Mag je onderzoeken naar een datalek bij een politieke partij?

| AE 13727 | Privacy | 37 reacties

De gegevens van 92.901 leden en oud-leden van de Nederlandse politieke partij Forum voor Democratie zijn gelekt. Dat meldde Tweakers donderdag. De administratieserver had een fout waardoor je zonder controle lidmaatschapsgegevens kon opvragen (namen, e-mailadressen, telefoonnummers en rekeningnummers van leden en oud-leden). Auw. De journalisten van RTL Nieuws kregen 92.901 records te pakken. Wat de vraag opriep: mag dat eigenlijk wel, zo’n lijst downloaden, gaat dat niet te ver?

Het lek is ondertussen gedicht, en afgezien van een melding bij de AP en een dreiging met aangifte tegen iedereen die de gegevens misbruikt lijkt er niets meer van te komen. Maar het punt blijft: had je als journalist zo ver mogen gaan?

Hoofdregel is natuurlijk dat ook journalisten zich aan de wet moeten houden. Maar er is een uitzondering: als het absoluut noodzakelijk is voor het aan de kaak stellen van een ernstige misstand, dan mag je verder gaan. Inclusief dus inbreken in een computersysteem, wanneeer dat dus de enige manier is om vast te stellen dat daar inderdaad een lek zit.

De omvang van het lek vaststellen mag ook, want dat is dan deel van het nieuws. Maar dan krijg je het dilemma: is het nodig om 92.901 records te downloaden om te controleren of je werkelijk álle ledengegevens te pakken kunt krijgen? Kun je niet volstaan met enkele records te zoeken (op je eigen naam, of op de naam van bekende leden, zodat je geen nodeloze schade aanricht) om zo de omvang van het probleem vast te stellen?

In de al wat oudere Nieuwe Revu-zaak werd het hacken van de mailbox van de toenmalige Staatssecretaris van Defensie legaal geacht, maar het vervolgens snuffelen in de mails dan weer niet. Voor het nieuwsfeit “is die mailbox zwak beveiligd” was op zich aanleiding, maar “hij doet mogelijk staatszaken in de privémailbox” was te theoretisch. En Henk Krol kreeg in 2013 ook een boete voor het grasduinen in EPD dossiers na bewezen te hebben dat een arts een zwak wachtwoord had, zij het dat meewoog dat hij dat voor de televisiecamera deed.

Mijn eerste gevoel bij deze zaak is dat omdat het hier gaat om zeer gevoelige gegevens, je in je recht staat om vast te stellen hoe ernstig de zaak precies is. Dan is downloaden van de gehele dataset wel nodig, al is het maar om te kunnen reageren op de onvermijdelijke downplaying die menig organisatie zou doen bij een dergelijk nieuwsbericht. Natuurlijk moet je die dataset vervolgens ergens in een kluis stoppen en verder niet aankomen.

Weet er iemand een andere manier om dit lek te valideren op zo’n manier dat de scope vast komt te staan maar zónder dat je alle records downloadt?

Arnoud

Rechtbank: Ziggo hoeft vermaningen Brein niet naar torrentgebruikers te sturen

| AE 13146 | Intellectuele rechten, Ondernemingsvrijheid | 5 reacties

Ziggo hoeft torrent-waarschuwingsbrieven van Brein niet door te sturen naar frequente torrentgebruikers. Dat meldde Tweakers onlangs. Dit was een recent idee van de auteursrechthandhaver: identificeer frequente uploaders, en stuur ze een “we hebben je in de gaten”-brief in de hoop dat men ermee stopt. De rechtbank merkt de hierbij benodigde persoonsgegevens aan als strafrechtelijk, waardoor Ziggo ze niet mag verwerken zonder vergunning van de Autoriteit Persoonsgegevens.

Ziggo had bezwaar gemaakt tegen het verzoek van Brein om deze brieven te versturen, omdat zij dacht dat dit onder de AVG niet toegestaan zou zijn. Brein verzamelt immers IP-adressen van torrenters, en dat zijn persoonsgegevens. Maar op zich mag Brein dit, gezien het gerechtvaardigd belang dat zij als vertegenwoordiger van rechthebbenden heeft bij de handhaving en preventie van auteursrechtinbreuk.

