Tag: data

About data

Subscribe Feeds

Curatoren verkopen geregeld klantgegevens zonder toestemming na faillissement

Geplaatst op in Privacy, 19 reacties

Curatoren verkopen na bedrijfsfaillissementen geregeld klantgegevens door, waaronder die van failliete webwinkels. Dat meldde Tweakers woensdag. Zij baseren zich op onderzoek van De Groene Amsterdammer en onderzoeksplatform Investico. Zij bekeken verschillende faillissementen en de dataverkoop die daarmee gemoeid ging. Zo’n dataverkoop mag niet, en wie zegt van wel -of dat het ingewikkeld is- die heeft het keihard fout. Ik ergerde me dan ook rot aan het bericht. Ik wil best geloven dat niet iedere curator even diep in de AVG zit, maar de partijen die die data kopen die moeten gewoon weten dat ze privacyheling plegen.

Curatoren moeten natuurlijk de failliete boedel te gelde maken, en ik zie heus wel dat er geld te verdienen is met een lijst klantgegevens of relaties. Er zijn altijd partijen die daar geld voor geven. Deze praktijk speelt dan ook al vele jaren. Het belang van zo’n bestand was tien jaar terug niet zo heel erg groot, en je merkte er niet altijd wat van als je gegevens werden doorverkocht. Maar vandaag de dag is dat wel anders.

Onder de AVG zijn de regels vrij simpel: zowel de kopende als de verkopende partij moet een eigen grondslag hebben om dit te mogen doen. Dat je iets van een curator koopt, betekent nog niet dat je er wat mee mag doen. En als je er niks mee mag doen, dan mag je die gegevens niet hebben. Dataminimalisatie, verwijderplicht.

“Het belang van de boedel gaat gewoon voor”, zegt een curator dan. Zou hij dat ook zeggen bij een partij asbest of Viagra-pillen die hij in de boedel aantreft? Ik kan me het niet voorstellen. Ja, ik weet dat de AVG erg ingewikkeld kan zijn, maar denk dan cynisch wel altijd “vooral voor mensen die er baat bij hebben dat ze het niet begrijpen”. Want je voelt op je klompen aan dat databestanden met klantgegevens niet bedoeld zijn voor derden om reclame op te doen. Dus dan mag het niet.

Oké, het hielp niet dat de AP eind 2017 op haar website expliciet vermeldde dat curatoren wel die gegevens mogen verkopen. Maar die zin is snel weer weggehaald, en terecht. Ik blijf cynisch: tot 2017 was het dus heel onduidelijk hoe de wet werkte, ondanks dat de AP op diverse manieren aangaf dat het niet mocht. En in 2017 was het dan ineens wél duidelijk dat het mocht omdat de AP het zei, en nu de AP weer zegt dat het niet mag is het heel onduidelijk en dus blijven we het maar doen. Ik kan daar met mijn eenvoudige juristenpet niet bij.

Arnoud

Veel Nederlanders sturen werkbestanden naar privémailadres, mag dat?

Geplaatst op in Informatiemaatschappij, 16 reacties

Veel Nederlandse werknemers versturen weleens werkbestanden vanuit hun zakelijke mailbox door naar hun privémailadres, las ik bij Security.nl. Dat baseert zich op het recent verschenen Cybersecurity bewustzijnsonderzoek van Alert Online dat onder meer dan duizend Nederlanders werd uitgevoerd. Volgens het onderzoek zegt 15 procent van de respondenten dat ze dit “altijd of meestal” wel doen. 29 procent zegt soms wel, soms niet of meestal niet. Het onderzoek werd uitgevoerd door Motivaction in opdracht van Omnicom Public Relations Group (OPRG), dat de NCTV-campagne Alert Online organiseert. Ik kreeg van diverse mensen de vraag, kun je dit niet beter gewoon verbieden als werkgever?

