Categorie: Security

About Security

Subscribe Feeds

Van de AVG mag je onrechtmatig verkregen bewijs gewoon gebruiken

Geplaatst op in Regulering, Security, 3 reacties
Photo by Zoshua Colah on Unsplash

Ook van de AVG mag je onrechtmatig verkregen bewijs gebruiken in een juridische procedure. Dat oordeelde de hoogste Europese rechter in het NTH-arrest (C-484/24) vorige week. Het verbaast me niets, maar ik ben er toch blij mee.

In Nederland is de hoofdregel dat onrechtmatig verkregen bewijs in principe wél gewoon gebruikt mag worden. Althans in civiele rechtszaken; in het strafrecht moeten politie en Justitie volgens het wetboek van strafvordering werken, op straffe van uitsluiting van het bewijs.

De Hoge Raad oordeelde al in 1987 dat voor uitsluiting van bewijs sprake moet zijn van een “rechtens ontoelaatbare inbreuk op de privacy, zulks op basis van bijkomende omstandigheden die deze conclusie rechtvaardigen”. Oftewel: een inbreuk op zich is niet genoeg, het moet wel een hele erge zijn.

Met enige regelmaat zijn er rechtszaken (opvallend vaak arbeidsrecht, maar dat ligt vast aan mij) waarin een partij iets evident onrechtmatigs doet maar het bewijs wél mag gebruiken. Met dan de aanvullende consequentie van een schadevergoeding naar de ander. Zoals in in een zaak over inbreken op de e-mail van de werknemer. De werkgever moest € 7500 schadevergoeding betalen, maar het verkregen bewijs werd desondanks gebruikt en het ontslag kwam er door.

In deze zaak had een Duitse werkgever het vermoeden dat een werknemer goederen van de werkgever verkocht op eBay. De werkgever wist dat te bewijzen door in het eBay-account van de werknemer te kijken:

[De werkgever gebruikte] dat platform door de browsegeschiedenis te raadplegen van de computer die [werkgever] toebehoort en die door [werknemer] werd gebruikt, en dat hij het wachtwoord heeft achterhaald door een „familiedossier” te raadplegen dat op haar server was aangemaakt. [Werknemer] verklaart echter dat zij dat wachtwoord niet had opgeslagen in de digitale opslag van [werkgever]. [Werknemer] stelt daarentegen dat de mobiele telefoon die zij gebruikte en op naam van het bedrijf was geregistreerd door de directeur van [werkgever] als verloren werd opgegeven teneinde een nieuwe simkaart (subscriber identity module-kaart, abonnee-identiteitsmodulekaart) bij de betrokken telefoonmaatschappij te kunnen aanvragen.
Het recovery-nummer van het account was dus verbonden aan de zakelijke telefoon, zodat de werkgever een reset kon doen nadat deze een nieuwe simkaart had verkregen.

Mogelijk onrechtmatig, aldus de Duitse rechter. Met de vervolgvraag: dit is een verwerking van persoonsgegevens, dus staat de AVG dan in de weg aan het alsnog gebruiken van dat bewijs? Dit mede omdat de werknemer op grond van artikel 17 AVG onmiddellijke vernietiging van die gegevens had geëist, want immers onrechtmatig verkregen.

Persoonsgegevens hoeven echter niet gewist als zij “nodig” zijn voor de instelling, uitoefening of onderbouwing van een rechtsvordering, aldus lid 3 van dat artikel. Maar de algemene aanname is natuurlijk dat je alleen voor rechtmatige doelen persoonsgegevens verwerkt, en irrelevante of illegale persoonsgegevens direct wist (minimale gegevensbescherming).

Tijd voor vragen aan het Hof van Justitie. Dat zegt nu: als het enkel gaat om “het eenvoudigweg aantonen van de door [een partij] aangevoerde feiten”, dan is het geen probleem dat de rechter bewijzen gebruikt die persoonsgegevens bevatten en die in strijd met de wet zijn verkregen door die partij. Wel moet de rechter nagaan of die gegevens beperkt zijn tot het absoluut noodzakelijke en minimale. En als dat nodig is, ook maatregelen nemen om de privacy van betrokkenen te beschermen.

Voor mij niet verrassend. De AVG is nooit absoluut, maar juist pragmatisch. Het algemene principe dat we in Nederland (en grofweg ook in België, de Antigoon-jurisprudentie) hebben, is ook pragmatisch: het gaat om de waarheid, en de negatieve impact van die onrechtmatige handeling kun je separaat oplossen.