Wel is er het fundamentele probleem dat het hier gaat om gegevens over strafrechtelijk relevant gedrag. Inbreuk op auteursrecht is immers een misdrijf (art. 31 en verder Auteurswet). Uit het vonnis:

De AP heeft in een besluit over de online handhaving van de intellectuele eigendomsrechten door Dutch Filmworks B.V. (DFW) vastgesteld dat het verwerken van persoonsgegevens van personen waartegen een min of meer gegronde verdenking bestaat van handelingen die inbreuk maken op een auteursrecht, aangemerkt moeten worden als het verwerken van strafrechtelijke persoonsgegevens (AP, Definitief besluit inzake de verklaring omtrent de rechtmatigheid van online handhaving van intellectuele eigendomsrechten door Dutch Filmworks B.V., z2017-02053, p. 4).
Door het soort analyse dat Brein uitvoert, is vrij zeker dat de betrokken personen dit misdrijf van inbreuk op auteursrecht plegen. Dat maakt de persoonsgegevens dan tot strafrechtelijke persoonsgegevens, waarvoor de AVG een zeer streng regime kent:
Persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen mogen op grond van artikel 6, lid 1, alleen worden verwerkt onder toezicht van de overheid of indien de verwerking is toegestaan bij Unierechtelijke of lidstaatrechtelijke bepalingen die passende waarborgen voor de rechten en vrijheden van de betrokkenen bieden. Omvattende registers van strafrechtelijke veroordelingen mogen alleen worden bijgehouden onder toezicht van de overheid.
Er moet dus een concrete wet zijn die regelt dat je dit mag verwerken, en die wet moet ook nog eens passende waarborgen kennen. In Nederland is dit uitgewerkt in artikel 31 en 32 Uitvoeringswet AVG. Die kennen de optie dat je zulke gegevens mag verwerken als je bezig bent met een juridische procedure, maar daar kon Brein dus geen beroep op doen:
Op het moment dat Brein (naar aanleiding van de evaluatie van deze campagne) later besluit om toch (andere) handhavingsmaatregelen te treffen en het daarvoor nodig is om te procederen, zullen daarvoor opnieuw IP-adressen worden verzameld. De IP-adressen die zijn/worden verzameld in het kader van de FLU-waarschuwingscampagne worden daar niet voor gebruikt (zie 2.7) en dus is de verwerking daarvan niet noodzakelijk in verband met een rechtsvordering.
Een ander artikel (33) bepaalt dat strafrechtelijke persoonsgegevens mogen worden verwerkt ter bescherming van je eigen belangen, voor zover het gaat om strafbare feiten die jegens jou zijn gepleegd of naar verwachting zullen worden gepleegd. Dat past dus bij Brein, alleen is dat niet bruikbaar voor Ziggo. En dat is het probleem, want Ziggo is zélf verwerkingsverantwoordelijke wanneer zij die gegevens van haar administratie koppelt aan de brieven van Brein en deze doorstuurt.

Voor Ziggo is dit dan ook alleen een optie als zij een vergunning krijgen van de AP. Dat voelt een beetje als een heftige optie – waarom mag Brein dat zomaar maar Ziggo niet – maar de regel staat in hetzelfde rijtje als de regels over recherchebureaus. Het is dus eigenlijk de restoptie, je bent niet echt een privédetective maar je doet wel ongeveer hetzelfde, dan moet je dus een aparte vergunning halen.

Zijn we er dan? Ja, met zo’n vergunning dan mag – pardon, móet Ziggo dit gaan doen.

De rechtbank haalt het Lycos/Pessers arrest van stal, dat organisaties als Brein in principe het recht geeft om NAW-gegevens te eisen van providers zoals Ziggo, wanneer de klant waarschijnlijk inbreuk pleegt. Hetzelfde arrest dat Dutch Filmworks zonder succes inriep bij hun dreigbriefactie, maar dat liep stuk op het punt dat DFW onduidelijk was over de schadeclaims en andere rechtsmaatregelen waarmee ze in hun brieven schermden. Brein heeft daaraan gedacht: de brieven zijn alleen “pas op, doe dit niet nog eens” en na versturen van de brieven worden alle logs gewist.

Lycos/Pessers zegt dat je als provider zelf onrechtmatig handelt als je in zo’n situatie geen NAW gegevens afgeeft. De rechtbank trekt dat door: je handelt ook zelf onrechtmatig als je die brieven dan niet doorstuurt. Dus zou Ziggo een vergunning hebben, dan konden die brieven per direct de deur uit.