Het kan natuurlijk een risico zijn om werkbestanden naar jezelf te mailen. Ik vermoed dat in de enquête vooral werd gedacht aan risico’s rondom de slechter beveiligde thuiscomputer, waardoor virussen er met de data vandoor kunnen gaan of deze door een foutje gemaild of geupload wordt naar een plek waar hij niet hoort. Idem voor privémailboxen die minder goed beveiligd zijn. Daarnaast zit je als bedrijf nog met AVG issues, een bestand met persoonsgegevens dat op deze manier mee naar huis gaat, kan best een datalek opleveren.

Vanwege deze risico’s kan ik me goed voorstellen dat een bedrijf haar medewerkers verbiedt om bestanden naar privéadressen te mailen en/of op sticks en dergelijke mee naar huis te nemen. Wel moet je als bedrijf dan goed hebben nagedacht hoe je het wil doen met thuiswerken, iets dat vaak de facto zeer zeker verwacht wordt van medewerkers. (Ze nemen die informatie immers niet voor niets mee naar huis.) Je kunt als goed werkgever niet enerzijds thuiswerken verlangen en anderzijds geen middel bieden om de benodigde data thuis te hebben.

In de comments zag ik nog de suggestie om werknemers aansprakelijk te stellen als ze zo’n verbod overtreden of een datalek veroorzaken door slechte beveiliging thuis. Dat gaat ‘m niet worden: juridisch gezien kun je werknemers gewoon niet privé aansprakelijk houden voor fouten die ze op het werk maken. En data meenemen naar huis om daar onveilig te werken, is gewoon een werkgerelateerde fout. Ook als het expliciet verboden is. Het arbeidsrecht is hier zeer op de hand van het personeel.

Ik ken werkgevers die om deze reden USB-poorten fysiek onbruikbaar maken en Gmail en consorten blokkeren. Dat is wat radicaal maar voorkomt een hoop ongewenste datatransporten. Je maakt het mensen dan weer wel moeilijker om hun werk te doen, dus daar moet je dan wat anders op verzinnen.

Arnoud

Het gaat bij AI niet om algoritmes, het gaat om de data die je erin stopt

Geplaatst op in Innovatie, 15 reacties

Steeds vaker lees ik over aandacht voor AI en algoritmes bij de politiek. Een goeie ontwikkeling, zeker omdat AI software steeds vaker ingezet wordt om bestuur te ondersteunen. Bijvoorbeeld het selecteren van cold cases waar potentie in zit of herkennen van potentiële onrust zodat je de geweldprotesten voor kunt zijn. Steeds vaker lees ik daarbij ook dat men inzicht wil in de algoritmes, en dát voelt voor mij als de verkeerde insteek. It’s the data, stupid.

Om een of andere reden is het woord ‘algoritme’ recent populair geworden als korte omschrijving voor computeranalyses waarmee dit soort zaken worden geregeld. Van het customizen van een newsfeed tot het detecteren van criminaliteit in historische politiegegevens, het heet allemaal “algoritme”. Ergens klopt dat ook wel: een algoritme is “een eindige reeks instructies die vanuit een gegeven begintoestand naar een beoogd doel leidt” (Wikipedia), en al die systemen gebruiken een serie instructies om gegeven een bak met data te komen tot het beoogde doel van een voorspelling.

Alleen: die stappenplannen of reeksen instructies zijn op zichzelf helemaal niet zo spannend of bijzonder. Meestal gaat het om machine learning algoritmes, die op zoek gaan naar samenhang tussen factoren in een groot databestand om zo tot voorspellingen te komen. We zien dat terechte klachten over partnermishandeling samengaan met het wonen in een rijtjeshuis, deze klacht komt uit een rijtjeshuis dus grote kans dat ie terecht is, ga er maar heen. (De achterliggende factor is dan dat buren het horen en bellen, wat meer zekerheid geeft.)

