Jaar: 2012

About Jaar: 2012

Subscribe Feeds

Spionagemalware Duqu schendt GPL

Geplaatst op in Intellectuele rechten, Iusmentis, 25 reacties

duqu-gpl.pngSjongejongejonge, wat zullen de Duqu-makers daar wakker van liggen: de beruchte spionagemalware Duqu bevat open source-code die onder de ‘virale’ licentie GPL vallen, las ik bij Webwereld. Duqu blijkt open source blokken te bevatten van derden en die licentie te negeren.

Tsja, wat moet je met zo’n berichtje? Ik noem het maar ‘grappig’, wanthet is ergens wel grappig om te denken dat malwaremakers die economische spionage en mogelijk zelfs hardwarevernielingen gaan veroorzaken een opensourcelicentie zullen respecteren. Gelukkig dus maar dat er “This post is for fun, don’t take it too seriously,” bij staat.

En dan maar doorpakken op een stukje irritatie van mij: je kunt in situaties als deze de GPL niet schenden, want de GPL is niet bindend als je je er niet aan houdt. Je pleegt auteursrechtinbreuk, natuurlijk, maar eisen dat iemand de GPL naleeft is onmogelijk. Tenzij iemand gezégd heeft de GPL te willen naleven en vervolgens dat blijkt niet te doen.

In maart hadden we nog een discussie over GPL bij tablets, waarbij de discussie was of je als koper de GPL kon afdwingen. Dat kan (via een derde-begunstigde discussie) maar wél moet dan eerst vaststaan dat de verkoper zich aan de GPL heeft gebonden.

Het enkele feit dat iemand GPL-licensed code verspreidt, is nog geen bewijs dat hij zich aan de GPL heeft geconformeerd.

Arnoud

Werkelijk niemand heeft trek in de cookiewet

Geplaatst op in Ondernemingsvrijheid, Privacy, 133 reacties

Er viel niet aan te ontkomen gisteren: de cookiewet is van kracht. Vanaf gisteren is het verboden cookies te plaatsen zonder toestemming (behalve voor “functionele cookies”, maar dat is hooguit 1% van de cookies). En prompt gaat iedereen als kip zonder kop rondrennen alsof ze niet al twee jaar hadden kunnen weten dat dit eraan zat te komen en ze nú acuut failliet gaan omdat het fundamenteel onmogelijk is om aan die wet te voldoen.

Maar toegegeven, het ís ook een rare wet. Het idee is leuk (bescherming tegen nare spionagebestandjes en meer algemeen het “wat moet dat op mijn pc”-gevoel), maar een uitwerking die gebaseerd is op het idee dat de gemiddelde internetter een zorgvuldige studie maakt van een cookieverklaring en daarna een weloverwogen beslissing maakt om al dan niet het cookie te accepteren, is gedoemd te falen. Op internet geldt: leg mensen een vraag voor in een popup en ze klikken “ja”. Oh sorry, ben ik nu weer te cynisch?

Weinig sites – tot en met de overheid zelf aan toe – lijken daadwerkelijk van plan iets te gaan doen met de cookiewet. Bij Opta.nl krijg je cookies zonder dat daarom gevraagd is, Rijksoverheid.nl idem, en ook de commerciële jongens en meisjes zetten gewoon vrolijk cookies alsof het niets kost. De enige opmerkelijke uitspringer was Fok!.nl, dat je een buitengewoon lompe tussenpagina geef en eist dat je toestemming voor hun cookies geeft.

Om de reden (update inmiddels aangepast, zie ook de reactie van Fok!-directeur Roodbol in de comments) moest ik erg hard lachen:

De reden dat FOK.nl alleen bezocht kan worden als je aangeeft alle cookies te accepteren, is dat het voor ons onmogelijk is te garanderen dat er geen cookies geplaatst worden. Onze bezoekers kunnen bijvoorbeeld zelf reacties plaatsen waarin plaatjes opgenomen kunnen zijn. Zelfs via die plaatjes kunnen er cookies op jouw computer terechtkomen.

