met diverse extensies genoemd. Ook staan er IP-adressen op die lijst, en daarvan behoorden een aantal toe aan proxynetwerk (CDN) Cloudflare. Door die te blokkeren, werden dus diensten van Cloudflare gehinderd waardoor een deel van haar klanten onbereikbaar werden. Cloudflare werd dus niet zelf aangemerkt als mede-inbreukmaker, iemand heeft zitten slapen bij het maken van die lijst en de verkeerde IP-adressen erop gezet. Waarschijnlijk omdat Newalbumreleases ook via Cloudflare werkte, zodat wanneer je diens IP-adressen opzoekt je ook Cloudflare-adressen krijgt.

De eerste berichtgeving had het allemaal over “court orders” die de ISPs zouden verplichten dit te doen. Ik kan alleen nergens een Oostenrijks vonnis vinden waaruit dit blijkt. Volgens provider Kabelplus zijn er wel zaken geweest, maar dit klinkt alsof men op basis daarvan overgestapt is naar die vrijwillige regeling. Als ik dan verder zoek, dan lijkt het erop dat dit een semi-vrijwillige afspraak is op basis van een strenge Oostenrijkse wettelijke regeling: als een rechthebbende een evident juiste klacht heeft dat een site structureel auteursrechten schendt, dan moet de provider deze blokkeren.

Provider RTR legt uit:

In the area of ??copyright, there is a special provision in Section 81 (1a) UrhG , according to which providers of Internet access services can also be obliged to refrain from providing access to structurally infringing websites if they have previously been duly warned by a rights holder. A structurally infringing website exists if exclusion rights within the meaning of the Copyright Act (UrhG) are violated not only in individual cases, but systematically and regularly. … According to § 7b VBKG, such measures are to be ordered in accordance with Art. 9 Para. 4 Letter g VBKVO due to a violation of the Consumer Authority Cooperation Ordinance, which the providers of internet access services, hosting services according to § 16 of the E-Commerce Act, services caching), search engines or registration offices for domain names, appointed the Telekom Control Commission. For this purpose, the authority responsible for the implementation of the VBKG can submit an application to the Telekom-Control Commission as another authority in accordance with Article 10 Paragraph 1 lit. b VBKVO. 
Zoals ik het dus begrijp. Uit de Oostenrijkse Auteurswet volgt dus dat een provider zo’n structureel inbreukmakende website op verzoek van een rechthebbende moet blokkeren. Een hele rechtszaak is daarvoor niet nodig. Wel kan een controle door de Oostenrijkse Consumentenautoriteit (de Telekom-Control-Kommission) worden verlangd, die dan nagaat of de Netneutraliteitsverordening wordt geschonden. Een voorbeeld is deze zaak over Kinox.to. Het idee is dan dat blokkades onder de Nnvo alleen mogen als ze een strikt beperkte uitzondering geven die gerechtvaardigd wordt door de auteursrechtinbreuk. Op die manier is er dus geen rechtszaak nodig maar wel een toetsing van een externe autoriteit.

Mij is alleen niet duidelijk of hier ook een uitspraak van die toezichthouder is geweest, want die lijkt nog nergens te vinden. Het is dus goed mogelijk dat de providers gewoon direct op het verzoek acteerden. Dat zou wel opmerkelijk zijn omdat er eerder nooit IP-adressen op zulke lijsten zijn gezet. Maar het zou verklaren waarom de ISPs niet hebben gecontroleerd van wie die IP-adressen zijn.

Arnoud

 

In Cleveland telt proctoring als een illegale huiszoeking, hoe zit dat bij ons?

Geplaatst op in Privacy, 8 reacties
RoonzNL / Pixabay

Een federale rechter heeft bepaald dat de proctoring-videoscan van Cleveland State University in de slaapkamer van een student voor een examen neerkwam op een ongrondwettelijke huiszoeking, meldde Cleveland 19 News onlangs (via). Dat laatste klinkt heftiger dan het is: het Fourth Amendment waar de student zich op beroept, is het klassieke privacyrecht van thuis met rust gelaten worden, en noemt het “searches” als daar inbreuk op wordt gemaakt. Waar het om gaat: had je een redelijke privacyverwachting. Ja, want het is je huis. Nee, want bij iedere online toets wordt er geproctord en dan weet je dat er een camerascan moet plaatsvinden.

De student kreeg twee jaar geleden bij een online toets pas twee uur van tevoren te horen dat hij zijn kamer zou moeten laten zien aan proctoringsoftware, wat hij nogal vervelend vond omdat a) medestudenten elkaars camerascan kunnen zien(???) en b) hij belastingaangifte aan het doen was en de berg documenten niet opgeruimd kreeg binnen de tijd. Vandaar de rechtszaak.