Het algoritme dat dit doet, is echter volstrekt niet ontworpen of aangepast om specifiek die samenhang te zoeken. Gooi je er honderdduizend telecomcontracten in inclusief opzegdatum, dan kan hij met dezelfde instructies uitrekenen welke klanten waarschijnlijk gaan verlengen en welke niet. Het algoritme hoef je daarvoor niet aan te passen, meer dan aangeven wat de uitvoervariabele moet zijn is het in de praktijk eigenlijk niet.

Het gaat om de data. Wat erin gaat, bepaalt wat eruit komt. Daar hebben we het al vaker over gehad: foute data erin is natuurlijk foute data eruit, of dat nu vooringenomenheid is, kortzichtige selectiviteit of typefouten doet er dan verder niet toe. Maar als je als politiek wat wilt doen aan de betrouwbaarheid en vooral de eerlijkheid van AI, dan moet je het niet hebben over de algoritmes maar over de data. De data bepaalt voor 100% wat het systeem gaat zeggen. Je wilt dus inzicht in de data, en regels over de data.

Arnoud

Data bestaat juridisch niet, wat betekent dat voor de praktijk?

Geplaatst op in Innovatie, 21 reacties

Data is niets, is een mantra dat ik al geruime tijd verkondig op deze blog. Je kunt geen eigenaar zijn van data, want de wet kent dat concept alleen voor fysieke goederen. Dat roept dan altijd de nodige vragen op: als data niets is, wat doe ik dan allemaal online, en waarom zijn er dan soms toch wetten die wat zeggen over data die ik publiceer of up- dan wel download?

De reden dat ik dit roep, is om aan te geven dat je erg zwak staat wanneer je aanspraak wilt maken op data die je ergens hebt geplaatst. Bij fysieke goederen is dat makkelijk: die kun je te allen tijde terughalen met een beroep op je eigendomsrecht, no questions asked (behalve als je de rekening nog open hebt staan).

Een equivalent daarvan ontbreekt bij data. Er is geen enkele wettelijke grondslag om een kopie van je data op te eisen. Als je er niet bij kunt, of als hij weg is, dan heb je pech en de wet laat je in de kou staan. Hooguit kun je schadevergoeding krijgen voor de tijd nodig om deze te herstellen, maar in veel gevallen wil je helemaal niet de data herstellen of kún je dat niet eens (die vakantiefoto’s van tien jaar geleden, of je bonnetjes van je bedrijf van vorig jaar).

Natuurlijk heb je intellectuele-eigendomsrechten, met name auteursrecht en databankrecht op je data. Maar dit zijn ‘exclusieve’ rechten, oftewel rechten waarmee je anderen kunt verbieden iets te doen met die data. Ze geven je geen recht op toegang tot die data of anderszins beschikkingsrecht over die data. Je kunt daarmee dus alleen eisen dat men de data wist of weghaalt, meer niet.

Data in de vorm van virtuele objecten in online spellen bestaat juridisch dan weer wél, dat is gewoon een stukje eigendom. Dat volgt uit jurisprudentie over diefstal en beroving van dergelijke objecten. Ook je SMS-tegoed en dergelijke saldo’s gelden als eigendom. Maar dit is de uitzondering en niet de regel.

Ik noem dit met enige regelmaat een van de grootste, zo niet het grootste, probleem van de informatiemaatschappij. Informatie is alles, maar is tegelijkertijd niets in deze samenleving. Dat is raar. En het kan héél vervelend uitpakken, want we plaatsen steeds meer data bij derden in plaats van die zelf te bewaren. Als je daar geen zeggenschap over hebt, dan is dus die centrale grondstof van de maatschappij ineens juridisch buitengewoon kwetsbaar.

Misschien dat de nieuwe privacywet vanaf 25 mei hier verandering in brengt. Wie data over hemzelf elders onderbrengt, heeft recht op een kopie van zijn “dossier”, alle persoonsgegevens. Daarmee zou je dus je fotoverzameling terug kunnen halen, die hangt aan jouw account en is dus van jou. Maar ideaal is dat niet – zeker niet voor bedrijven, want data van een bedrijf is geen persoonsgegeven.

