Categorie: Security

About Security

Subscribe Feeds

Aansprakelijk voor schoonmaakkosten van een virus van je ebookleverancier

Geplaatst op in Ondernemingsvrijheid, Security, 21 reacties

Even geen gratis e-books meer, las ik via Twitter bij de blog van Jan Willem Alphenaar. Hij had deze ondergebracht bij een externe site die het “betaal met een tweet”-principe voor hem implementeerde. Dus verplicht twitteren dat je het boek hebt, en dan gratis downloaden. Maar die site bleek rare software (‘Mystart Incredibar’) te installeren bij een geïnteresseerde in het e-book. En deze dreigt nu een factuur te sturen voor de uren van zijn ICT-er om deze weer te verwijderen. Eh, wacht, wát?

Na enig puzzelen bleek het probleem hem te zitten in dit schermpje:

Ziet u ook dat knopje “Download” rechts? Inderdaad, dat downloadt niet het e-book maar een gezellige browserbalk die héél hard blijft plakken. Malware dus. En die verwijderen is geen eenvoudige zaak.

Maar of je de rekening daarvoor bij Alphenaar kunt zeggen, betwijfel ik. Natuurlijk, had hij dit systeem niet gebruikt dan was de infectie niet opgetreden. Maar dat is niet genoeg om automatisch hem alle rekeningen te laten betalen.

Specifiek voor virussen is er een aparte strafbepaling in de wet (art. 350b Strafrecht): als het je te verwijten is dat er een virus (verder) verspreid werd, ben je strafbaar én civiel aansprakelijk voor de schade. Je hebt schuld aan de verspreiding als je de verspreiding had kunnen voorzien met de nodige veiligheidsmaatregelen of onderzoek, en het onzorgvuldig is dat je dat niet hebt gedaan.

Is browserbalkmalware een virus? In principe niet, want het heeft niet als doel schade aanrichten in de computer waar het geïnstalleerd is. Maar volgens het Kournikova-arrest hoeft het doel niet heel expliciet te zijn. Ook het per ongeluk laten vastlopen van systemen (bv. doordat het virus zich te enthousiast verspreidt) telt als ‘schade’. De kosten van het opruimen zijn echter geen ‘schade’ die die balk beoogt of indirect beoogt. De maker van die balk wil integendeel juist dat deze goed werkt, anders gaan mensen ‘m te snel verwijderen.

Echter ook als het geen virus is, gaat die norm van “had je het redelijkerwijs kunnen voorkomen” wel op in het civiele recht. Als die browserbalk in het e-book zelf zat, dan zou ik wel grond zien voor een claim: natuurlijk haal je zo’n e-book even door een scanner voordat je deze uploadt. Wie dat niet doet, is dus nalatig en moet de schade vergoeden.

Maar is het redelijk om te moeten voorzien dat je e-bookverspreider misleidende downloadknoppen toevoegt aan jouw schermpje met “betaal met een tweet”? Dat lijkt me toch niet. Ik kan me moeilijk voorstellen dat een verspreidingssite dit opzettelijk doet, dat kost ze hun reputatie. En googelen naar het bedrijf levert me geen resultaten op die wijzen op boze intenties.

Oké, ze kunnen per ongeluk zijn geïnfecteerd (dat overkomt zelfs Google) maar daar hoef je als e-bookuploadende gebruiker van die dienst geen rekening mee te houden. Dus ook dan zie ik geen grond voor een claim.

En nog iets anders: ik heb zelf een paar keer die “pay with a tweet”-diensten gebruikt maar nog nooit zo’n downloadknop aan de zijkant gezien. Je gaat je dan haast afvragen of een eerder stukje malware niet die webpagina bewerkt heeft.

Arnoud

Data terugkrijgen uit een in beslag genomen wolk, kan dat?