Van alle redenen waarom je mensen zou willen weren die geen cookies accepteren, is dit zo ongeveer de enige die gewoon écht nergens op slaat. Ten eerste: Fok! is niet aansprakelijk voor zulke cookies, omdat zij geen kennis daarvan heeft of hoeft te hebben. Net zoals ze niet auteursrechtelijk aansprakelijk is voor de plaatjes zelf.

Ten tweede: het is juridisch volstrekt onmogelijk om toestemming te geven voor “alle cookies”, zeker als je daar ook cookies onder rekent die mogelijk gezet gaan worden door vage plaatjeshostingsites die je bezoekers uitzoeken. Toestemming moet namelijk specifiek zijn, en “ik wil alles” is niet specifiek.

Ik ben eerlijk gezegd vooral benieuwd hoe lang ze het volhouden – en of andere sites ze gaan volgen. Want ergens zie ik het nog wel werken bij een communitysite (behalve dan bij nieuwe leden), maar bij een nieuwssite is het commerciële zelfmoord. Vandaar dat Telegraaf.nl niet verder gaat dan een banner aan de bovenkant van de site, overigens met een impliciete toestemming die volgens mij niet geldig is in Nederland. En Nu.nl heeft alleen een opt-outmelding in haar privacy- en cookiebeleid (“Je hebt op dit moment één actief cookie, klik op opt-out om jouw keuze te wijzigen.”).

En de oplettend klikkende lezer is het wellicht al opgevallen: ja, we hebben een nieuwe site – Cookierecht.nl. Met zo ongeveer alles dat we de afgelopen tijd hebben geschreven over cookies, en heel wat meer ook.

Arnoud Arnoud

Twitters nieuwe privacybeleid

Geplaatst op in Privacy, 3 reacties

Twitter heeft een nieuw privacybeleid, las ik bij de EFF. Zowel EFF als Twitter zelf beschreven enkele nieuwe mogelijkheden voor het bedrijf, zoals het kunnen doen van gepersonaliseerde volgsuggesties. Dat wilde ik graag even bij de bron nazien, maar hoewel Twitter netjes de oude privacybeleiden (privacybeleids? Ruud H, help!) is er geen track changes te vinden. Dan maar even zelf door de documentvergelijker gehaald. Het blijft irritant.

De meeste wijzigingen zijn cosmetisch: zinnetjes zijn herschreven, bijvoorbeeld van “we use your information to provide and measure use of our Services and improve them over time” naar “use your information below to provide our Services and to measure and improve them over time.” Daar zie ik het nut niet van, maar soms levert het een verduidelijking op, dus nou ja.

Inhoudelijk zijn er een paar nieuwe dingen, met name de “Log Data” clausule:

Log Data: Our servers automatically record information (“Log Data”) created by your use of theThird Party Services. Log Data may include information such as your IP address, browser type, operating system, the referring web page, pages visited, location, your mobile carrier, device and application IDs, search terms, and cookie information. We receive Log Data when you interact with our Services, for example, when you visit our websites, sign into our Services, interact with our email notifications, use your Twitter account to authenticate to a third-party website or application, or visit a third-party website that includes a Twitter button or widget. Twitter uses Log Data to provide our Services and to measure, customize, and improve them. If not already done earlier, for example, as provided below for Widget Data, we will either delete Log Data or remove any common account identifiers, such as your username, full IP address, or email address, after 18 months.

Kortom, wat verzamelen wij en wanneer gooien we dat weer weg. Dit is erg netjes en hoort eigenlijk in ieders privacyverklaring te staan. Widget data wordt daar nog eens apart bij uitgewerkt. Die tekst laat ik even weg want het ís al zo’n lap. En dat is eigenlijk meteen het nadeel aan privacyverklaringen: je moet heel veel uitleggen waar eigenlijk de bezoeker niet op zit te wachten.