Is er een oplossing? Ik betwijfel het. Gewoon in de wet zetten dat eigendomsrecht ook geldt voor computergegevens gaat wat te snel. Je loopt dan tegen allerlei problemen aan, hoe pakt dat uit? Hoe geef je dan bijvoorbeeld data als onderpand, of wat gebeurt er als ik data dan twee keer verkoop? Maar een andere oplossing weet ik ook niet.

Arnoud

Univé verzekert gehackte pc consument

Geplaatst op in Security, 11 reacties

Verzekeraar Univé introduceert een verzekeringspakket waarmee consumenten hun pc of smartphone kunnen beschermen tegen hackers, las ik bij AMweb. Een speciaal kastje en een hulplijn moeten voorkomen dat het misgaat. Weten cybercriminelen je pc toch te vernielen dan vergoedt de coöperatieve verzekeraar de schade. En dat voor twaalf euro per maand. Ik kreeg er veel vragen over: voegt dit wat toe en wat heb je er aan?

Het is bij mijn weten de eerste verzekeraar die expliciet ICT-schade dekt onder een verzekering. Natuurlijk heeft iedereen al schadeverzekeringen, maar die dekken meestal alleen zogeheten letsel- en zaakschade: mensen of dingen die fysiek stuk gaan. Bij ICT-problemen is vaak eerder sprake van vermogensschade, áls er al schade is: zet maar eens een prijs op driehonderd verloren JPEG’s of de kosten van het opnieuw instellen van je tienduizend persoonlijke voorkeuren op je net opnieuw geïnstalleerde laptop. Dus een specifieke ICT-verzekering kan wat toevoegen hier.

Of deze verzekering genoeg doet daarvoor, is me nog niet duidelijk. Het ND zocht het uit en concludeerde dat je nou net geen schadevergoeding krijgt voor het verlies van bestanden met een emotionele waarde, zoals familiefoto’s, of voor betaald losgeld bij ransomware. Maar men dekt je wel wanneer jouw pc bij anderen schade aanricht, zoals wanneer een virus op jouw laptop overspringt naar zeg de postduivenvereniging waar je secretaris bent. (Bij je werkgever boeit dat niet, want die kan jou niet aansprakelijk stellen voor virussen die door jouw nalatigheid het bedrijfsnetwerk infecteren.)

Een interessant punt vond ik dat de verzekeraar je een modem met F-Secure SENSE firewall geeft, om zo de risico’s praktisch te beperken. (Een ding van 199 euro en na het eerste jaar 9,90 per maand securityupdates.) Dat is een mooie geste die voor veel consumenten wel wat toe kan voegen. En het past in de trend die ik in de zakelijke markt zie: niet alleen een risico dekken maar ook actief stimuleren (of zelfs verplichten) dat schadebeperkende maatregelen worden genomen.

Tegelijk kun je je afvragen, zou je voor dat geld niet zo’n firewall en een backupoplossing kunnen kopen als consument?

Arnoud

Mijn hostingprovider weigert de DNS records van mijn domeinen te overhandigen!

Geplaatst op in Informatiemaatschappij, Intellectuele rechten, 15 reacties

Een lezer vroeg me:

Voor een klant moeten we meerdere domeinnamen overnemen van de huidige hoster. Echter wil de hostingpartij huidige ingestelde DNS records niet overhandigen aan zowel de klant als ons, en er is ook geen toegang tot een online omgeving waar ik deze kan downloaden. Mag men dit zo weigeren?

Ja, dat mag men zo weigeren en er is geen grond om die data op te eisen bij de huidige dienstverlener.

Ik blijf het zeggen: juridisch is data helemaal niets, het bestaat niet en je kunt er dus ook geen aanspraak op maken tenzij contractueel is afgesproken van wel. Heel heel soms zou je kunnen beredeneren dat dit impliciet is afgesproken, maar je zult van goeden huize moeten komen en er is geen jurisprudentie hierover.