Geplaatst op in Security, 23 reacties

Wie zijn data in de cloud opslaat, verliest daarmee zijn eigendomsrechten. De Amerikaanse overheid mag er dus gerust in graaien, vindt diezelfde overheid. Dat las ik bij de EFF. Zij vertegenwoordigen iemand die zijn (legitieme) data terug wil van de servers van Megaupload. De Amerikaanse overheid verzet zich daartegen, met onder meer het argument dat deze meneer niet kan bewijzen eigenaar te zijn van de bestanden op de Megaupload server. Oké, dat EFF-stuk is een pleitnota in een lopende rechtszaak, maar het is wél een actuele vraag: welke rechten heb je (of verlies je) als je data in de cloud opslaat en wat mag de overheid er dan mee doen.

Vanwege een strafrechtelijk onderzoek naar auteursrechtschendingen door Megaupload zijn alle servers van het bedrijf offline en in beslag genomen. Daarmee is ook alle legitieme (en minder legitieme) data opgeslagen op die servers onbereikbaar, en dat inspireert allerlei claims van mensen die daar toch wel weer toegang tot willen hebben.

De claim “het is mijn data en ik wil deze terug” gaat hem niet worden. Data “is” niets in de zin van de wet, en deze kan dus niet worden opgeëist.

“Ik heb er auteursrecht op”, wat deze meneer probeert, maakt ook weinig kans. Hebben van auteursrecht impliceert nog geen recht op afgifte van bitjes die een kopie van het werk representeren. Net zo min als het hebben van een kopie impliceert dat je daar wat mee mag.

“Ik heb betaald voor de hardware”. Ah kijk, nú komen we ergens. Als een server daar eigendom is van de klant, dan kan deze hem opeisen. Natuurlijk moet wel het strafrechtelijk onderzoek zijn afgerond, maar de klant is in dat geval een onschuldige derde-eigenaar en die heeft recht op zijn spullen terug. Maar bij de cloud koop je zelden de fysieke hardware (dedicated server).

“Ik húúr dat ding netjes”. Nee, als huurder heb je geen recht op toegang tot het gehuurde als de verhuurder in de problemen raakt. Je hebt recht op je eigendommen terug, maar dat zou hier dus die data zijn en die hadden we al gehad.

“Mijn contract bepaalt expliciet dat ik recht heb op mijn data in situaties als deze”. Dat is een hele mooie contractuele bepaling, en eigenlijk moet iedereen eisen die in het cloudcontract te krijgen. Alleen helpt het nu net heel weinig in deze situatie: de FBI heeft niets te maken met zo’n contract. Megaupload Inc wel, maar ja daar is weinig meer te halen.

Dus nee, ik zie hem niet. Het devies blijft net als bij mijn oude PC met 4.77 MHz 8088 processor: maak backups, je hebt nooit genoeg backups.

Arnoud

Nieuw op Ius Mentis: Fraude en misbruik van betaalmiddelen

Geplaatst op in Security, 27 reacties

Eindelijk tijd voor weer eens een artikel op mijn site: Fraude en misbruik van betaalmiddelen.

Elektronisch betalingsverkeer (zoals creditcard, pinnen of internetbankieren) is kwetsbaar voor allerlei vormen van fraude. Pincodes kunnen worden afgekeken, websites vervalst (“phishing”) en passen kunnen worden gestolen. De wet bepaalt dat de bank in principe hier het risico voor draagt, met een eigen risico voor de klant van maximaal € 150.

Bij opzet en grove nalatigheid door de klant komen de niet-geautoriseerde betalingen volledig voor rekening van de klant. Wanneer daarvan sprake is, hangt heel erg van de specifieke situatie af. Banken stellen in hun algemene voorwaarden allerlei veiligheidsvoorschriften. Dat mag, en het niet opvolgen daarvan is een belangrijke factor om te bepalen of sprake is van grove nalatigheid. Wel moeten de voorwaarden natuurlijk redelijk zijn.

Dat inschatten wanneer nalatigheid grof is, blijkt nog een hele klus. De rechtspraak en uitspraken van de geschillencommissie laat nogal wat situaties zien, van open fietstassen tot portemonnees die met ketting aan de broek vastzitten maar waar dan stiekem de pinpas uit gehaald is.

Wat ik níet vond, waren uitspraken over internetbankieren en wanneer je laten pakken door phishers grove nalatigheid oplevert. Dat je in een criminele truc trapt, is niet automatisch grof nalatig zo blijkt uit een uitspraak over de “tientjestruc” (waarbij je afgeleid wordt door een tientje op de grond zodat men je net gepinde geld kan stelen).