Twitter verklaart nu ook als nieuw item dat ze zich houden aan de US Safe Harbor, oftewel Europeanen kunnen nu persoonsgegevens laten verwerken door Twitter zonder zich grote zorgen te maken over de Amerikaanse privacywetgeving.

Het stukje over de suggesties staat er inderdaad ook:

We may use your contact information to help others find your Twitter account, including through third-party services and client applications. Your account settings control whether others can find you by your email address or cell phone number. You may choose to upload your address book so that we can help you find Twitter users you know. We may later suggest people to follow on Twitter based on your imported address book contacts, which you can delete from Twitter at any time.

Heel spannend lijkt het mij allemaal niet, dergelijke suggesties zijn voor mij niet een reden om Twitter niet meer te gaan gebruiken. Of mis ik nu een ernstige privacy-invasie?

De EFF meldde dat Twitter nu Do Not Track gaat ondersteunen, maar dat staat niet echt duidelijk in het privacybeleid. Ik dénk dat dit het is:

You can instruct your browser, by changingediting its settingsoptions, to stop accepting cookies or to prompt you before accepting a cookie from the websites you visit. However, some Services may not function properly if you disable cookies.

Ik vind “editing settings” wel een érg vage verwijzing naar “do not track”, hoewel ik niet weet hoe ik het beter kon omschrijven als ik niet expliciet “do not track setting of your browser” mocht schrijven. Want ik gok dat Twitter niet zó specifiek wilde zijn in een juridisch document.

Overigens is het eigenlijk fout om nieuwe bevoegdheden op te eisen in een privacybeleid. Een privacystatement, privacy policy, privacybeleid of hoe je het maar wilt noemen is een beschrijving van wat je doet, verplicht op grond van de Wet bescherming persoonsgegevens. Maar zeggen wat je doet betekent niet dat je het mág doen. Je zult apart moeten kunnen aantonen dat je die bevoegdheid hebt, het liefst doordat er apart toestemming voor gegeven is.

Arnoud

Verboden te hyperlinken naar de UEFA

Geplaatst op in Iusmentis, 24 reacties

uefa-tc.pngIk heb het onder “Grappig” gerubriceerd maar het is natuurlijk om te huilen: het is verboden te linken naar de website van de UEFA zonder hun voorafgaande schriftelijke toestemming. De gebruiksvoorwaarden van de site zijn daar heel duidelijk in. Duidelijk, maar ook dom: hoe kan ik me akkoord verklaren met voorwaarden waarvan ik het bestaan helemaal niet wist?

Het is volstrekt legaal om te hyperlinken naar eender welke URL op internet, bepaalde de Hoge Raad al in 2003. Er zijn uitzonderingssituaties, maar dan moet je denken aan het dieplinken naar streams of downloads waardoor je overlast (datapieken) veroorzaakt, of aan linkverzamelingen waarvan je weet dat ze structureel en systematisch verwijzen naar illegale uploads. Bovendien, websitedisclaimers zijn niet bindend dus die tekst voegt niets toe.

Pas als je je registreert, en daarmee expliciet akkoord gaat met de voorwaarden, zou men eventueel naleving van deze voorwaarde kunnen afdwingen. Alleen kan ik eigenlijk geen situatie bedenken waarin de UEFA redelijkerwijs zou kunnen willen dat mensen níet naar hen linken én zo’n belang zwaarder zou wegen dan de vrije meningsuiting van die mensen.

Ik kan me echter niet voorstellen dat de betrokken UEFA-jurist ook maar één seconde hierover nagedacht heeft. Ik weet zeker dat dit een kwestie “maak even een disclaimertje” was, waarbij men gewoon wat stoer-juridisch bedoelde teksten bij elkaar plakte. Dat schijnen mensen belangrijk te vinden; niet voor niets draait onze disclaimergenerator elke dag nog steeds overuren terwijl de teksten eigenlijk juridisch nul waarde hebben. Disclaimers juridisch masturberen noemen is vast té grof voor de maandagochtend?

