Wat wil jij weten van ict-jurist Arnoud Engelfriet?

titel

Al jaren is ict-jurist Arnoud Engelfriet actief in de Tweakers-community. Met zijn juridische kennis duidt hij regelmatig de AVG, het auteursrecht, versleuteling en alle Europese wetten die je maar rondom digitalisering kunt bedenken. We willen nu graag van jullie horen waar je Arnoud nog meer over wilt horen. Misschien beantwoordt hij jouw vraag wel in een komend artikel.

Arnoud Engelfriet is als gebruiker actief op Tweakers, maar schrijft sinds 2022 ook achtergronden over juridische onderwerpen. Hij onderzocht bijvoorbeeld of Philips Hue je mag verplichten een account te nemen, wat de juridische impact van de bitcoin is en of er auteursrecht op een AI-plaatje zit. Vaak bedenkt Arnoud zelf waar hij over wil schrijven of kijkt hij, zoals bij zijn analyse over Hue, naar de actualiteit. Nu zouden we graag ook jullie input willen voor zulke artikelen.

Zijn er juridische dilemma's waar je al een tijd je hoofd over breekt? Heb je altijd als eens willen weten hoe iets nu eigenlijk werkt of wat ergens de complicaties van zijn? Of heb je vragen over aankomende Europese regelgeving? Stel je vragen dan in de comments van dit artikel. Arnoud kiest op basis daarvan de interessantste vragen om potentiële toekomstige artikelen aan te wijden.

Natuurlijk kan er altijd actualiteit voorbijkomen die onze voorkeur krijgt. We kunnen dus niet garanderen dat jouw vraag wordt beantwoord of wanneer dat gebeurt, maar we ontvangen graag je input!

Reacties (71)

[OLED]

Wat ik heel graag wil weten:
@HuRRaCaNe schrijft:

“De DPG cookie wall is wat mij betreft in strijd met de GDPR vermits het weigeren van cookies doelbewust en onnodig moeilijk is. Voor de duidelijkheid, het gaat over dit soort cookie wall. Beide opties voor het accepteren en weigeren moeten even makkelijk zijn. Accepteren is hier een mooie blinkende gouden knop en van weigeren is er geen sprake. Er is enkel een knop "instellen" die leidt tot een mogelijkheid om te weigeren. Niet het ergste voorbeeld van een cookie wall op het internet, maar elke web developer weet (of zou moeten weten) dat 1 extra klik ongelofelijk veel frictie is voor gebruikers op grote schaal. Daarom dus dat de wetgeving verplicht dat beide opties gelijkwaardig moeten zijn. Van gelijkwaardigheid is er in de DPG Media cookie banner geen sprake.”

HuRRaCaNe in 'Tweakers stopt met trackingvrije advertenties'

Klopt wat HuRRaCaNe schrijft, en zo ja, waar kunnen we deze wetsovertredingen melden?

[HuRRaCaNe]

Ik ben geen jurist, maar volg de kwestie uit interesse. Voor zo ver ik weet komt het allemaal neer op verschillende interpretaties van de wetgeving, waar bedrijven die cookie banners designen zeggen dat hun banner (al dan niet met dark patterns) wél voldoet aan de wetgeving, terwijl privacy organisaties zeggen dat het niet voldoet.

Eén bron die hierover spreekt is o.a.:

• https://www.cookieyes.com/blog/dark-patterns-in-cookie-consent/

De DPG Media cookie banner valt onder het geval "No reject button in the banner’s first layer". De gegeven site meldt dat Google en Meta hiervoor al strenge boetes hebben gekregen van de Franse privacycommissie.

France's data privacy watchdog CNIL said on Thursday it had fined Alphabet's Google (GOOGL.O), opens new tab a record 150 million euros ($169 million) for making it difficult for internet users to refuse online trackers known as cookies.

Meta Platforms' Facebook (FB.O), opens new tab was also fined 60 million euros for the same reason, the CNIL said.

[...]
"When you accept cookies, it's done in just one click," said Karin Kiefer, CNIL's head for data protection and sanctions. "Rejecting cookies should be as easy as accepting them".