Hebben jullie voorbeelden van wat je wél grof nalatig zou vinden bij internetfraude?

Arnoud

Mijn mailbox is gehackt!

Geplaatst op in Privacy, Security, 10 reacties

Nee, niet die van mezelf, maar van menig vraagsteller die wil weten wat hij of zij eraan kan doen. Meestal lijkt het te gaan om derden die het wachtwoord geraden hebben maar ongewijzigd laten, zodat het slachtoffer zelf niets doorheeft. De meeste mensen wijzigen hun wachtwoord immers zelden, en kijken ook niet in de map Verzonden items om te zien of iemand anders mee zit te mailen.

Nou ja, dat is dus ook precies wat je regelmatig moet doen. Ik raad aan wachtwoorden te maken met Strong password generator (maar er zijn er vast meer) en deze niet met anderen te delen. Als je je browser het wachtwoord laat onthouden, zet dan een schermbeveiliging met slotje op je computer. Of installeer iets als Keepass om wachtwoorden veilig te onthouden.

Ook regelmatig kijken of er gekke mails ontvangen of verzonden zijn is geen gek idee. Maar goed, je moet ook elke maand kijken of er rare afboekingen van je bankrekening zijn geweest en dat doet ook vrijwel geen hond.

Kun je juridisch iets doen? Ja, in theorie wel. Het is strafbaar als computervredebreuk om binnen te dringen in iemands mailbox, dus je kunt aangifte doen. Maar zonder IP-adres of andere bron van de dader is het wel héél lastig opsporen. Bovendien, als er niets stukgemaakt of gekopieerd is dat waarde heeft, zal het weinig prioriteit krijgen. Zeker omdat ook een rechtshulpverzoek naar de VS nodig is om Google of Hotmail te bewegen IP-adressen of andere login-informatie af te geven.

Ik vraag me al een tijd af waarom je niet bij zulke systemen gewoon ergens het IP-adres van de laatste vijf logins zou kunnen inzien. Zo moeilijk moet dat toch niet te maken zijn?

Jullie nog tips?

Arnoud

Overheid wil verdachten cybercrime kunnen hacken

Geplaatst op in Security, 12 reacties

De overheid wil bij verdenking van ernstige cybercrime-misdrijven op afstand een computer kunnen binnendringen, las ik bij Tweakers. De huidige wetgeving is verouderd, aldus minister Opstelten. Ze gaan er vanuit dat je gewoon de serverruimte binnen kunt lopen en de computer kunt afkoppelen en doorzoeken, en dat geldt vandaag de dag met cloud en SaaS en hype niet meer. Er moet dus meer ruimte komen voor opsporingsambtenaren< om binnen te dringen in computers elders ter wereld, en om met aftapsoftware op afstand waar te nemen wat daar gebeurt.

Op grond van de huidige wet (art. 125i Sv) mag men computers doorzoeken. Maar dat is nadrukkelijk alleen bedoeld voor situaties dat je fysiek in het datacenter bent. Er is dus een lacune in de wet als de computer fysiek op een onbekende plaats is, terwijl je een redelijke verdenking hebt dat daar gegevens staan die op een ernstig misdrijf wijzen. Dan moet je, aldus de minister, toch op afstand daar kunnen binnendringen en doorzoeken of aftappen wat daar gebeurt.

De minister voorziet meteen een wapenwedloop:

Criminelen weten dat de politie probeert om toegang te krijgen tot hun netwerken en gegevens en treffen daartegen maatregelen. Doorgaans worden de desbetreffende gegevens snel over het internet (wereldwijd) verplaatst c.q. de paden daartoe aangepast. Ook worden door criminele groeperingen dikwijls maatregelen getroffen om vast te stellen of derden, waaronder de politie, proberen zich toegang te verschaffen tot hun bestanden. Indien zij dergelijke signalen opvangen of vermoeden verplaatsen zij hun bestanden zo snel mogelijk en schuwen niet om indringers met digitale middelen te bestrijden.