Arnoud

Je pincode moeten geven aan Justitie is géén schending van je zwijgrecht

Geplaatst op in Regulering, Security, 58 reacties
Photo by rc.xyz NFT gallery on Unsplash

Had ik even gemist: vorige maand bepaalde het Europees Hof voor de Rechten van de Mens dat het gehoor moeten geven aan een decryptiebevel géén schending oplevert van je zwijgrecht – het recht niet tegen jezelf te hoeven getuigen. Een pincode is geen bekentenis, zeg maar.

In deze zaak (Minteh v. Frankrijk) werd een man door de politie gecontroleerd in zijn auto. Daarbij werd veel contant geld met drugssporen, cannabis en een mobieltje gevonden. Bij een daarop volgende huiszoeking werden meer telefoons en een tablet gevonden.

In Frankrijk mag Justitie dan volgens de wet je pincode of decryptiesleutel vorderen van die apparaten, maar meneer weigerde medewerking. Daarop werd hij vervolgd voor het strafbare feit die gegevens niet te geven, en dat kwam bij het Hof met de vraag of dat geen schending van het nemo tenetur beginsel oplevert: het recht om niet aan zijn eigen veroordeling mee te werken.

Al langer weten we dat een biometrisch kenmerk gedwongen gebruikt mag worden. Dat is geen schending van dat beginsel, omdat je vingerafdruk, iris en dergelijke gewoon dingen zijn. Die bestaan los van jouw wil, net als het slot van je voordeur. Daar mag Justitie dus mee aan de slag.

Een bekentenis afdwingen mag niet, want bekentenissen geef je omdat je dat wilt. Je mag wel uit het weigeren te verklaren dingen afleiden, zoals dat iemand het met opzet deed en dat geheim wil houden.

Van pincodes en wachtwoorden wordt vaak gezegd dat ze op één lijn staan met bekentenissen. Het mensenrechtenhof denkt daar nu anders over in deze context:

[D]e bepalingen van artikel 434-15-2 van het Wetboek van Strafrecht [zijn] niet bedoeld om een ??bekentenis van de verdachte te verkrijgen en geen vermoeden van schuld inhouden. Ze zijn uitsluitend bedoeld om de gegevens te ontcijferen en zo het plegen van strafbare feiten te voorkomen en de daders te identificeren. Het Hof voegt hieraan toe, zoals hieronder zal worden aangetoond (paragraaf 58), dat de gegevens op een telefoon onafhankelijk van de wil van de gebruiker bestaan.
Het argument is dus: de gegevens op je telefoon zijn er gewoon, en die mag je dus niet vergelijken met een bekentenis die er alleen is als jij dat wil. Omdat het zwijgrecht gaat over getuigen tegen jezelf, is dat recht dus niet van toepassing als je iets moet zeggen dat geen getuigenis is.

De achterliggende gedachte hierbij is dat mensen dwingen tot verklaringen zoals bekentenissen leidt tot valse verklaringen. “Het slaan stopt als je bekent” is een recept voor vele bekentenissen, maar niet voor kwaliteit. Maar dat risico bestaat niet bij pincodes: die werkt, of niet, en dat weet je drie seconden later. En dan vraag je het opnieuw.

Het helpt dat de Franse wet diverse waarborgen kent, namelijk:

de tussenkomst van een rechterlijke autoriteit, het informeren van de verdachte dat zijn weigering waarschijnlijk tot een strafvervolging zal leiden, het aantonen van het gebruik van het apparaat in het kader van het plegen van het misdrijf en de kennis bij de verdachte van zijn decryptiemiddelen.
Met name dat “dit apparaat is gebruikt bij het misdrijf waar we voor vervolgen” is hier belangrijk: dat voorkomt fishing expeditions waarbij allerlei apparaten open moeten in de hoop dat er iets strafbaars wordt gevonden. Het begint dus bij een redelijk vermoeden van schuld én bewijs dat de telefoon meer bewijs daarvan gaat geven.

Arnoud

 

 

Waarom mag fingerprinten eigenlijk zonder toestemming, terwijl cookies altijd mét toestemming moeten?