In its statement, the watchdog said it had found that the facebook.com, google.fr and youtube.com websites didn't allow the refusal of cookies easily, citing Google's video-streaming platform.

Bron: https://www.reuters.com/world/europe/france-imposes-fines-facebook-ireland-google-2022-01-06/

[Reactie gewijzigd door HuRRaCaNe op 22 juli 2024 16:51]

[Alxndr]

Ik zou het iets breder willen trekken: de regels zijn zo overduidelijk, hoe kan het dat er niet gewoon veel meer/harder/sneller gehandhaafd wordt?

Waar maak ik de denkfout als ik zeg dat je dit in met één bezoek aan een site kunt constateren, ze dan automatisch aan kunt schrijven, een herinnering stuurt als ze het niet aanpassen en dan de derde keer gewoon een boete oplegt?

Dit lijkt mij een process wat bijna volledig te automatiseren is? Misschien vroeger of later ergens een echt persoon (met de juiste bevoegdheden) het af laten tekenen of z'n stempel er op zetten, maar duizenden sites per maand moet toch makkelijk mogelijk zijn met een handjevol mensen?

[twv256]

Ik ben eigenlijk wel benieuwd wat er wel en niet mag bij licenties.

Het is natuurlijk al van lange tijd dat je 50 pagina's aan eula moet accepteren om software te kunnen gebruiken, maar je ziet de laatste jaren ook met enige regelmaat dat films en series die je 'gekocht' (dwz, je hebt op een "koop" knop gedrukt) hebt van een platform verdwijnen.

Nou zullen er vast kleine lettertjes zijn waarin staat dat je enkel een licentie hebt, maar mag dat allemaal zomaar?

[Arnoud Engelfriet]

Wat een leuke frustratie, daar moet zeker wat over te zeggen zijn. Het is alleen wat ironisch om 5000 woorden te besteden aan waarom je 50 pagina's moet lezen.

[The Zep Man]

Valt wel mee, toch? Tot 70.000 woorden bevat een boek circa 320 woorden per pagina. Met 5000 woorden vul je iets van 16 pagina's. 16 pagina's besteden om uit te leggen waarom je 50 pagina's (per keer dat je een licentie accepteert, vermengvuldig dat nog maar een aantal maal) zou moeten lezen is niet het einde van de wereld.

[Reactie gewijzigd door The Zep Man op 22 juli 2024 16:51]

[centr1no]

Er is altijd al veel onduidelijkheid geweest over wat je nu feitelijk 'koopt' en het principe dat je eigenlijk nooit 'eigenaar' wordt van (een kopie van) de game, film of wat dan ook. Het verdienmodel is er altijd op gestoeld geweest de consument steeds opnieuw te laten betalen.
Zelfs met fysieke dragers als DVD's e.d. kocht je alleen een 'licentie' voor die specifieke gegevensdrager.
Streamingdiensten geven je zelfs dat niet eens meer. Waar je voor betaald is toegang tot een dienst die de licenties heeft om het aan jou te tonen. Je 'koopt' iets voor zolang de dienst het aan jou beschikbaar wil of kan stellen.
Bij games willen ze ook steeds meer naar het 'as a service' principe. Je betaald niet voor de game maar voor toegang.

Je betaalt zonder ook maar ergens eigenaar van te zijn en je enige rechten zijn die je gegund worden door de serviceverstrekker.

[locke960]

Er is nooit onduidelijkheid geweest. Er zijn alleen partijen die de grens opzoeken en eroverheen gaan.

De essentiële eigenschap van kopen is dat de verkoper na de transactie geen controle over het verkochte goed meer heeft. Bij een boek of DVD is dat duidelijk. Het kan verslijten of kapot gaan, maar niet door een actie van de verkoper, alleen door inherente eigenschappen van het product.

Software die niet meer functioneert omdat de licentieserver down is? Diensten die 'gekochte' content uit je bibliotheek verwijderen? Dat is misbruik van het woord kopen. Dat is in werkelijkheid huur. Het woord kopen daarvoor gebruiken is moedwillig de zaken verkeerd voorstellen.