Allereerst had de Universiteit (die dus overheid is, vandaar het Fourth Amendment) gesteld dat de actie geen doorzoeking was omdat al die software het doet, gewoon routine. Maar zo werkt dat niet: ook routine searches vallen onder de Grondwet. Weliswaar heeft iedereen camera’s, maar niet iedereen kijkt bij iedereen in het studentenkot. Dat het vanwege corona bij tentamens gebeurt, is dus eerder een structurele inbreuk dan een “het nieuwe normaal”.

Ten tweede vond de Universiteit dit geen schending van het Fourth Amendment omdat dit bedoeld zou zijn tegen doorzoekingen vanuit het strafrecht; de consequentie hier was hooguit dat je de herkansing op locatie moest doen. De vergelijking werd getrokken met een huisbezoek van uitkeringsgerechtigden (de Wyman-zaak) om te kijken of ze niet stiekem samenwonen: dat was een kleine inbreuk gericht op het eerlijk verstrekken van voordelen voor mensen. De rechter ziet die analogie niet:

In contrast, unlike Wyman and its progeny, this case involves the privilege of college admission and attendance and does not involve a benefit made available to all citizens as of right. Additionally, the record here shows a variable policy— enforced, unevenly, in the discretion of a  combination of proctors and professors—of using remote scans that make a student’s home visible, including to other students, with uncertain consequences.
Vervolgens komt men bij de vraag of de search dan wellicht toch redelijk is, gezien het belang van de overheid om de informatie te verkrijgen. Meestal is een doorzoeking pas redelijk als er een concreet vermoeden is (zoals in het strafrecht) en als je dan een warrant hebt om te gaan zoeken. Zogeheten suspicionless searches zijn in beginsel onredelijk, tenzij er special needs voor de overheid aangewezen worden. Dat is hier dan het belang om de integriteit van een tentamen te controleren. Hier zet de rechter dan tegenover het afgedwongen karakter én de korte tijd van tevoren dat je het wist, plus dat de universiteit nauwelijks had onderbouwd waarom een kamerscan dringend noodzakelijk is voor dit belang. Dus is de search onredelijk.

In Nederland heeft het Gerechtshof Amsterdam in 2021 anders beslist: proctoring door universiteiten (bij ons ook overheid) is geen schending van de AVG of artikel 8 EVRM (ons equivalent van het Fourth Amendment). Het belang van fraudebestrijding stelde het Hof voorop, en specifiek wat de camerascan betreft bleek alleen sprake van een desk scan en niet van een kamerscan zodat het argument van deze Amerikaanse student niet relevant zou zijn bij ons.

Arnoud

Eigenaar webwinkel opgepakt op verdenking van oplichting, maar is het wel oplichting?

Geplaatst op in Ondernemingsvrijheid, Regulering, 16 reacties

De politie heeft een 27-jarige man uit Vleuten gearresteerd op verdenking van oplichting via zijn webwinkel telefoondiscounter.nl. Dat meldde Nu.nl vorige week. Meer dan driehonderd mensen kochten een telefoon via de website, maar hebben deze nooit ontvangen. Slachtoffers die zich bij consumentenprogramma Radar hadden gemeld hebben deze zomer hun geld teruggekregen van de verdachte, maar overigen niet. Maar zoals ik in 2020 blogde: let op, de bekendste vorm van online oplichting, namelijk gewoon het geld pakken en niet leveren, is juridisch geen oplichting.

Het onderzoek naar de verdachte kwam tot stand na een melding van het Landelijk Meldpunt Internet Oplichting (LMIO), zo meldt de politie via een persbericht. De oplichting zou al langere tijd plaatsvinden via een online webshop gericht op mobiele telefoons: telefoondiscounter.nl. De site is uit de lucht, maar via de Wayback Machine nog te bekijken: een typische webshop, gericht op refurbished telefoons kopen. Je zoekt op merk of type, je krijgt het beschikbare aanbod en als je koopt krijg je niet alleen 14 dagen retourrecht maar ook 2 jaar garantie. Velen bestelden, maar zo te lezen kreeg niemand werkelijk een telefoon geleverd want overal waar ik zoek, regent het klachten.