Arnoud

Gaan we weer: de voorwaarden van Microsoft’s So.cl

Geplaatst op in Informatiemaatschappij, 6 reacties

socl.pngAls jullie er moe van worden moet je het maar zeggen, maar het blijft me fascineren waar de juristen van internetbedrijven elke keer weer mee komen als er nieuwe diensten worden gelanceerd. Want ja daar moeten voorwaarden bij en laten we het nog maar een keer opnieuw opschrijven, op een net wat andere manier en we streven naar helderheid maar ja het moet ook juridisch kloppen natuurlijk. En we horen het wel of er bezwaren zijn. Meest recente voorbeeld is So.cl van Microsoft, een sociaal netwerk waar zoeken, netwerken en delen van content gecombineerd worden.

Microsofts voorwaarden zijn netjes opgezet, met een duidelijk kopje en dan toch een poging tot leesbaar Engels. ??n een waarschuwing bovenaan:

This contract limits our liability and disclaims warranties for the service to the maximum extent permitted by law. Please read these sections of the contract carefully.

Het meeste is standaard: gedraag je, upload geen porno en schend geen auteursrechten. Let op je account. Oh, en je gaat akkoord met de Bing voorwaarden want wij plakken Bing-zoekresultaten op je pagina.

Opmerkelijk is dat men wél rekening lijkt te hebben gehouden met de brouhaha die andere diensten steeds over zich heenkrijgen als het gaat over auteursrechten van de gebruikers. Er staat standaard in zulke voorwaarden “je blijft eigenaar maar wij mogen alles”, maar Microsoft is er iets beperkter in: men houdt het bij “to the extent necessary to provide the service.” En dat is zoals het hoort.

Een paar dingen zijn op zich ook standaard maar doen wel de wenkbrauwen fronsen:

  • Microsoft may change this contract at any time without notice. If you do not stop using the service, your continued use of the service will be under the changed contract.
  • We may change the service or delete features at any time and for any reason . We may cancel or suspend your service at any time.
  • If you give us feedback, you give Microsoft, without charge, the right to use, share and commercialize your feedback in any way and for any purpose.

Daar is geen woord juridisch aan, zou ik zeggen. Enerzijds schrik je er wel van dat men zó eenzijdig die rechten voorbehoudt, anderzijds is het verfrissend dat men zó duidelijk daarover is. Nu alleen nog mensen zo ver krijgen dat ze niet denken “ach dat zal wel meevallen” maar gaan piepen. Oh sorry, ik was even optimistisch.

Arnoud

Kun je worden verplicht in te loggen op je internetbankieren?

Geplaatst op in Security, 63 reacties

bank-inloggen.pngHm, intrigerende samenvatting van een rechtszaak: “De stelling van appellant dat vanwege veiligheidredenen niet van hem kan worden verlangd in te loggen op een computer van de gemeente, kan niet worden gevolgd.” Dit in het kader van een procedure over een bijstandsuitkering, waarbij de instantie toegang wilde tot de bankgegevens om te zien of meneer daar daadwerkelijk recht op heeft.

Sinds eind 2007 ontving deze man een bijstandsuitkering, maar na “een signaal van het Inlichtingenbureau” dat hij zo’n 17.000 euro op de bank zou hebben staan wilde men dat toch eens nader onderzoeken. Men verzocht hem dan ook langs te komen met e-dentifier en dergelijke, zodat op kantoor eens kon worden nageplozen in hoeverre dat signaal juist was. Dus ja, “mogen wij even op uw bankrekening kijken hoe dit zit”.

De man weigerde, met een beroep op zijn privacy maar ook met het argument dat de medewerkers van de gemeente zo méér konden zien dan ze met papieren afschriften hadden kunnen zien. Want daar kun je immers irrelevante boekingen zwartmaken. Daarop werd de uitkering ingetrokken met een beroep op het niet nakomen van de inlichtingenplicht.