Geplaatst op in Privacy, Security, 18 reacties
Photo by Meg Jenson on Unsplash

Een lezer vroeg me:

Websites en apps moeten toestemming vragen voordat ze gegevens mogen verwerken waarmee gebruikers zijn te volgen. Denk bijvoorbeeld aan cookiebanners of toestemmingsvinkjes in apps. Tegelijkertijd verstuurt je browser standaard allerlei technische informatie (zoals user agent, fonts en tijdzone) naar websites waarmee een fingerprint van het device is te maken en de gebruiker online is te volgen. Ook je besturingssysteem maakt allerlei informatie voor apps beschikbaar die dit voor tracking kunnen gebruiken. Dit gebeurt eigenlijk altijd zonder aparte toestemming. Waarom kent de wet dat onderscheid?
De toestemmingsvraag voor cookies en dergelijke gaat terug op de Telecommunicatiewet: het uitlezen of plaatsen van informatie op randapparatuur in een netwerk mag alleen met toestemming van de gebruiker. Op die toestemming is dan weer de AVG van toepassing. Tracking cookies zijn stukjes informatie (een code, soms een profiel) en die worden geplaatst op je randapparaat, dus is toestemming nodig.

Deze regel komt uit de ePrivacy-richtlijn, die in heel Europa geldt. De wet is hard en rechtlijnig, de enige uitzondering geldt voor de technisch noodzakelijke cookies, zoals het bekende cookie dat je winkelmandje beheert, of een sessiecookie voor een ingelogde gebruiker. In Nederland is daar nog een uitzondering bij gekomen, voor het doel informatie te verkrijgen over de kwaliteit of effectiviteit. Vereist daarbij is dat dit geen of geringe gevolgen heeft voor de persoonlijke levenssfeer van de betrokken abonnee of gebruiker. Dit wordt wel de Google Analytics of first-party-analytics uitzondering genoemd.

Technieken zoals browser fingerprinting op basis van die browserinformatie vallen buiten deze regel, om de simpele reden dat deze informatie niet wordt uitgelezen van het randapparatuur. De browser, een applicatie onder beheer van de eindgebruiker, stuurt die proactief en ongevraagd mee. Daarom is toestemming vragen niet perse nodig.

Natuurlijk levert zo’n fingerprint een persoonsgegeven op, want het hele punt ervan is een persoon te identificeren (in de zin van: een uniek label geven) en daar analyses op te doen. Maar dat valt onder de AVG, en die kent naast toestemming nog andere grondslagen, zoals het bekende (beruchte?) eigen gerechtvaardigd belang. Zolang je daar een beroep op kunt doen, mag je dus met fingerprints tracken zonder toestemming te hoeven vragen.

Arnoud

Politie haalt criminele vpn-dienst offline en identificeert duizenden gebruikers

Geplaatst op in Regulering, Security, nog geen reacties
Photo by Daniel Jerez on Unsplash

De Nederlandse en Franse politie hebben de vpn-dienst First VPN offline gehaald, las ik bij Tweakers. Deze dienst was populair onder cybercriminelen, maar velen zetten vraagtekens bij de ingreep “want de Gamma verkoopt ook koevoeten”. Mag ik daar even hard bij ingrijpen?

Samenwerkingsverband Europol legt in een persbericht uit wat de reden voor de actie was:

For years, the service, known as ‘First VPN’, was promoted on Russian-speaking cybercrime forums as a trusted tool for remaining beyond the reach of law enforcement. It offered users anonymous payments, hidden infrastructure, and services designed specifically for criminal use.
Het is dat stukje “designed specifically for criminal use” dat hier essentieel is, en dat altijd gemakshalve wegvalt in de vergelijkingen met de Gamma, Audi-dealers en de Hema-keukenmessencollectie.

Nee, dat mag niet, dingen specifiek ontwerpen en aanprijzen voor crimineel gebruik; je komt dan al snel bij medeplichtigheid uit, of bij speciale wetsartikelen die vervaardigen of aanprijzen van hulpmiddelen strafbaar stellen.

Bij TechCruch lees ik dat men vervolgens ook nog duizenden criminele gebruikers wist aan te wijzen:

Europol, however, said that First VPN users were notified of the shutdown and “informed that they have been identified.” Investigators said they did this by obtaining the service’s user database and identifying VPN connections, which “exposed thousands of users linked to the cybercrime ecosystem.”
Uiteraard gaat het hier om een inval en hebben we alleen de kant van de politie. De rechter moet zich er nog over buigen. Maar alleen kijken naar de techniek en dan zeggen “het is maar een tool” is écht te kort door de bocht bij deze zaak.