Radar besteedde deze zomer aandacht aan de site. Opmerkelijk:

Opvallend is overigens dat mensen ondanks de slechte reviews wel een telefoon bij de prijsvechter bestellen. De reden wordt al snel duidelijk: in het verleden hebben mensen eerder een iPhone hier besteld en toen was er nog niets aan de hand. Dezelfde klanten kwamen terug bij de website voor een nieuwer model, maar ontvingen na betaling geen telefoon.
Bij een huisbezoek bij de winkel komt men achter de werkelijke reden; “het bedrijf is namelijk bijna failliet. Er wordt nog onderzocht of er een doorstart geregeld kan worden, met behulp van coronasteun.” Als dat de werkelijke reden is waarom de telefoons niet geleverd werden en er ook na ontbindingsverklaringen geen geld terug werd gegeven, dan zie ik niet hoe deze meneer aan het oplichten was. Dit is wat de wet zegt (art. 326 Strafrecht):
Hij die, met het oogmerk om zich of een ander wederrechtelijk te bevoordelen, hetzij door het aannemen van een valse naam of van een valse hoedanigheid, hetzij door listige kunstgrepen, hetzij door een samenweefsel van verdichtsels, iemand beweegt tot de afgifte van enig goed, tot het verlenen van een dienst, tot het ter beschikking stellen van gegevens, tot het aangaan van een schuld of tot het teniet doen van een inschuld, wordt, als schuldig aan oplichting, gestraft met gevangenisstraf van ten hoogste vier jaren of geldboete van de vijfde categorie.
In 2016 zette de Hoge Raad de principes hierover nog eens op een rijtje. De kern is dat je niet iedere vorm van bedrog tot het misdrijf oplichting (vier jaar cel) wil verheffen. Het moet wel een ernstig geval zijn. Men citeert een voorbeeld van een internetondernemer die wist dat hij niet kon leveren maar desondanks de webshop open hield:
Niet elke vorm van bewust oneerlijk zakendoen levert het in artikel 326 van het Wetboek van Strafrecht strafbaar gestelde misdrijf ‘oplichting’ op. Dat geldt eveneens wanneer kan worden bewezen dat men is benadeeld door een persoon die niet van plan of in staat was zijn verplichting na te komen en die zich in strijd met de waarheid heeft voorgedaan als een bonafide (ver)koper.
Die ondernemer zat ook met geldproblemen, hij gebruikte de betalingen van klanten om rekeningen te voldoen en kon daarna geen nieuwe producten meer inkopen. Ja, dat is oneerlijk en het hoort niet maar dat was volgens de Hoge Raad dus géén oplichting:
Het Hof heeft geoordeeld dat de enkele omstandigheid dat de verdachte via een website goederen te koop aanbood en bestellingen en betalingen van kopers accepteerde in het besef dat hij niet (langer) aan zijn leverings- of restitutieverplichtingen kon voldoen, niet kan worden aangemerkt als het aannemen van een valse hoedanigheid als bedoeld in art. 326 Sr van, in dit geval, een bonafide internetondernemer. Dit oordeel geeft niet blijk van een onjuiste rechtsopvatting.
(Die laatste zin is hogeraads voor “dat is juist”.) Ook als je weet dat je nooit van z’n leven een order kunt uitvoeren, dan nog is dat ‘gewoon’ een civiele kwestie. Pas als je kwade trucs gaat gebruiken kan het strafbaar worden. En ik zie hier dus een sterke vergelijking met die ondernemer uit de HR-zaak, en vraag me daarom zeer af wat hier dan wél de truc is geweest. Misschien hoe lang hij doorging? Dat klanten lang aan het lijntje werden gehouden (in plaats van een of twee berichten) waardoor een strafbaar “samenweefsel van verdichtsels” ontstond? Ik ben heel benieuwd.

Arnoud

Tesla eist dat beelden van aangereden kinderpoppen worden verwijderd

Geplaatst op in Innovatie, Regulering, Security, 16 reacties

Tesla eist dat een belangenorganisatie video’s verwijdert waarin auto’s van de fabrikant over etalagepoppen van kinderen rijden. Dat meldde Nu.nl op gezag van The Washington Post donderdag. In die video’s van The Dawn Project zag de nieuwste software van Tesla’s Full Self-Driving-functie meerdere keren een pop ter grootte van een kind over het hoofd. Dat gaf nogal wat ophef, en al snel doken berichten op dat de FSD niet aan zou staan en dat de groep vooringenomen tegen het bedrijf zou zijn.

De test is afkomstig van organisatie The Dawn Project, dat volgens haar site zich zorgen maakt om onveilige software in apparaten zoals auto’s. Directeur Dan O’Dowd vermeldt echter in zijn Twitterbio expliciet Tesla’s FSD te willen verbannen, dus dat komt dan toch wat gekleurd over.

Dan de test. De kern van de video is dat men een pad afbakende met pilonnen en daar midden op de weg een dummy ter grootte van een kind neerzette. De Tesla leek niet of nauwelijks te remmen en rijdt met volle snelheid over de dummy heen. De kritiek was niet mals: we zien bijvoorbeeld dat de mens op de bestuurdersstoel het stuur loslaat, iets dat volgens de algemene voorwaarden niet is toegestaan en leidt tot waarschuwingen. Ook zouden de pilonnen de optie tot uitwijken hebben beperkt.