En met dat verplaatsen is het risico reëel dat er ineens servers in een ver buitenland worden ingezet. Dat is een juridisch probleem, want onze politie mag alleen in Nederland optreden. Bij buitenlandse servers moet er een rechtshulpverzoek worden gedaan, maar dat kost natuurlijk tijd. Plus, bij wie moet je zijn als je de fysieke locatie van de server niet kunt achterhalen? Daarom stelt de minister een constructie voor waarbij men bij een onbekende serverlocatie mág hacken en gegevens ophalen. Is de locatie bekend, dan alsnog rechtshulpverzoek.

Ook een nieuwe gewenste bevoegdheid is het op afstand ontoegankelijk maken van gegevens. Stel je bent als agent binnengedrongen in een computernetwerk ergens diep in een duister stukje van de cloud (een regenwolk? sorry, flauw) en je treft daar strafbare gegevens aan. Dan moet je die toch kunnen wissen, is de gedachte. De Robert M-affaire en de via hem op TOR aangetroffen kinderporno is de situatie die moet bewijzen dat het op afstand wissen bij elk ernstig misdrijf gerechtvaardigd is.

Verder wordt het helen van digitale gegevens strafbaar. Gestolen persoonsgegevens of gekraakte creditcardgegevens in je bezit hebben is nu niet aan te pakken; pas het gebruik daarvan kan als fraude, oplichting of iets dergelijks worden vervolgd. Het deed me denken aan het onzalige plan van Hirsch Ballin als reactie op de Manon Thomas-zaak, waarin bleek dat het verspreiden van gestolen foto’s niet strafbaar was. Ik hoop dat dát buiten scope blijft.

De bevoegdheden kunnen niet zomaar worden ingezet: de machtiging van de rechter-commissaris zal elke keer nodig zijn, en het moet gaan om ernstige misdrijven (kort gezegd: minstens vier jaar cel). Dat dekt dus precies de drie ruiters en de voetganger van de Internetapocalyps: terrorisme, kinderporno, drugshandel en inbreuk op auteursrechten.

Ook is natuurlijk proces-verbaal opmaken verplicht, en moet alles worden gelogd en bewaard zodat dit achteraf raadpleegbaar is. Hopelijk ook door geïnteresseerde derden – maar de krampachtige houding bij inzage in tapgegevens belooft niet veel goeds.

Tsja, pfoe. Ik snáp het wel, en ik zou ook niet weten wat je anders moet doen als je alleen een serveradres hebt en je wéét dat daar strafbare zaken gebeuren. Maar het klínkt gewoon eng, een inbraakbevoegdheid. En er kan natuurlijk aardig wat misgaan: wat als je de verkeerde server hackt (of wist?), of wat als je achterdeurtje exploiteerbaar blijkt door criminelen?

Arnoud

Heeft het nut om IMEI’s van gestolen telefoons te blokkeren?

Geplaatst op in Security, 27 reacties

change-imei.jpgKPN, Vodafone en T-Mobile gaan vanaf volgend jaar op verzoek van de politie gestolen telefoons mogelijk onbruikbaar maken, las ik bij Tweakers. Elke telefoon heeft een zogeheten International Mobile Equipment Identity of IMEI nummer, dat meegestuurd wordt naar het netwerk als je je aanmeldt of wilt bellen. Door dit nummer bij de telefonieprovider te checken tegen een zwarte lijst, kun je dus verhinderen dat gestolen telefoons nog gebruikt worden. Dat zou diefstal toch af moeten schrikken. Nou ja, in theorie dan.

Een dergelijk systeem werkt natuurlijk alleen als de IMEI van een telefoon niet wijzigt. In Engeland, waar deze antidiefstalaanpak is uitgevonden, is het dan ook expliciet strafbaar gesteld om de IMEI te wijzigen (Section 1 van de Mobile Telephones (Re-programming) Act 2002), want als het strafbaar is dan doet een crimineel dat niet. Ahem.