Dat iedereen dit doet maakt het niet normaal. Als iedereen te hard rijd vinden we dat ook niet normaal en krijg je nog steeds een boete.

[centr1no]

moedwillig de zaken verkeerd voorstellen.

Je zegt gewoon hetzelfde als wat ik zeg.

Er is nooit onduidelijkheid geweest. Er zijn alleen partijen die de grens opzoeken en eroverheen gaan.

Noem het hoe je wilt. Waar het op neer komt is dat er de schijn wordt gewekt dat je ergens eigenaar van bent terwijl dat niet zo is.

Als iedereen te hard rijd vinden we dat ook niet normaal en krijg je nog steeds een boete.

Ja, dus?

[Reactie gewijzigd door centr1no op 22 juli 2024 16:51]

[Janbraam]

https://alternativeto.net/software/eulalyzer/ zou een optie kunnen zijn....

[memphis]

Op social media komt heel veel scam advertenties voor zoals bv op Facebook een continue stroom aan zeer goedkope (39 euro) external dual screens om van je laptop een tripple screen te maken wat normaal zo'n 400 euro kost of een 1200 euro accu Dewalt set voor maar 59 euro. Hoever kan zo'n techbedrijf aansprakelijk gesteld worden voor de oplichting door hun zeer slechte controle op de advertenties. Zelfs als je dergelijke advertenties meld beweerd Facebook dat ze niets fouts zien.

[Wolfos]

https://www.dutchcowboys....lijk-voor-nepadvertenties
nieuws: Australië: Google niet aansprakelijk voor advertenties naast zoekresu...

[Wouterie]

Leuk is dat hè? Ik snap niet waarom ze zo'n onderscheid maken tussen de digitale en de fysieke wereld. Stel je loopt een supermarkt binnen om iets te kopen. Bij binnenkomst staat er een meneer in de 'daarvoor bestemde ruimte' en die geeft mij een klap voor mijn hoofd. Boos loop ik naar de filiaalmanager en die zegt doodleuk dat zij niet verantwoordelijk zijn voor wat die meneer in die ruimte doet en gaat verder met wat hij aan de doen was. Dat zou toch een beetje gek zijn, maar in de digitale wereld werkt het blijkbaar zo.

[memphis]

Ik vind het raar dat sociale media de opdracht heeft om zoveel mogelijk tegen nepnieuws te doen maar blijkbaar zijn nepadvertenties niet zo'n probleem. Ook vind ik het raar dat Facebook (enige sociale media waar ik op zit) totaal geen controle lijkt te houden op de aangenomen advertenties, dat zelfs bij meldingen en negatieve reacties nergens een lichtje gaat branden dat er mogelijk iets fout kan zijn.

[Wouterie]

Ze komen er mee weg. Ze hebben zelfs menig rechtbank achter zich staan! Als je maar hard genoeg roept dat het allemaal zo moeilijk is en dat je zó je best doet om er iets aan te doen, dan is dat blijkbaar goed genoeg. Het blijft allemaal hangen in de 'zoveel mogelijk' termen. Hang er gewoon een keiharde regel aan. Een gerapporteerde advertentie moet binnen 2 uur beoordeeld zijn en dan binnen 30 minuten verdwenen. Bijvoorbeeld. Kunnen ze dat niet, dan maar geen advertenties.
Iemand is verantwoordelijk voor die inhoud en als dat niet de site is die in bezoek, dan zal ik geen enkele advertentie meer op mijn systeem toelaten via die site. Zo simpel is het dan ook wel weer.

[memphis]

Ik denk meer aan de andere "onbekende" adverteerders die juist wel hun toko/product zonder kwade bedoelingen proberen aan te prijzen. Die zullen ook snel als niet serieus genomen worden.

[Wouterie]

Ik denk dat de adverteerders met goede bedoelingen inderdaad de pineut kunnen worden. Mijn probleem is dat het lijkt op het Wilde Westen. Er zit ergens een sheriff te dommelen, maar verder mag iedereen het lekker zelf uitzoeken. De uitbater van de saloon is niet verantwoordelijk voor de goktafels, is niet verantwoordelijk voor wat er op de piano wordt gespeeld, is niet verantwoordelijk voor de diensten die de dames aanbieden... Zien we zo een website? Dat de site als kastelein alleen verantwoordelijk is voor de whiskey of zien de we site als een plek waar de uitbater eindverantwoordelijke is voor alle diensten die worden aangeboden en worden gepromoot?