DNS-data is best cruciaal. Steeds meer diensten autoriseren verzoeken door naar informatie in DNS te kijken. Het bekendste voorbeeld is SPF, een protocol om mailberichten te authenticeren. Wanneer iemand een mailtje verstuurt, wordt dan in de DNS op het afzender-domein gekeken of daar een record is dat toestemming geeft aan deze afzender. Als je die informatie dus niet meeverhuist, dan kun je ineens niet meer mailen naar SPF-gebruikers.

Er is niets wettelijk geregeld voor DNS data, dus zonder afspraak kun je die niet opeisen.

Ook met auteursrecht of databankrecht kom je er niet. Allereerst zit er op dit soort feitelijke informatie geen IE-recht, en ten tweede zijn dergelijke rechten verbodsrechten. Dat wil zeggen dat je de hoster zou kunnen verbieden deze informatie nog te hebben, maar niet dat hij je een kopie moet geven. Auteursrecht is geen eigendom.

De beste manier – maar dat is achteraf – is in het contract of de SLA dus opnemen dat een kopie van de data zal worden verstrekt in een bruikbaar formaat. Heb je dat niet, dan zit er dus weinig anders op dan de data reconstrueren op basis van externe bronnen, in dit geval de openbare DNS. Maar dat kan een heleboel werk zijn, zeker met subdomeinen.

Arnoud

Tot eigendom van data geregeld is, kun je maar beter goede backups maken

Geplaatst op in Informatiemaatschappij, 12 reacties

Wie data opslaat bij een online backupdienst, of gebruik maakt van een SaaS-dienst voor bijvoorbeeld boekhouding of klantenadministratie, zal al snel geneigd zijn te spreken van ‘zijn’ data. Logisch: die informatie is essentieel voor die persoon, en als hij het fysiek ergens opgeslagen had, dan waren die mappen of papieren ook gewoon zijn eigendom. Maar in de cloud is dat wezenlijk anders. Data is niets, juridisch gezien. Je kunt dus niet spreken van eigendom van data, en er is ook geen wettelijke manier om data op te eisen van een dienstverlener.

Dat data niets is, beschouw ik als het grootste juridische probleem binnen het internetrecht. Want we dénken allemaal van wel, omdat SaaS-diensten nu eenmaal zo duidelijk aansluiten bij de klassieke manier van werken. Data op onze laptops, daar kunnen we altijd bij; die is dus ‘van ons’ in het gewone spraakgebruik. En die data is essentieel voor wat we doen – of het nu bedrijfskritische gegevens zijn of onvervangbare foto’s van je opgroeiende kinderen. Die data moet dus ook van ons zijn. Maar als je hem in de cloud opslaat, heb je er juridisch geen claims meer op. Data is een bijproduct van dienstverlening, meer niet.

Bij verlies van data heb je juridisch gezien gewoon dikke pech. Die data is weg, en een claim wegens wanprestatie is buitengewoon ingewikkeld. Toon maar eens aan dat de clouddienstverlener zijn best niet heeft gedaan, om te beginnen. En daarnaast: waarom had jij geen backup van die data, als die zo belangrijk was voor je? Het aansprakelijkheidsrecht kent het concept van “eigen schuld”, waardoor een schadevergoeding kan worden verlaagd. Met dat argument kreeg een consument in 2013 het deksel op de neus toen hij zijn Powerbook had laten repareren, waarna de harde schijf sneuvelde. Hij moest de helft van de schade zelf dragen.

Een oud spreekwoord luidt: beter voorkomen dan genezen. In juridische termen: beter backuppen dan aansprakelijk stellen. Een backup maken van clouddata lost het hele probleem op van dataverlies, tenminste als je de backup ook weer netjes ergens bewaart.