In Nederland hebben we zo’n regel niet, en het lijkt er ook niet op dat deze er gaat komen. In 2011 werd nog in antwoord op Kamervragen gemeld dat dit niet zinnig leek, omdat IMEI nummers eenvoudig te wijzigen zijn, zelfs voor domme mobieltjesdieven. Om dezelfde reden is de politie gestopt met sms-bommen sturen (elke drie minuten een sms met “Deze telefoon is gestolen”) naar gestolen telefoons.

De enige echte optie om dit werkbaar te krijgen lijkt me om de IMEI verplicht hardcoded in de telefoon vast te leggen, zodat ze niet meer te wijzigen zijn. Ik heb eigenlijk geen idee waaróm een IMEI wijzigbaar zou moeten zijn. Jullie wel?

(Oh, en natuurlijk moet de IMEI-blokkade Europabreed uitgerold zodat je ook in Finland of Roemenië niet kunt bellen met een gestolen telefoon.)

Arnoud

Mag je cameratoezicht op de openbare weg richten?

Geplaatst op in Privacy, Security, 29 reacties

Een veelgestelde vraag in de categorie cameratoezicht: mag je de openbare weg filmen met een vaste camera? Menig buurman blijkt camera’s op te hangen om de auto te filmen of het gemeenschappelijke achterpad te bewaken. Of om de buren te pesten.

Bij cameratoezicht spelen er twee wetten. Allereerst heb je het wetboek van strafrecht: het filmen met een aangebrachte camera is strafbaar tenzij dit duidelijk is aangekondigd (art. 441b Strafrecht). Dat wetsartikel geldt overal in de openbare ruimte, dus net zo goed voor een particulier die de stoep voor zijn deur filmt net zo goed als voor de exploitant van een bedrijventerrein die zo dertig panden en een parkeerterrein wil bewaken.

De eerste stap is dus zorgen dat je camera óf duidelijk zichtbaar is opgehangen, óf dat er een duidelijk bordje hangt (leesbaar voordat je in beeld bent) zodat mensen weten waar ze aan toe zijn. Beiden zullen niet meevallen als je de openbare weg gaat filmen, maar in theorie is hieraan te voldoen.

Lastiger is de Wet bescherming persoonsgegevens. Wie camerabeelden vastlegt (in digitaal, doorzoekbaar formaat) valt daarmee onder de Wbp. En deze heeft als hoofdregel dat je alleen persoonsgegevens (camerabeelden) mag vergaren en gebruiken als dat noodzakelijk is voor het door jou beoogde doel. Als dat doel beveiliging is van je eigendommen, dan mag je uiteraard alleen je eigendommen filmen en de onvermijdelijk daarbij in beeld komende omgeving. De openbare weg kán onvermijdelijk deel zijn van die omgeving (de auto die voor de deur bij de stoep staat) maar verder dan dat mag je niet gaan.

En dáár is volgens mij de hele discussie op gebaseerd of je de openbare weg mag filmen. Op zich niet dus, tenzij je een goed doel weet waarom het wel mag én het filmen van de openbare weg daarvoor noodzakelijk is. Ik kan er -behalve beveiliging dus- geen bedenken.

Wel vraag ik me nu af wat ik moet denken van artikel 2 sub 2 Wbp: “Deze wet is niet van toepassing op verwerking van persoonsgegevens: ten behoeve van activiteiten met uitsluitend persoonlijke of huishoudelijke doeleinden”. Idee hierachter is dat je een privépersoon niet moet lastigvallen als ‘ie bijvoorbeeld een online adresboek aanlegt voor zijn privécorrespondentie.

Maar wie filmt voor uitsluitend zijn persoonlijke/huishoudelijke beveiligingsdoeleinden, zou langs dit artikel óók buiten de Wbp kunnen komen te staan. En dat zou betekenen dat particulieren dus cameratoezicht mogen toepassen op de openbare weg, maar bedrijven niet. Dat klopt ergens niet helemaal maar het tegenargument kan ik niet bedenken..

Arnoud

Mag IP-adressen loggen van de privacywet?

Geplaatst op in Security, 63 reacties

Zo, ik ben weer terug van vakantie. Leuk om te zien dat de gastblogs zo populair zijn 🙂 Tijdens mijn vakantie bleven de vragen binnenstromen. Ga zo door!