Het enige dat de rechtbank nu in het midden laat, is of Ziggo verplicht is om zo’n vergunning te gaan halen. Enerzijds lijkt het me lastig om zoiets af te dwingen, want het is niet een kwestie van een formuliertje invullen op de site van de AP en drie vinkjes laten zetten door je FG.

Anderzijds mag Brein volgens dit vonnis dus wél eisen dat ze NAW-gegevens van de torrenters krijgt, zodat ze zelf die brieven kan sturen. (Dat was niet de vraag van Brein dus de rechtbank verplicht Ziggo daartoe niet, maar wie 3.38 en 3.41 leest, ziet dat de rechtbank wel degelijk op de hand van Brein is.) En als dat zo is, dan is het halen van die vergunning en het zelf doen misschien nog de te prefereren keuze voor Ziggo.

Arnoud

 

Hoge Raad: Ziggo hoeft downloadergegevens niet af te staan aan Dutch FilmWorks

| AE 12768 | Informatiemaatschappij | 23 reacties

De Hoge Raad heeft het cassatieberoep van Dutch FilmWorks verworpen, las ik bij Tweakers. Door deze art. 81-afdoening hoeft Ziggo definitief niet de gegevens van klanten die illegaal zouden downloaden af te geven aan het bedrijf. Dat was immers de uitkomst van het hoger beroep van eind 2019. En dat bevestigt ook dat het Lycos/Pessers-arrest geen vrijbrief is om maar persoonsgegevens te kunnen vorderen “want het is inbreuk”.

Bij Tweakers doen ze een tikje verbaasd dat de Hoge Raad zonder motivatie de zaak afwijst, “Waarom de Hoge Raad het beroep heeft verworpen, is niet bekend.” Voor juristen zou dit geen verrassing mogen zijn, onze hoogste rechtscollege mag zonder motivatie zaken afwijzen

als het cassatieberoep ongegrond is en geen juridisch belangrijke nieuwe vragen oproept. Bijvoorbeeld als rechtzoekenden ‘naar de bekende weg vragen’ door rechtsvragen voor te leggen die al zijn beantwoord, en er verder geen reden is het verwerpen van het cassatieberoep nader te motiveren.
Kennelijk vroeg DFW dus naar de bekende weg. Dat is misschien wat al te onaardig gezegd, want waar het ze in de kern om ging was
[dat het Gerechtshof juridisch onlogisch was] door het verstrekken van de gevorderde NAW-gegevens te laten afhangen van de actie(s) die DFW uiteindelijk tegen individuele downloaders wil nemen en de transparantie die DFW daarover in deze procedure heeft betracht.
Als je namelijk naar de Lycos/Pessers criteria kijkt, dan staat daar niet letterlijk bij als factor wat men van plan is te doen. Maar het Hof had dat meegewogen in de AVG-beoordeling van wat DFW van plan was. Plus, criterium b is of je een “reëel belang” hebt bij je eis, en als je onduidelijk bent over je plannen dan zie ik het daar ook wel over struikelen.

Ook had DFW gesteld dat Ziggo verplicht is de gegevens af te geven als aan het Lycos/Pessers arrest is voldaan. Het Hof had echter geconcludeerd dat het geen automatisme is (zoals al vele, vele malen bevestigd daarvoor) maar dat het een afweging van belangen is. Van de manier waarop het Hof die uitvoerde, daar kun je van alles van vinden, maar dan kom je bij het juridische punt dat zo’n afweging al heel snel feitelijk is. En de Hoge Raad mag niet toetsen aan feitelijke bevindingen, maar alleen het juridisch kader controleren. Dus bezwaren tegen welke factoren zijn meegenomen, zijn niet geschikt voor cassatie.

Voor mij weinig verrassend, maar gezien de belangen bij DFW niet gek dat men er nog een bak geld tegenaan gesmeten heeft om zo lang mogelijk de dreiging in de lucht te houden. En ik blijf erbij, ik zie niet hoe DFW dit anders had kunnen doen. De situatie dat de IP-adreshouder niet de downloader is, is een fundamenteel probleem. Dat los je alleen op door botweg te zeggen, je bent aansprakelijk voor je account. En dan krijg je ook nog het schadebedrag waar al tien jaar over gesteggeld wordt – wat kost dat nou, zo’n illegale download? Is dat de prijs van de DVD, de Blu-Ray, de single play van Videoland of 1/30e van een Netflix maandabonnement? Ik denk niet dat je daar ooit uitkomt.