Arnoud

Kan ik de leverancier van mijn AI-agent aanpakken wegens door de agent bekend destructief gedrag?

Geplaatst op in Security, 15 reacties
Photo by Jonathan Cooper on Unsplash

Een lezer vroeg me:

Met enige regelmaat lees je over AI agents die destructief handelen, zoals dit verhaal over een AI-agent die op eigen houtje een productiedatabase van een startup verwijdert. Nu vroeg ik me af, kun je die schade verhalen op de leverancier die dat kennelijk zonder kwaliteitscontrole inbouwt? En maakt het daarbij uit dat het AI-model zelf een analyse oplepelt inclusief schuldbekentenis?
Als een menselijke systeembeheerder of programmeur data vernielt, kun je ze als bedrijf op het matje roepen. Maar bij een slecht geprogrammeerd stuk software ligt dat lastiger. Je komt dan al snel uit bij de leverancier, maar die heeft zich in de zakelijke relatie waarschijnlijk ingedekt tegen fouten met een sterke beperking van aansprakelijkheid.

Dat de medewerker schuld bekent, is bij mensen niet heel erg relevant. Fout is fout, en alleen als de bekentenis is “dit deed ik om jullie te beschadigen” dan wordt het juridisch interessant. Want dan spreken we van opzet of bewuste roekeloosheid en dan kun je die beperking van aansprakelijkheid omzeilen.

Alleen: een AI-agent is geen medewerker, en ook daarmee niet te vergelijken. Het is een tool, een stuk software. Weliswaar is de interface “gewoon Nederlands praten” en gebruikt het ding ik en jij in de communicatie, maar juridisch is er geen verschil tussen een shellscript en het meest geavanceerde frontier AI model. Het kan fouten bevatten, en als het de leverancier zijn schuld is dan stuit dat af op de beperking van aansprakelijkheid.

Er is enige discussie of het statistische karakter van deze diensten nog uit moet maken. Een shellscript of ander klassiek stuk software doet wat je zegt, keer op keer. Een AI-agent kan zomaar andere resultaten geven bij dezelfde instructie en dezelfde data. Dat is inherent aan hoe ze zijn gemaakt, en je kunt verdedigen dat dit eerder tot verwijtbaarheid bij de leverancier leidt. Tegelijkertijd: als dit inherent is, is dat ook iets dat jij als koper had moeten weten.

Arnoud

Mag ik van de school van mijn kind inzage in het beveiligingsbeleid vorderen? (Nadat mijn zoon de printer gehackt had)

Geplaatst op in Security, 19 reacties
Photo by stevepb on Pixabay

Een lezer vroeg me:

Een leerling op de school van mijn zoon heeft de centrale printer van hun school gehackt. Volgens hen was het nauwelijks hacken omdat de beveiliging minimaal was. Uiteraard vind de school het schandalig, maar voor mij als security auditor en moeder redenen om me af te vragen: is de rest van de school dan ook zo belabberd beveiligd. Kan ik daar inzage in krijgen, mag ik maatregelen eisen?
Het ‘hacken’ van ict-apparatuur op school is voor leerlingen leuk en interessant, maar inderdaad reageren scholen daar scherp op. De tijd dat je dan een stage bij een securitybedrijf kreeg (of de IT-persoon van school mocht worden) is al lang voorbij: ik ken zo tien gevallen van mensen tegen wie aangifte werd gedaan in zo’n situatie.

Uiteraard is dat vrij kansloos als de security minimaal tot afwezig is, en er natuurlijk geen echte schade is aangericht. En ik snap wel dat je bij afwezige schade als ouder denkt: is dit representatief voor hoe de school ict-security implementeert. Dat zou goed kunnen, hoewel net zo goed mogelijk is dat de printers door een andere partij worden beheerd dan het leerlingvolgsysteem of de financiële administratie.

Inzage in het beveiligingsbeleid van een organisatie is algemeen eigenlijk niet mogelijk. Ook bij beveiligingsbeleid rond persoonsgegevens is daarvoor geen bevoegdheid: de informatieplichten (artikel 13 en 14 AVG) verwijzen niet naar het beveiligingsbeleid. En bij het recht van inzage (artikel 15) kan geen inzage in genomen beveiligingsmaatregelen worden geëist.