Een goede dienstverlener zal zijn klanten de gelegenheid geven alle geüploade data ook weer te downloaden, zodat de klant deze elders kan gebruiken als de overeenkomst wordt beëindigd, of bij calamiteiten natuurlijk. Sommige bedrijven doen dit liever niet, omdat ze bang zijn dat iemand dan naar de concurrent gaat. Maar het omgekeerde blijkt waar: als je weet dat je snel weg kunt, blijf je langer zitten. Het belangrijkste voor de klant is in ieder geval: máák die backup, en bij voorkeur iedere dag. Want een backup heb je pas nodig als je merkt dat de dienst het ineens niet meer doet. En dan is het te laat om hem nog te downloaden.

Arnoud<br/> PS: dit is een voorpublicatie uit editie 2017/18 van De wet op internet, en de voorintekening is geopend!

Wat is het verschil tussen data delen en data verkopen?

Geplaatst op in Security, 10 reacties

Audiobedrijf Bose werd vorige maand aangeklaagd wegens het bespioneren van zijn gebruikers, las ik bij Nu.nl. De Bose Connect-app zou bijhouden naar welke muziek en podcasts gebruikers luisteren. Het bedrijf heeft de app aangepast, maar ontkent dat die data wordt verkocht aan derden. En dan lees ik “Het bedrijf ontkent echter niet dat de gegevens gedeeld worden met derde partijen” en denk ik, wat is dan het verschil?

Steeds meer apparaten vergaren informatie over hun eigenaren en sturen dat naar de fabrikant. Van slimme televisies die luisteren naar wat er wordt gezegd tot beeldbewerking op afstand. Maar ook heel simpel een website die je bezoekt, verzamelt van alles over je. Commercieel heel waardevolle informatie voor derden, met name voor adverteerders. Want weten wat iemands interesses zijn, maakt het mogelijk gericht te adverteren.

Dit is op zich Ouder dan het Internet(tm): ook daarvoor al werd er driftig gehandeld in databestanden zodat je wist waar je een direct mailing het beste heen kon sturen. Verkoopcijfers van huizen, interesse in dure meubels en ga zo maar door. Verkoop van klantenbestanden en -informatie werd privacytechnisch dan ook al snel een punt van zorg.

Dit zie je op veel websites en diensten dan ook terug in de privacyverklaring: Wij verkopen uw gegevens niet aan derden. En voor zover ik weet houdt iedereen zich daar ook netjes aan. En dat is maar goed ook, want bestandenhandel is sinds de Wet bescherming persoonsgegevens eigenlijk altijd verboden – en onder de AVG of GDPR van volgend jaar helemáál.

Erg is dat niet, want er is een veel slimmer alternatief. In plaats van bestanden met waardevolle persoonsgegevens aan derden te verkopen, verhuur je een reclameplekje voor die derden op een generiek omschreven (dus niet persoonsgebonden) plekje op je site. Facebook zal mij nooit data verkopen waarin staat welke gebruikers advocaat zijn, IT-savvy en druk bezig zich in te lezen over die AVG die eraan komt. Maar ik kan wel gericht reclame tonen voor mijn boek over de AVG op precies het segment advocaat, IT-savvy en vond-ik-leukte-AVG-artikelen.

Effectief is dat hetzelfde, maar verkopen is het niet. Ik denk dus dat dat ongeveer is wat men met dat “delen maar niet verkopen” bedoelde. En het is dus legaal denk ik, omdat je geen persoonsgegevens verkoopt maar alleen geaggregeerde data. Hoe je dat wettelijk zou verbieden, weet ik niet. Dat kan dan beter bij de bron aangepakt worden: je mag zulke gegevens niet verzámelen zonder aparte toestemming, en dergelijke toestemming mag niet verbonden worden aan de koop van een ‘slim’ apparaat.

Arnoud

Wanneer mag ik websites van wanbetalers weggooien?