Een veel voorkomend onderwerp betrof het al dan niet mogen loggen of vastleggen voor allerlei doeleinden van IP-adressen. IP-adressen zijn immers persoonsgegevens, en die mag je toch niet zomaar verwerken zonder toestemming? Bij sommige vraagstellers bespeurde ik een trollerige achtergrond (“ik wil ze terugpakken want ze hebben me geband”) maar het is natuurlijk een serieuze vraag.

Ja, een IP-adres is een persoonsgegeven. Meestal dan; een IP-adres identificeert een computer (ok, netwerkinterface) maar vaak is die computer door één persoon in gebruik, zodat het adres net zo persoonlijk wordt als een telefoonnummer. Het IP-adres van een server is natuurlijk geen persoonsgegeven.

Als je niet zeker weet of een IP-adres een persoon identificeert, maar je weet dat dit váák wel het geval zal zijn, dan kun je het beste op safe spelen als je privacytechnisch correct wilt zijn. Daarom (en omdat niet alleen de auteurswet last heeft van permanente expansie) wordt veelal aangeraden om IP-adressen altijd als persoonsgegeven te behandelen.

En dat betekent inderdaad dat je als hoofdregel alleen mag werken met een IP-adres als je toestemming hebt van de gebruiker daarvan.

Als hoofdregel, want er zijn wel degelijk uitzonderingen op die regel. Zo is er de regel dat je geen toestemming nodig hebt als het gebruik nodig is voor het uitvoeren van een overeenkomst met die gebruiker. Wil men een IP-sessie met jou, dan is het vrij logisch dat je het IP-adres gebruikt om die sessie op te zetten en te onderhouden. Wil men ingelogd blijven, dan mag je het IP-adres opslaan in je database om na te gaan of het nog steeds dezelfde persoon is. (Of dat slim is, is wat anders; het mag.)

Loggen van IP-adressen en met name het hebben van blacklists met IP-adressen vallen natuurlijk niet onder die “uitvoeren van een overeenkomst” uitzondering. Maar er is er nog eentje: als jouw gebruik van persoonsgegevens absoluut noodzakelijk is voor een legitiem doel én toestemming vragen is zinloos én jouw belang weegt op tegen de privacy van de wederpartij, dan mag het ook zonder toestemming.

Dit zijn drie hoge eisen maar het lijkt me dat een blacklist van structureel irritante personen wel voldoet aan deze eis. Het weren van zulke types is een legitiem doel, dat móet eigenlijk wel op basis van IP-adres en toestemming vragen aan trollen is waanzin.

Wel vraag ik me af hoe je dan om moet gaan met dynamische IP-adressen. Het overkwam mij ook laatst dat ik ineens geband was op Wikipedia: de vorige UPC-klant met dat IP-adres had kennelijk nogal huisgehouden. Een goede site heeft een bezwaarprocedure voor blokkades die irrelevant zijn geworden vanwege verlopen IP-adressen. Alleen, hoe ga je dan weer om met trollen die drie dagen niks zeggen en dan roepen dat ze tegen de ban van hun voorganger zijn aangelopen?

Arnoud

Wanneer mag je je personeel filmen?

Geplaatst op in Privacy, Security, 42 reacties

Uit de categorie veelgestelde vragen: wanneer mag je je personeel filmen? Of, anders gezegd zodat ik beter scoor in Google: wanneer mag de baas je filmen? En nog een keertje onder het mom “honden hebben een baas, werknemers een manager”: mag de werkgever je filmen oftewel cameratoezicht toepassen?

Cameratoezicht wordt gezien als een indringende inbreuk op de privacy, omdat je structureel mensen in de gaten houdt. Werknemers fotograferen of filmen op de werkplek of in een bedrijfsruimte mag dus ook niet zomaar. Het bekende bordje “Cameratoezicht” is niet genoeg, dat helpt alleen bij filmen in de openbare ruimte.