Wel heeft de AVG het algemene beginsel van transparantie (artikel 5 lid 1 onder a), waaruit je kunt afleiden dat transparant zijn over de beveiliging van gegevensverwerking er desondanks bij hoort. Hierover is geen jurisprudentie, en in de richtsnoeren van de EDPB of Autoriteit Persoonsgegevens zie je hier niets over terug. Wel beschrijven veel partijen in algemene zin hun beveiligingsmaatregelen in de privacyverklaring, maar dat gaat zelden verder dan mooie beloften of opmerkingen dat ergens een ISO 27001 certificering voor afgegeven is.

In maart deed de Autoriteit Persoonsgegevens een oproep aan scholen en leveranciers van digitale leermiddelen op om goede afspraken te maken en open te zijn over het verwerken van persoonsgegevens van leerlingen. Hierbij noemt men expliciet dat duidelijkheid gegeven zou moeten worden over “[h]oe deze gegevens worden beveiligd, hoe lang de gegevens worden bewaard en in welke systemen”. Je zou met een beroep op deze oproep het gesprek aan kunnen gaan.

Arnoud De printer op de foto komt niet voor in het artikel.

Ben ik als CISO persoonlijk aansprakelijk onder NIS2 voor falend securitybeleid?

Geplaatst op in Ondernemingsvrijheid, Security, 5 reacties
Photo by Joseph Corl on Unsplash

Een lezer vroeg me:

Ik ben CISO bij een middelgroot bedrijf waarbij ICT van groot belang is. Overal lees ik dat bestuurders onder de NIS2-richtlijn persoonlijk aansprakelijk worden voor falende cyberbeveiliging. Ik ben degene die het securitybeleid opstelt en uitvoert — als er iets misgaat, ben ik dan in privé aansprakelijk? Kan een klant of een slachtoffer van een datalek mij persoonlijk een claim sturen?
Ik snap de zorg, want het gonst inderdaad van de waarschuwingen over “persoonlijke aansprakelijkheid” onder NIS2. Maar zo snel als dit gaat het zeker niet.

In maart besprak ik de vraag of een slachtoffer van het Odido-datalek de directie persoonlijk kon aanspreken. Sindsdien is  de Cyberbeveiligingswet (Cbw) aangenomen als de Nederlandse implementatie van de NIS2-richtlijn. Het wetsvoorstel ligt nu bij de Eerste Kamer en de regering mikt op inwerkingtreding per 1 juli 2026. We zijn er dus bijna.

Artikel 20 lid 1 van de NIS2-richtlijn bepaalt dat de bestuursorganen van essentiële en belangrijke entiteiten de cyberbeveiligingsmaatregelen moeten goedkeuren, toezien op de uitvoering ervan, en “aansprakelijk kunnen worden gesteld” voor inbreuken. Artikel 32 lid 6 gaat nog een stap verder en spreekt over “elke natuurlijke persoon die verantwoordelijk is voor of optreedt als wettelijke vertegenwoordiger” van een essentiële entiteit.

Een CISO heeft ondanks de C in de titel doorgaans geen bestuursfunctie. Zoals het NCSC het omschrijft: de CISO heeft een adviserende, coördinerende en controlerende rol. Je stelt het beleid op, je adviseert de directie, je stuurt de uitvoering aan — maar je bent niet degene die formeel bestuurt in de zin van artikel 2:9 BW.

Dat is essentieel, want de persoonlijke aansprakelijkheid uit de NIS2 is dus wat we in Nederland bestuurdersaansprakelijkheid noemen. Niet een aparte route waarbij iedere gedupeerde een schadeclaim jou in privé mag leggen.

Natuurlijk kun je door je werkgever wel aangesproken worden op nalatigheid bij je werk. En een datalek na handelen conform jouw advies kan daar aanleiding toe geven. Maar dat gaat om zaken als een berisping, demotie of uiteindelijk ontslag en niet om financiële claims.

Arnoud

Mag ik als werkgever mensen verplichten tot vingerafdrukken in plaats van wachtwoorden?