Geplaatst op in Intellectuele rechten, 18 reacties

Een lezer vroeg me:

Wij zijn een hostingbedrijf en beginnen steeds verder te groeien. Nu lopen we af en toe tegen de situatie aan dat klanten niet meer reageren bij een verlenging en dus ook geen factuur betalen. Wij houden de boel dan netjes in de lucht, maar dat wordt steeds meer gedoe, zeker als er ook domeinnamen bij betrokken zijn. Wanneer mogen wij deze data en/of domeinnamen offline halen? En mogen ze worden gewist/opgeheven?

Wettelijk sta je als hoster in je recht als je na beëindiging contract (ook bij wanprestatie/wanbetaling) de data meteen wist. Natuurlijk moet je wel eerst het contract opzeggen (ontbinden) wegens de wanbetaling. In de praktijk moet er dus minstens een aanmaning de deur uit zijn gegaan (op papier) en moet de daarin genoemde termijn zijn verstreken.

Data bewaren na zo’n opzegging is erg netjes, maar je bent er dus niet toe verplicht. Doe je het wel, dan sta je in je recht als je een vergoeding vraagt voordat de klant die data krijgt. Ik zou wel aanraden de procedure daarover in de algemene voorwaarden op te nemen.

De domeinnaam nog een jaar aanhouden lijkt me een ander verhaal. Daar zitten voor de ondernemer kosten aan en dat kan oplopen als je groeit. Op zich kan het wel (met een vergelijkbare procedure in de algemene voorwaarden) maar het lijkt me hier net zo prima om deze gewoon te laten verlopen. De domeinnaam komt dan in quarantaine, waar de klant deze tegen een meerprijs uit kan halen. Dat is de geaccepteerde gang van zaken, en mensen moeten hem dan maar daaruit halen als ze zich bedenken en/of alsnog geld vinden.

Arnoud

Wordt het niet eens tijd om data-eigendom wettelijk te gaan regelen? #dimorefi

Geplaatst op in Informatiemaatschappij, 15 reacties

Langsgekomen bij de voorspellingen 2017: wordt het niet eens tijd om data-eigendom te gaan regelen? Data is de grondstof van de informatiesamenleving, maar juridisch gezien bestaat data niet bij diensten van diezelfde informatiemaatschappij. Dat is buitengewoon raar en leidt tot zeer onbillijke situaties. Tijd om er wat aan te gaan doen. Alleen: wát dan?

Je bent eigenaar van je data. Klinkt heel logisch, zeker vanuit het aloude mantra dat wat offline geldt, ook online moet gelden. Als je eigenaar bent van die fysieke mappen met documenten, die bonnetjes en die albums met foto’s, dan ben je dat natuurlijk ook van die gedigitaliseerde documenten, die PDF’s met bonnetjes en dat Instagram-account met foto’s.

Alleen: nee. De wet erkent het concept eigendom alleen op zaken, oftewel “voor menselijke beheersing vatbare stoffelijke objecten” (art. 3:2 BW). Computergegevens (data) vallen niet onder deze definitie, om de eenvoudige reden dat ze niet stoffelijk zijn. En dan is eigendom erop niet mogelijk.

Op virtuele objecten is eigendomsrecht wel erkend. Maar dat was een strafrechtelijke kwestie, en belangrijker: het ging om een specifiek soort data, namelijk data in een omgeving waarbij deze uniek gemaakt was. Een virtueel zwaard dat uniek is in een spel, kan worden weggenomen. Een belminuut die wordt gebeld is daarna op. In het algemeen gaat dat niet op voor data. Als iemand mijn foto kopieert, ben ik deze niet kwijt. Dus die jurisprudentie lever hier niets op.

Dan hebben we nog het auteursrecht en het databankenrecht. Op data kun je beide rechten hebben (mits creatief en/of verkregen door substantiële investering), en we noemen dat soms intellectuele eigendom ook. Maar dat gaat je niet helpen: die rechten zijn juridisch “exclusieve” rechten zoals dat heet, oftewel rechten om anderen iets te verbieden. Geen rechten om dingen mee op te eisen. Als een kopie mijn boek ergens in de winkel ligt, kan ik ze dat verbieden, maar ik kan die kopie niet opeisen van ze.