Wie een bijstandsuitkering aanvraagt, is op grond van de Wet werk en bijstand (Wwb) verplicht alle inlichtingen te geven die “van invloed kunnen zijn op zijn arbeidsinschakeling of het recht op bijstand.” De ambtenaar mag daarom vragen en dan moet je dat afgeven. Het overhandigen van bankafschriften valt daar gewoon onder, bepaalde de Raad eerder. Je mag het weigeren, maar dan mag men de uitkering stopzetten.

Wel is het vast beleid dat je in zo’n geval op de afschriften irrelevante informatie mag zwartmaken, tenzij gegronde redenen bestaan om de uitgaven in te zien, bijvoorbeeld bij een vermoeden van fraude. Dat werkte vroeger omdat je dan authentieke bankafschriften had via de bank. Maar nu met internetbankieren is het allemaal wel érg makkelijk om even wat getalletjes bij te stellen voordat je op de printknop drukt, dus vandaar dat het beleid nu is dat je ter plekke even moet komen internetbankieren.

Is het nu een securityrisico dat je bij de gemeente moet gaan internetbankieren op een brakke Windows XP computer waarvan je geen idéé hebt hoe veel trojans en keyloggers erop staan? Niet volgens de Raad, hoewel dan vooral omdat hij niet had onderbouwd welke risico’s er konden spelen. En ik kan me die ook wat moeilijk voorstellen want overboeken etcetera kan niet zonder zo’n one-time code dus je keylogt maar een eind weg.

Ook de privacy wordt niet op een ontoelaatbare wijze geschonden, aldus de Raad. Natuurlijk, het gaat in tegen de privacy dat men kijkt hoe veel geld je op de bank hebt, maar bij bepaling van het recht op bijstand is dat een essentieel noodzakelijk gegeven en dan is meekijken dus wél toegestaan.

Ik snap de frustratie van de man maar ik zou eerlijk gezegd ook niet weten hoe het anders moet. Jullie wel?

Arnoud

Mag de Nederlandse overheid in clouddata graaien?

Geplaatst op in Ondernemingsvrijheid, 36 reacties

cloud.pngHet is onmogelijk data in de cloud te beschermen tegen toegang door overheden, las ik bij Webwereld. Elk land kan zich toegang verschaffen tot data, ongeacht waar de opslagservers staan, niet alleen de Amerikanen met hun Patriot Act. Dat was de conclusie van een onderzoek van advocatenkantoor Hogan Lovells naar internationale bevoegdheden in (straf)wetgeving.

De conclusie van Hogan Lovells komt kort gezegd neer op dat elk land bevoegdheden heeft om data te vorderen van providers, dus ook bij cloudproviders. En die bevoegdheden vermelden nooit de beperking dat de data fysiek in het eigen land moet staan. Zo bepaalt onze wet in artikel 126nd Strafvordering:

In geval van verdenking van een [ernstig misdrijf] kan de officier van justitie in het belang van het onderzoek van degene van wie redelijkerwijs kan worden vermoed dat hij toegang heeft tot bepaalde opgeslagen of vastgelegde gegevens, vorderen deze gegevens te verstrekken.

Update (14:01) En verderop in 126ng Strafvordering staat het voor providers meer relevante artikelen.

In geval van verdenking van een misdrijf als omschreven in artikel 67, eerste lid , dat gezien zijn aard of de samenhang met andere door de verdachte begane misdrijven een ernstige inbreuk op de rechtsorde oplevert, kan de officier van justitie, indien het belang van het onderzoek dit dringend vordert, van de aanbieder van wie redelijkerwijs kan worden vermoed dat hij toegang heeft tot gegevens als bedoeld in de laatste volzin van het eerste lid, deze gegevens vorderen, voor zover zij klaarblijkelijk van de verdachte afkomstig zijn, voor hem bestemd zijn, op hem betrekking hebben of tot het begaan van het strafbare feit hebben gediend, of klaarblijkelijk met betrekking tot die gegevens het strafbare feit is gepleegd.