Geplaatst op in Ondernemingsvrijheid, Privacy, Security, 25 reacties
Photo by Meg Jenson on Unsplash

Een lezer vroeg me:

Vanwege zorgen over wachtwoord-delen heb ik mijn werknemers nieuwe laptops gegeven, waarbij ze met hun vingerafdruk de laptop kunnen unlocken en alleen toegang krijgen tot die delen van ons systeem die voor hen relevant zijn. Ik krijg nu klachten dat ik hiermee de AVG schend omdat ik met deze nieuwe aanpak ongeoorloofd biometrische gegevens van hen op zou slaan. Hebben ze daar een punt?
Een vingerafdruk is een biometrisch persoonsgegeven volgens de definitie uit de AVG. Artikel 4 lid 14 AVG omschrijft het immers als “fysieke, fysiologische of gedragsgerelateerde kenmerken van een natuurlijke persoon”. Of je die kenmerken nou opslaat als een plaatje of als een feature vector, dat maakt niet uit. Het blijven kenmerken van (een vinger van) een persoon.

De AVG zegt dat je geen biometrische persoonsgegevens mag gebruiken behalve in uitzonderlijke gevallen. De relevante uitzondering is in Nederland opgenomen in de Uitvoeringswet AVG, artikel 29:

… het verbod om biometrische gegevens met het oog op de unieke identificatie van een persoon te verwerken [is] niet van toepassing, indien de verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden.
Hier is precies sprake van dat geval. Met de vingerafdruk wordt de gebruiker geauthenticeerd. De vingerafdruk gaat nergens naar toe, maar blijft in de laptop. Dat is dus een keurige implementatie die aan de beveiligingseisen van de AVG voldoet.

Het probleem is dan of het ‘noodzakelijk’ is in de zin van artikel 29. Hierover staat een passage in de memorie van toelichting bij de invoering van dit wetsartikel, die regelmatig discussie oproept:

Dit zal het geval zijn als de toegang beperkt dient te zijn tot bepaalde personen die daartoe geautoriseerd zijn, zoals bij een kerncentrale. Het verwerken van biometrische gegevens dient ook proportioneel te zijn. Als het om de toegang tot een garage van een reparatiebedrijf gaat, zal de noodzaak van de beveiliging niet zodanig zijn dat werknemers alleen met biometrie toegang kunnen krijgen en daartoe deze gegevens worden vastgelegd om de toegangscontrole uit te oefenen. Aan de andere kant kan biometrie soms juist een belangrijke vorm van beveiliging zijn voor bijvoorbeeld informatiesystemen, die zelf veel persoonsgegevens bevatten, waarbij onrechtmatige toegang, ook van werknemers, moet worden voorkomen.
Uit dat “zoals bij een kerncentrale” wordt vaak afgeleid dat de lat dus heel hoog ligt, want wie is er nou vergelijkbaar met een kerncentrale. De Autoriteit Persoonsgegevens zegt  dat het “moet gaan om een zwaarwegend algemeen belang”, een uitzonderlijke situatie. De gemiddelde mkb-organisatie komt daar niet aan.

In 2019 vond winkelbedrijf Manfield dat vingerafdruksensoren nodig waren voor authenticatie bij de kassasystemen, omdat je daarmee toegang kreeg tot klantgegevens en personeelsgegevens. Dit sluit mooi aan bij die laatste zin: informatiesystemen met veel persoonsgegevens vergen extra beveiliging, ook als het geen kerncentrales zijn.

De rechter oordeelde anders, maar vooral omdat Manfield niet had onderbouwd dat alternatieven zoals pasjes niet goed genoeg zouden zijn. Had men een afweging met voors en tegens van de diverse technologieën overlegd en was daaruit de vingerafdruksensor als meest geëigend gekomen, dan had dit wel eens anders uit kunnen vallen.

Dit probleem zien we vaker bij de AVG: er is weinig jurisprudentie, en de oorspronkelijke kaders (2016-2018) zijn sterk verouderd. De technologie is snel gegroeid maar de “waarom” vraag blijft daar fors bij achter. Dus dan is de vingerafdruksensor nu het meest voor de hand liggend (haha), maar waarom het echt béter is dan de alternatieven, blijft onduidelijk.

Arnoud

Mobiele KPN-klanten krijgen malwarefilter en prijsverhoging van 1 euro per maand

Geplaatst op in Security, 17 reacties
Photo by David Trinks on Unsplash

KPN heeft een malware- en phishingfilter toegevoegd aan de mobiele abonnementen en verhoogt de prijzen van huidige abonnees met 1 euro per maand. Dat meldde Tweakers vorige week. En een paar lezers vroegen me: mag je dan opzeggen, want dit is alleen maar in je voordeel als consument, toch?