[memphis]

Terwijl als mooi voorbeeld providers gesommeerd worden The Pirate bay te blokkeren terwijl die er zeker niet verantwoordelijk voor zijn. Het recht is krom.....

[Triblade_8472]

In mijn Hyundai zit een boordcomputer met allemaal digitale toeters en bellen. Oa call home spul en verbindingen voor een app op de telefoon.

Om de zoveel maanden krijg ik een terms of agreement voor m'n neus (tijdens het rijden, die ik niet kan accepteren omdat ik rij- go figure)

Mijn vraag is hiermee, ik heb de auto als een product gekocht (ok, leased), mag de fabrikant zomaar de functies beperken als hun(!) een update forceren?

[dlaoR]

Ik zit eigenlijk met dezelfde vraag, maar dan iets breder geformuleerd:

Heel veel producten bestaan tegenwoordig uit een een fysiek element - een stukje hardware - met daarop wat software en vaak ook nog een service (bijv, server) 'op afstand'. Daarbij wordt de functionaliteit van het product als geheel bepaald door het samenspel van die drie elementen. Maar waar je de hardware letterlijk en figuurlijk zelf in handen hebt, is dat bij software en services niet of nauwelijks het geval.

Waar updates of software-aanpassingen leiden tot verbeteringen van de functionaliteit is dat nog niet zo'n probleem, maar niet zelden blijkt een software-update een functionele downgrade. En als de stekker van de webserver eruit wordt getrokken, sta je als consument ook machteloos,

Natuurlijk kan er best veel in gebruikersvoorwaarden worden vastgelegd, maar een 'functionele houdbaarheidsdatum' zie ik er doorgaans niet in staan, en je koopt een product om de eigenschappen die het op dat moment heeft. Maar als er achteraf functies worden onttrokken (of juist ongewild worden opgelegd) is het niet meer het product wat je gekocht dacht te hebben. In hoeverre mogen dit soort dingen? Of anders geformuleerd: mag je als consument verwachten dat een product zijn functionele eigenschappen behoudt gedurende zijn fysieke (!) levensduur?

Edit: woordje teveel er tussenuit gehaald.

[Reactie gewijzigd door dlaoR op 22 juli 2024 16:51]

[Triblade_8472]

Ter voorbeeld van jouw vraag, naast m'n auto, de Philips Hue lampen.

Daar wordt opeens een account verplicht, ook voor lampen die al jaren privacy-schending-loos goed werken.

Edit:
En hoort de cloud omgeving dus ook niet bij het gekochte? Minimaal voor de te verwachtte levensduur van het apparaat.

[Reactie gewijzigd door Triblade_8472 op 22 juli 2024 16:51]

[-MD-]

Ah, de Philips Hue lampen. Toevallig echt NET gezien dat daar al een artikel over is:
review: Mag Hue een account verplichten? - Arnoud Engelfriet over wijziging v...

[The Zep Man]

Mijn vraag is hiermee, ik heb de auto als een product gekocht (ok, leased), mag de fabrikant zomaar de functies beperken als hun(!) [sic] een update forceren?

En deel deze vraag op in:
• Als ik een auto in bezit heb.
• Als ik een auto lease.

Bij leasen zou de leasemaatschappij dit kunnen afvangen in voorwaarden, en dan krijg je weer een discussie daarover. Probeer met dergelijke vragen eerst het simpelste scenario te beantwoorden voordat je het ingewikkelder maakt.

[Reactie gewijzigd door The Zep Man op 22 juli 2024 16:51]

[Karp]

Ik gok dat je het antwoord op je vraag een keer in de "terms of agreement" hebt kunnen lezen 😄

[metalmania_666]

Wat ik heel graag wil weten.
Wij hebben een buurtgenootschap en één (inmiddels ex-bestuurslid) heeft een website gemaakt waarbij hij relevante informatie op zet. Na een conflict met de overige bestuursleden is hij uit het bestuur gestapt.
Maar hij gebruikt de e-mailadressen van de leden om ze op de hoogte te houden van nieuwtjes, en pikt ook dingen uit mails die het bestuur aan de leden stuurt (hij is zelf nog wel lid).