Arnoud

Verdachte illegale downloaders kunnen schuld niet bij huisgenoten leggen

| AE 10933 | Intellectuele rechten | 28 reacties

Een illegale downloader die wordt vervolgd, kan niet zomaar een gezinslid of huisgenoot de schuld geven van het downloaden om onder de straf uit te komen, meldde Nu.nl onlangs. Het Europese Hof van Justitie deed eerder uitspraak (zaaknr. C-149/17) hierover in een Duitse kwestie waarbij de houder van een internetaansluiting van illegaal downloaden van een… Lees verder

Dutch Filmworks gaat in oktober illegale downloaders opsporen en laten betalen

| AE 9632 | Intellectuele rechten | 94 reacties

Filmdistributeur Dutch Filmworks heeft aangekondigd illegale downloaders van films vanaf oktober op te sporen en te laten betalen via een schikkingsvoorstel. Dat meldde Tweakers vorige week. De filmmaatschappij is al eventjes bezig, onder meer begin deze maand met toestemming van de privacytoezichthouder om IP-adressen aan NAW-gegevens te mogen koppelen van mensen die torrenten. Maar ik… Lees verder

Mag je een film illegaal downloaden als je de Blu-Ray al hebt?

| AE 9051 | Intellectuele rechten | 26 reacties

Een lezer vroeg me: Stel dat ik een bluray disc (BD) aanschaf van een film, gewoon legaal gekocht in de winkel. Nu is het helaas niet mogelijk om deze film te kopiëren naar een ander afspeelapparaat, zoals mijn computer, en af te spelen, vanwege de aanwezige kopieerbeveiliging. Persoonlijk vind ik dit onhandig, want niet elk… Lees verder

Geldt het recht op een thuiskopie ook als je een beveiliging moet kraken?

| AE 8445 | Intellectuele rechten | 18 reacties

Een lezer vroeg me: Mag ik een Netflix-stream opslaan onder de thuiskopieregeling? Dat is toch een legale bron? En mag ik dan de beveiliging kraken, anders krijg ik dit niet voor elkaar. In de Auteurswet staat (art. 16b en 16c) dat je een kopie mag maken van elk werk dat je te pakken krijgt, behalve… Lees verder

Filmindustrie claimt miljard bij Staat om downloads

| AE 8403 | Intellectuele rechten | 61 reacties

Nederlandse filmmakers en distributeurs dreigen de Nederlandse staat met een schadeclaim van ruim 1 miljard euro, meldde de Volkskrant afgelopen vrijdag. Dit omdat Nederland met haar ‘ruimhartige downloadbeleid’ dat in 2014 tegen de Europese wet bleek, zo veel schade zou hebben veroorzaakt bij de Nederlandse filmindustrie. One beeillion dollars. Wacht, wat, hoe komen ze daar… Lees verder

‘Grotere kans op boete voor Nederlandse Popcorn Time-gebruikers’, wacht, wat?

| AE 8113 | Intellectuele rechten | 51 reacties

De kans dat auteursrechthebbenden gaan proberen om van Nederlandse Popcorn Time-gebruikers schadevergoedingen te eisen lijkt weer wat groter te zijn geworden, las ik bij NOS.nl (dat me ook om een weerwoord vroeg). Brein-opperhoofd Tim Kuik liet zich bij BNR ontvallen dat er in de wandelgangen wordt gefluisterd dat sommige rechthebbenden nadenken over mogelijke boetes voor… Lees verder

Mag je een Raspberry Pi verkopen die illegale streams kan streamen?

| AE 7752 | Intellectuele rechten | 13 reacties

U verkoopt Raspberry Pi’s voor illegale streams, mag dat? Hee, dat vraagformat komt me bekend voor. In een rechtszaak van stichting BREIN tegen Raspberry Pi-verkoopsite Filmspeler.nl moet het EU-Hof oordelen of streamen uit illegale bron onrechtmatig is en of het verkopen van mediaspelers die linken naar sites met illegale streams ‘openbaarmaking’ is, zo meldde Computerworld… Lees verder