Wat is data dan wel? Niets, zeg ik altijd. Het is juridisch gezien een artefact van een dienst, en daarop heeft de opdrachtgever geen rechten. De wet ziet data bij een clouddienst als hetzelfde als de data die je butler onthoudt* tijdens zijn jarenlange dienstverband. Erg leuk en prettig, maar als de beste man met pensioen gaat dan is die data weg.

Misschien een tikje gechargeerd, maar wat ik ermee bedoel is dit: je hebt geen wettelijke aanspraak op data die je in een dienst opslaat, met een dienst genereert of dankzij een dienst verkrijgt. Je kunt die data niet opeisen, en van “jouw” data kun je al helemaal niet spreken. (Bij data over jezelf -persoonsgegevens- ligt dat een tikje anders, zeker straks onder de Privacyverordening. Maar dat laat ik even buiten beschouwing.)

Dit levert allerlei vervelende problemen op. Als een dienst wordt gestaakt, dan kan de bijbehorende data per direct de prullenbak in en als klant is daar niets aan te doen. Je hebt geen recht hier nog even een kopie van te downloaden. Ook als een dienst eenvoudigweg weigert die data beschikbaar te stellen voor download, dan houdt het snel op. Men mag zelfs in de voorwaarden verbieden dat je die data gaat downloaden (bijvoorbeeld door de website te scrapen of met een script alle data te downloaden).

Tijd voor de politiek, zou je zeggen. Als data zo belangrijk is voor de maatschappij, dan moet eigendom daarop wettelijk vastgelegd worden.

Alleen: hoe dan?

Je kunt natuurlijk botweg zeggen, we schuiven “en op digitale gegevens gegenereerd of opgeslagen middels diensten van de informatiemaatschappij” in artikel 3:2 BW. Dan is data je eigendom, punt. Maar dat creëert wel gigantische afbakeningsproblemen. Is de logfile met informatie over mijn logins dan ook “mijn” data? De reacties onder mijn blog, zijn die van mij of van mijn reageerders?

Een andere insteek is te handelen vanuit de problemen die er zijn. Je data ben je kwijt als de dienstverlener de dienst staakt of de toegang weigert, oké dat is een probleem dus laten we wettelijk zeggen dat dat niet mag. Een dienstverlener is gehouden data opgeslagen of gegenereerd door een gebruiker van zijn dienst in kopie te geven op verzoek, zoiets. Dat kan, alleen moet je dan wel elk probleem zien te onderkennen en daar een artikel voor schrijven. Bijvoorbeeld bij faillissement, dat de curator ook die plicht op zich heeft. En dat een schadeplicht ontstaat als die data weg is. Of dat de data pas weg mag nadat een redelijke termijn voor een download is verstreken.

Maar welke insteek je ook kiest, dan kom je bij het volgende probleem. Welke data, en hoe dan? Dat is geen simpele vraag. Moeten foto’s in het originele geüploade RAW formaat, of in de JPEG’s waarmee ze gepubliceerd worden? In welk formaat moet een Facebook-profiel worden geëxporteerd? Of de reacties op mijn blog? De todo-items uit mijn handige appjes?

Open standaarden, hoor ik van de achterste rij. Ja, mooi principe alleen gaat dat werken? Moet je dan voor álles een open standaard maken? Is er een standaard voor todo items of voor ticketbestellingen bij het theater via die mooie app? Of is die lijst met ticketbestellingen te triviaal om data-eigendom voor te laten gelden?

Dus nee. Ik denk echt dat de kwestie van data-eigendom een van de belangrijkste open issues uit de informatiemaatschappij is en vind het een nobel idee om dit te gaan regelen, maar het is allesbehalve triviaal hoe we dit voor elkaar moeten krijgen.

Arnoud<br/> * Hier zou een grap moeten over “Dat mag Joost weten, maar ik weet hem even niet.