Over de mail communicatie naar de leden blijft hij zeggen dat als de leden het niet op prijs stellen dat ze op de hoogte worden gehouden, ze zich uit kunnen schrijven. Maar volgens mij moet hij werken met een OPT-in i.p.v. een OPT-out

Over het publiceren van de mails die het bestuur stuurt, zegt hij dat hij werkt als een buurtkrant en dat dat mag. Volgens mij dus niet

Graag jou mening, want het bestuur wil graag handvatten hebben om hem terecht te kunnen wijzen

[Arnoud Engelfriet]

Wat is dat toch met verenigingen en websites, dit komt ongeveer elk kwartaal in mijn inbox.

Specifiek bij deze mails twijfel ik of opt-in nodig is. Het is geen commerciële communicatie (reclame) dus vanuit de Telecomwet kom je er niet. Bij de AVG kun je het soms ook zonder toestemming, als het belang van de informatie hoger weegt dan jouw belang om verschoond te blijven van ongevraagde mails. Ik zou me eerder afvragen waarom hij die mailadressen heeft, als hij niet in het bestuur zit dan mag hij daar niet bij lijkt me.

Ik zou een AVG analyse op kunnen zetten maar dat wordt welles-nietes. Ik zou zeggen: binnen de vereniging doen we dit neit, dit is een bestuurstaak en jij hebt die gegevens vanuit je bestuurstaak gekregen dus je moet ze nu vernietigen. Doe je dat niet, dan royeren we je als lid.

[metalmania_666]

Dank je wel voor je reactie.
Ik speel het door naar het bestuur!

[delphium]

Ik ben zo benieuwd wanneer @Arnoud Engelfriet zijn profielfoto eens gaat updaten.

[Arnoud Engelfriet]

Ik dacht dat ik dat al gedaan had. De foto met gele achtergrond is mijn huidige/laatste foto.

Ik zie nu dat er op Arnoud Engelfriet ook nog een hele oude foto staat inderdaad. Zou dat mijn ooit-ooit Gravatar icoon zijn?

[delphium]

Oh, my bad. Ik bedoel inderdaad de biografiefoto, op je tweakersprofiel. Dat is niet je gravatar (wat een morbide naam).

[Wouterie]

Forever Young!!

[Ronwiel]

Dit voorjaar start Google met verplicht gebruik van basic consent mode voor het gebruik bij Google Ads. Organisatie hebben de keuze om advanced mode te implementeren. Ik ben benieuwd of deze advanced mode aan de AVG voldoet. Met name omdat de anonieme pings redelijk wat info doorsturen. Zonder advanced mode is er geen mogelijkheid tot bijv. remarketing.

Tot nu toe zijn het alleen maar feestverhalen van marketingbureaus die je leest.

[Dooxed]

Ik ben benieuwd naar advies over juridische bescherming rond persoonlijke data lekkage.
Er wordt continue data over iedereen verzameld. Vanuit AVG mag je een bedrijf aanschrijven voor inzicht en evt verwijdering. Bij een random website zijn dat al zo 700+ 'partners' die data verzamelen. Is er een stichting / groep / bedrijf waar 'de gewone man' zich kan aansluiten die deze partijen in de gaten houden (i.e. overzicht houd welke partijen actief zijn, adresgegevens bekend hebben) en die het proces van aanschrijven begeleiden / automatiseren? Zodat je niet zelf uren bezig bent met al dit uitzoekwerk.

[guidogast]

Misschien is het leuk om hem een keer uit te nodigen als gast in de podcast

[Chiwn]

Ja, eens!