Dit artikel wordt bijvoorbeeld ingezet om kopieën van mailboxen te krijgen bij een provider. Het moet gaan om een ernstig misdrijf, staat hier, maar verderop staat dat het óók mag bij minder ernstige misdrijven en bovendien moet mits dan maar de rechter-commissaris zijn goedkeuring geven. En volgens artikel 126ne kan men de provider ook verplichten om toekomstige data op te slaan en af te geven. Dit mag niet worden gemeld aan de verdachte.

Is dit nu ernstiger dan de Patriot Act? In eerste instantie, já. Immers bij ons kan een officier van justitie bij een ernstig misdrijf zelfstandig besluiten dat hij wil datagraaien, terwijl in de VS die officier een rechter uit z’n bed moet bellen. Behalve dan bij een National Security Letter, waarbij alleen achteraf gerechtelijke toetsing plaatsvindt, daar mag dus ook in de VS zonder rechter worden gegraaid. Alleen mag een NSL formeel alleen bij terroristische misdrijven worden afgegeven, hoewel dat dus niet te controleren is.

Maar de Amerikanen kunnen het ook bij data die niet fysiek in de VS staat, zo gaat het verhaal. Nou, dat kan bij ons ook. Er moet natuurlijk een linkje zijn naar jurisdictie van Nederland, maar de plaats van de server is niet in z’n eentje beslissend voor die vraag. Een Nederlands hostingbedrijf dat een bevel krijgt om een mailbox af te geven, gaat écht niet wegkomen met “sorry de server staat fysiek in Duitsland”.

Het zal wel aan mij liggen, maar het rapport leest héél erg als een Amerikaanse jijbak op alle verwijten dat de USA PATRIOT ACT ongecontroleerd graaien in clouddata mogelijk maakt. Tegelijkertijd is het een feit dat ook andere overheden de nodige bevoegdheden hebben, ook in Europa. En, belangrijker, dat niemand écht weet hoe dit uitpakt bij clouddata, omdat er niets over gepubliceerd of geprocedeerd is. Er zit een héle grote mate van speculatie en FUD in dit hele debat.

Arnoud

Foto’s in openbare profielen (en CV’s) van medewerkers

Geplaatst op in Ondernemingsvrijheid, Privacy, 11 reacties

Een lezer mailde me naar aanleiding van een interne discussie bij zijn werk, een ICT-detacheerder: mogen openbare profielen van medewerkers (en hun CV’s) voorzien zijn van foto’s? Op die manier kunnen opdrachtgevers snel een beeld krijgen van wie ze in huis halen, maar een aantal medewerkers maakte bezwaar.

Terecht wijst men erop dat foto’s (bijzondere) persoonsgegevens zijn, omdat je er onder meer ras, afkomst en (soms) medische gegevens uit kunt afleiden. Daarom vereist publicatie in principe altijd toestemming. In heel bijzondere situaties zou de werkgever de gegevens zónder toestemming kunnen gebruiken, maar “de klant wil weten hoe je eruit ziet” is niet zo’n situatie.

Daar staat natuurlijk tegenover dat de meeste ICT-ers tegenwoordig toch al met hun gezicht op LinkedIn of Twitter staan. En, belangrijker, wie op gesprek komt bij de klant laat óók al zijn gezicht zien. Dus welk reëel belang is er gediend met het afschermen van het gezicht in de voorfase?

Ik blijf het een lastige discussie vinden. We hebben het al eens over smoelenboeken gehad, en toen was er ongeveer hetzelfde punt: formeel is toestemming nodig, maar kom op – iedereen doet dit en we vinden dat doodnormaal. Dus ben je dan recalcitrant als je je gezicht niet online wilt? Of walsen we met z’n allen over de privacy van de minder weerbare collega’s heen?