De kritiek gaf aanleiding tot nieuwe video’s, onder meer deze, waar men op een echte straat zonder pilonnen rijdt, de handen op het stuur blijven en de auto op zich er omheen kon. Desondanks wederom dikke boem. Het scherm laat zien wat het systeem detecteert maar er is geen mannequin of kind te zien. Ook dit gaf weer de nodige kritiek op de wijze van uitvoering.

De video’s en rumoer er omheen gaven Elon “free speech absolutist” Musk aanleiding om een rechtszaak aan te kondigen wegens laster. En ja, juridisch is er een verhaal te maken dat het onrechtmatig is (oneerlijke reclame, zo je wil) een video te publiceren met een onjuiste voorstelling van zaken die extreem gevaar suggereert. Er zijn bedrijven failliet gegaan om zulke dingen.

De vraag is dan wel: wie moet wat bewijzen. Bij een smaad- of lasterclaim moet in de VS de belasterde bewijzen dat de uiting in de feiten onjuist is (opinie is nooit laster of smaad, in hun systeem). Dat komt dus al snel neer op “hoe werkt FSD dan wel”, en dat zal al snel betekenen dat Dawn Project in discovery inzage kan eisen in de documentatie van dat systeem. Zo werkt het in de VS namelijk, alle relevante bewijsstukken moet je aan de wederpartij geven als deel van de procedure. En dat betekent dus dat de wereld mee mag lezen hoe FSD werkt, wat nog interessant kan zijn.

Arnoud

Mag ik van de AVG sfeerimpressies maken van een optreden?

Geplaatst op in Privacy, Uitingsvrijheid, 13 reacties
Rollstein / Pixabay

Een lezer vroeg me:

Ik ben door een vriend gevraagd sfeerimpressies te maken tijdens een optreden in een café. Ze vragen geen toegangsgeld, het café is voor iedereen toegankelijk tijdens het optreden. Het komt neer op het publiek filmen vanaf de achterste rij, ik ga niet inzoomen op individuele aanwezigen. Mag dit van de AVG? Moet ik bordjes plaatsen, toestemming vragen, een bezwaarregeling optuigen?
Als je met een (digitale) camera mensen gaat filmen, en de resultaten daarvan publiceert als video, dan valt dat handelen inderdaad in beginsel onder de AVG. Vanwege het publiceren kun je je niet beroepen op de uitzondering voor strikt privégebruik. En omdat mensen gezien de context soort van herkenbaar zijn, is sprake van een verwerking van persoonsgegevens. (Als je vanuit de hoogte met een drone filmt dan wellicht niet.)

Tegelijkertijd is een videoregistratie een vorm van vrije nieuwsgaring, en dat is een beschermd grondrecht net als privacy en gegevensbescherming. Je hebt dus het recht die video te maken, en de AVG kan niet zomaar dat categorisch verbieden. Gelukkig is dat ook niet zo: in gevallen waarin een gegevensverwerking zou botsen met de informatievrijheid, moet een oplossing komen die recht doet aan beide grondrechten (art. 85 AVG).

Dat is nader uitgewerkt in art. 43 Uitvoeringswet AVG, dat een aantal zaken buiten werking stelt: geen informatieplicht of recht van inzage, correctie of verwijdering bijvoorbeeld. Ook mag je bijzondere persoonsgegevens gebruiken als dat strikt noodzakelijk is voor je journalistieke productie. Wel moet je nog steeds een AVG-grondslag hebben, dat zal hier het legitiem belang (art. 6 lid 1 sub f AVG) moeten zijn met als invulling de bijdrage aan de maatschappelijke informatiebehoefte. Je hoeft dan weer geen rekening te houden met bezwaren (art. 21 AVG geldt niet).

Bij dit soort vragen krijg je altijd de discussie wanneer een verwerking nou “voor uitsluitend journalistieke doeleinden en ten behoeve van academische, artistieke of literaire uitdrukkingsvormen” is, zoals art. 43 UAVG het noemt. Met name dat “uitsluitend” zit vaak lastig in de discussie. Maar specifiek hier heb ik er geen twijfel over, omdat het alleen gaat om een publicatie (aan het publiek bekend maken) van een verslag van een in ieder geval lokaal interessante gebeurtenis (een concert in een café). Ik weet niet waar de ondergrens zit van wat “nieuws” is, maar gevoelsmatig zit deze er boven.

Het is wel netjes en verstandig een bordje te plaatsen, ook omdat je gewoon niet zit te wachten op discussie hierover. Dat kan het concert verstoren en het is een kleine moeite.

Arnoud