Op het werk is meer nodig, en wel:

  1. In een reglement cameratoezicht moet zijn vastgelegd dat cameratoezicht toegestaan is, en wel in welke situaties.
  2. Die situaties moeten specifiek omschreven zijn én cameratoezicht rechtvaardigen.
  3. Cameratoezicht moet als laatste redmiddel worden ingestoken, dus niet “wij passen altijd en overal camera’s toe” maar eerder “Als ook na waarschuwingen en onverwachte tassencontrole van het personeel diefstal uit het magazijn niet afneemt, mag de directie cameratoezicht toepassen”.
  4. Gebruik van verborgen camera’s (waarvan medewerkers dus niet kunnen zien waar ze hangen) mag alleen voor kortdurende periodes, maximaal drie maanden, en alleen bij ernstige misstanden. Die dus ook specifiek genoemd moeten zijn.
  5. Het reglement moet vermelden hoe men inzage in de beelden kan krijgen en hoe gebruik van de beelden wordt beveiligd (en wanneer ze worden gewist.)
  6. Het reglement moet door de OR worden goedgekeurd, omdat het gaat om personeel volgen en/of registreren van persoonsgegevens.

En ja dat klinkt als een hele waslijst maar uiteindelijk komt het op één ding neer: duidelijk uitleggen wat je doet, en vervolgens handelen zoals je het hebt beschreven. Ok, twee dingen: en normaal doen met camera’s, dus niet zeggen “voor de goede orde kunnen wij camera’s hanteren” en dan een jaar later werknemers beoordelen op basis van 24/7 cameratoezicht met verborgen camera’s op de werkplek.

Arnoud

Het faillissement van een online-backupdienstverlener

Geplaatst op in Security, 19 reacties

Een lezer vroeg me:

Ik wil graag weten hoe de volgende zaken bij een online backupdienst geregeld zijn. Stel dat de provider failliet gaat. Op welke wijze is de klant dan gegarandeerd dat hij zijn data nog kan benaderen en dat de data terugkomt en dat hij de tijd heeft om zijn data kan weghalen?

Dit is niet geregeld en je hebt dus een probleem als dit gebeurt.

Online dienstverlening is zo nieuw dat er maar bar weinig geregeld is, en al helemaal niet op het gebied van beschikbaarheid en continuïteit. Als je de wet erbij pakt, kom je niet verder dan algemene zinnen als dat de dienstverlener “de zorg van een goed opdrachtnemer in acht nemen” moet. Maar dat vertalen naar een harde SLA is echt onmogelijk; dat moet de markt zelf verzinnen, is de gedachte. En pas als dat niet blijkt te werken, komen er misschien wettelijke maatregelen.

Een contract kan nog zo veel mooie dingen beloven, maar bij faillissement houdt alles op. De curator is gerechtigd de stekker eruit te trekken, ook bij klanten die al vooruit betaald hadden en ook bij klanten tegen wie gegarandeerd was dat het systeem zou blijven draaien ook na faillissement. En ja, dat is natuurlijk contractbreuk maar een claim wegens contractbreuk mag u indienen bij de boedel en die wordt dan misschien betaald – als de Belastingdienst en de bank zijn betaald.

De enige echte manier om dit te regelen binnen de huidige wetgeving is een stichting continuïteit opzetten die met de provider van de cloudprovider regelt dat het systeem blijft doordraaien na het faillissement. De stichting betaalt dan de rekening. Op die manier kan iedereen nog even doorhobbelen. Ook heb ik wel constructies gezien waarbij de data onder beheer van een stichting kwam (bijvoorbeeld door een nachtelijke kopie af te geven) die vervolgens bij faillissement deze toegankelijk maakt in een open bestandsformaat. Kan, maar iedereen moet dat wel apart regelen.

Biedt het bedrijf niet zo’n regeling, dan heb je twee opties: 1) de dienst niet gebruiken of 2) elke nacht een kopie maken van de data. Wat eigenlijk ook weer neerkomt op niet gebruiken want je zet nou net dingen online in een backup zodat je het niet zelf hoeft te backuppen. Maar iets beters weet ik niet.

En oh ja, meer over dit soort problemen lees je in ons nieuwe boek Cloud: Deskundig en praktisch juridisch advies waarvan de voorintekening net is geopend.

Arnoud