Arnoud

Foto’s in openbare profielen (en CV’s) van medewerkers

Geplaatst op in Ondernemingsvrijheid, Privacy, 11 reacties

Een lezer mailde me naar aanleiding van een interne discussie bij zijn werk, een ICT-detacheerder: mogen openbare profielen van medewerkers (en hun CV’s) voorzien zijn van foto’s? Op die manier kunnen opdrachtgevers snel een beeld krijgen van wie ze in huis halen, maar een aantal medewerkers maakte bezwaar.

Terecht wijst men erop dat foto’s (bijzondere) persoonsgegevens zijn, omdat je er onder meer ras, afkomst en (soms) medische gegevens uit kunt afleiden. Daarom vereist publicatie in principe altijd toestemming. In heel bijzondere situaties zou de werkgever de gegevens zónder toestemming kunnen gebruiken, maar “de klant wil weten hoe je eruit ziet” is niet zo’n situatie.

Daar staat natuurlijk tegenover dat de meeste ICT-ers tegenwoordig toch al met hun gezicht op LinkedIn of Twitter staan. En, belangrijker, wie op gesprek komt bij de klant laat óók al zijn gezicht zien. Dus welk reëel belang is er gediend met het afschermen van het gezicht in de voorfase?

Ik blijf het een lastige discussie vinden. We hebben het al eens over smoelenboeken gehad, en toen was er ongeveer hetzelfde punt: formeel is toestemming nodig, maar kom op – iedereen doet dit en we vinden dat doodnormaal. Dus ben je dan recalcitrant als je je gezicht niet online wilt? Of walsen we met z’n allen over de privacy van de minder weerbare collega’s heen?

Arnoud

Ik wil mijn VVV-bon terug van Bol.com!

Geplaatst op in Ondernemingsvrijheid, 15 reacties

bol-com-cadeaubon.pngEen lezer wees me (dank!) op een topic bij Tweakers, waarin iemand beschrijft hoe hij een mediaspeler wilde kopen bij Bol.com en wilde betalen met VVV-bonnen. Dat kan op zich niet, maar je kunt wél die bonnen inwisselen voor Bol.com cadeaubonnen en dan dáármee je aankoop doen. Maar nu komt het: de mediaspeler was niet meer leverbaar, Bol.com annuleerde de koop maar gaf niet de VVV-bonnen terug. Mag dat?

Wanneer een koop wordt geannuleerd omdat het bestelde niet leverbaar is, is formeel sprake van “ontbinding”. Dit is een juridische term die betekent dat alle reeds verrichte prestaties moeten worden teruggedraaid, voor zover dat haalbaar is. Een aanbetaling moet dus terugbetaald, en wanneer met een cadeaubon is betaald dan moet die kadobon worden teruggegeven.

Hier is echter de complicatie dat de koper niet de Bol.com bon terug wil, maar de VVV-bon die hij eerder had ingewisseld om die bon te krijgen. Dat is formeel een losse overeenkomst, waarbij Bol.com in feite de VVV-bon ‘koopt’ en daarvoor een eigen cadeaubon teruggeeft. Die eigen cadeaubon is voor allerlei transacties inzetbaar, en de koper kiest pas later welke.

Natuurlijk is de praktijk vaak zo dat je de VVV-bon alleen maar ‘verkoopt’ om met de teruggekregen Bol.com meteen een bestelling te plaatsen. Alleen, het blijven twee losse transacties. Ik zie geen grond in de wet waarmee een link is te leggen tussen twee van dergelijke transacties. Dat iets vaak in combinatie gebeurt, maakt de combinatie nog niet wettelijk gezien een gegeven.

In sommige gevallen biedt de wet wél een gelegenheid om twee losse overeenkomsten tegelijk te ontbinden. Zo is bij koop op afstand bepaald (art. 7:46e BW) dat je een kredietovereenkomst bij een koop op afstand mag annuleren als je die koop annuleert. Zelfs als het krediet bij een derde werd afgenomen (mits de verkoper dat dan faciliteerde natuurlijk). Maar een vergelijkbaar artikel is er niet voor cadeaubonnen.

Arnoud