De telecomprovider legt uit:

Met Extra Veilig Mobiel heb je een slimme beschermlaag op het mobiele netwerk van KPN. Het werkt op alle telefoons en blokkeert automatisch gevaarlijke websites. Alsof er een stevig digitaal hek om je verbinding staat. Zo voorkom je dat je op gevaarlijke websites komt en blijf je uit handen van cybercriminelen.
In technische termen: een DNS-blokkade en malware scanner. Verstandig idee, maar vrij lang dus een aparte dienst gebleven die je voor 1,99 per maand moest afnemen. Dat wordt dus nu geïntegreerd, en de kosten worden doorberekend in de abonnementsprijs.

Nu hadden we het laatst ook over opzeggen bij gewijzigde voorwaarden. Dat recht heb je dus

tenzij de voorgestelde wijzigingen uitsluitend in het voordeel zijn van de eindgebruiker, van strikt administratieve aard zijn en geen negatieve gevolgen hebben voor de eindgebruiker, of rechtstreeks worden opgelegd door het Unie- of het nationale recht.
Het klinkt natuurlijk heel goed, extra bescherming tegen malware en phishing. Dat komt vaak voor en security had eigenlijk altijd al in het netwerk ingebakken moeten zijn. Maar goed.

Maar of “iets dat goed voor je is” hetzelfde is als “in jouw voordeel”, betwijfel ik. De richtsnoeren van de ACM hebben als enige voordeel hiervan een tariefsverlaging. Een hogere snelheid tegen dezelfde prijs lijkt me ook nog wel in je voordeel, maar staat extra beveiliging in diezelfde lijn?

Arnoud

Ben ik aansprakelijk als een oude link op mijn blog leidt tot schade door malware?

Geplaatst op in Security, 6 reacties
Photo by Ed Hardie on Unsplash

Een lezer vroeg me:

Ik heb al enige tijd een blog met leuke knutselideeën voor ouders en kinderen. Nu kreeg ik laatst een mail van een bezoeker waarin staat dat een hyperlink op een blog van een jaar of drie geleden, nu niet meer naar een Minecraft knutsel leidt, maar naar een nogal dubieuze website. Daardoor bedacht ik me: stel iemand lijdt schade door zo’n rare website blindelings te bezoeken omdat ik er naar link. Ben ik dan aansprakelijk op een of andere manier?
Helaas komt het inderdaad vaak voor dat malafide types oude websites of URLs ‘kapen’, bijvoorbeeld door een verlopen domeinnaam te registeren en dan de URL naar eigen content te laten wijzen. Vaak is dat porno, maar het kan ook malware zijn die je dan oploopt als je de link volgt.

Aansprakelijk zijn voor schade vereist dat je een fout hebt gemaakt (onrechtmatige daad) die jou te verwijten valt. Dat een link nú stuk is, vind ik wat mager. Dat zou betekenen dat iedereen elke week elke link moet checken, en dat gaat me simpelweg te ver. Misschien voor grotere, professionele organisaties waarbij content maken deel van het kernproces is.

Na een tip van een bezoeker zul je wel wat moeten. Dan nog achterover zitten en zeggen “die blog is 3 jaar oud, boeien” is maatschappelijk onaanvaardbaar. Uiteraard is bewijzen dat je getipt bent, een tikje lastig voor die lezer die schade had. Maar dat is een ander verhaal.

Strafrechtelijk is er het theoretisch haakje naar artikel 350b, dat strafbaar stelt het “door schuld” verspreiden van malware. Dus niet met opzet (dat is 350a).

‘Schuld’ betekent hier zaken als onvoorzichtigheid, nalatigheid, gebrek aan voorzorg. Het moet je te verwijten zijn, dit had je niet zo moeten laten gebeuren. Eigenlijk is dat dan dezelfde discussie: had je wekelijks een linkscanner moeten draaien.

Natuurlijk mag je van iedereen verwachten die anno 2026 internet opgaat dat die een malwarescanner gebruikt. Dat ontslaat jou niet van een (eventuele) plicht om links te controleren, maar is wel een argument om de te vergoede schade omlaag te krijgen – eigen schuld, noemen juristen dat.

Arnoud