[GertMenkel]

Ik ben wel benieuwd naar de juridische situatie van de Fediverse. Voor degenen die hem nog niet kennen: dat is een netwerk van sociale mediaservers die posts/comments/likes met elkaar uitwisselen. De meest bekende variant is ongetwijfeld Mastodon, maar er zijn tal soorten servers die met Mastodon samenwerken (of juist niet) via gefedereerde protocollen. ActivityPub is daar de meestvoorkomende variant van, en dat wordt naast Twitter-achtige Fediversesoftware ook voor Reddit-achtige software (Lemmy, Kbin) en Facebook-achtige sofware (Friendica) gebruikt. Al die platformen kunnen met elkaar praten voor zover de UI het toestaat (Reddit-achtige servers hebben bijvoorbeeld geen tijdlijn).

In het geval dat dit relevant is: de meeste Fediverse-software is push-gebaseerd. Dat wil zeggen, servers downloaden niet zomaar elkaars inhoud, maar informeren elkaar als er nieuwe inhoud gedeeld wordt. Er wordt vaak wel een lokale kopie opgeslagen, en daar wordt ook naar verwezen als je bijvoorbeeld iemand quote of een bericht beantwoordt, maar de meeste communicatie is uitgaand. Wel is het zo dat de boel niet versleuteld is, en servereigenaren dus alle inhoud van alle berichten, inkomend en uitgaand, kunnen inzien, en eventueel verzoeken om restricties toe te passen kunnen negeren.

Ik ben groot voorstander van het idee van decentrale sociale netwerken, maar kan me lastig voorstellen dat ook maar een klein deel van die servers aan de AVG voldoet. Er zijn geen verwerkingsovereenkomsten, geen privacy officers, en vaak niet eens een privacyverklaring. Veel van deze servers zijn hobbyprojecten van individuen, dus daar zijn uitzonderingen voor, maar hoe zit het met de servers die draaien op donaties?

Dan heb je nog copyright: iedere sociale mediasite heeft een riedeltje in de voorwaarden over het verstrekken van een licentie om je inhoud te mogen reproduceren (zou nogal stom zijn als je een foto jaar Facebook uploadt en Facebook dan niet het recht heeft deze met je netwerk te delen). Bij veel Fediverse-oplossingen worden echter afbeeldingen tussen servers gekopieerd en geherdistribueerd, zonder (voor zover ik kan zien) het voorwaardenriedeltje. Servers kopiëren je inhoud zonder dat je daar ooit expliciete toestemming voor hebt gegeven, dat lijkt me eerlijk gezegd juridisch lastig als het op intellectueel eigendom aankomt.

Deels gerelateerd heb je nog weer "bridges", software die posts van één platform pakt en ze herverspeid op een ander platform. Zo kon je bijvoorbeeld via een bridge Twitteraccounts volgen op Mastodon. Recent is er een bridge aangekondigd die Bluesky en Mastodon koppelt, en mensen hadden daar allerlei sappige meningen over. Iets dat veel voorbij kwam was dat men boos was dat hun berichten zonder hun "consent" werden geplaatst op een platform dat ze niet leuk vonden. Hoe zit het eigenlijk daarmee?

Vervolgens heb je de optie om met privéberichten te communiceren tussen servers. Heeft dat nog impact? Wat doe je als de politie aanklopt, kunnen ze je vragen om de correspondentie van jou of andere accounts die je op je server hebt staan?

Dan als laatste een probleem dat recent op Lemmy (een decentraal Reddit-alternatief) de kop opdook: wat nou als één of andere mafklapper besluit kinderporno te plaatsen om mensen te trollen, en je server die vrolijk kopieert en cachet zoals bij alle andere memes? Je kunt als servetje met 20 accounts lastig bij PhotoDNA aankloppen, en pogingen om lokaal kindermisbruik te detecteren gebruiken vaak AI (en daarmee veel rekenkracht).

Ik geloof niet dat de mensen die het Fediverse draaiende houden zich heel druk maken om de legale implicaties. Het wordt dan ook vaak als hobby gedaan, behalve Threads zijn er ook maar weinig populaire commerciële Fediverse-instanties. Toch knaagt het er bij mij aan dat juridische uitdagingen zoals de AVG worden weggewuifd.

[Reactie gewijzigd door GertMenkel op 22 juli 2024 16:51]