Honderden websites verzamelen data van webforms voordat gebruikers die versturen

Geplaatst op in Ondernemingsvrijheid, Privacy, 3 reacties

Honderden websites verzamelen informatie die gebruikers in webformulieren typen en sturen die door naar trackingbedrijven, ook voordat gebruikers het formulier daadwerkelijk versturen. Dat meldde Tweakers onlangs op gezag van onderzoek uit Leuven getiteld “Leaky forms”. Het alvast verwerven van gegevens die je invult maar nog niet opstuurt zal voor veel mensen verrassend zijn, en is natuurlijk zeer problematisch onder de AVG – juist omdat het niet is wat je verwacht. En nee, dat veel van die sites een hash opsturen van het emailadres is volstrekt irrelevant.

Tweakers legt uit hoe men te werk ging:

[De onderzoekers] bouwden vervolgens een crawler die was gebaseerd op DuckDuckGo’s Tracker Radar Collector. Die zoekt naar velden om e-mailadressen en wachtwoorden in webformulieren in te vullen. In dat geval onderschept de crawler ook het netwerkverkeer van die sites om te kijken welke informatie er op welk moment wordt verzonden.
Men stelde vast dat bij 1844 van de onderzochte 100.000 websites er dus al ingevulde informatie werd verstuurd nog voordat de gebruiker daadwerkelijk op de onderdrukking-knop drukte. Meestal ging het dan om inlog- of nieuwsbriefinschrijfformulieren, en vaak werd dan niet het rauwe mailadres maar een hash daarvan verstuurd.

Technisch niet heel moeilijk, maar waarom doet men dit? Het was even denken, maar een legitieme reden is dat je bij een website-inschrijving bijvoorbeeld kunt zeggen dat een gekozen gebruikersnaam al bezet is. Dat gebeurt ook wel voor mailadressen: “Er is al een account bij dit adres” zie je dan tijdens het invullen. Maar dat vind ik al iets dubieuzer: zo kun je achterhalen of iemand wiens mailadres jij weet, gebruiker of klant is van die site. En dat kan een privacyschending zijn.

De onderzoekers lieten echter zien dat veel van deze informatie door derde partijen wordt uitgelezen, vaak zo te zien invoegtoepassingen die zichzelf nestelen in je formulieren. Dit zie je vaker, mensen installeren een analyticstool voor het een of ander en die blijkt veel dieper informatie op te vragen dan een eerste blik op de handleiding doet vermoeden. Dit verklaart ook waarom bijvoorbeeld de Vogelbescherming direct riep dat zij “geen persoonsgegevens deelt” met derden, zij het met de mysterieuze toevoeging dat “[zij] deze gegevens inzetten om de website gebruikersvriendelijker te maken.” Dan heb ik liever “onze nitwit van een webdesigner had HotJar met alle opties aan geïnstalleerd, dit staat nu uit, sorry” als reactie, maar goed.

Ik heb even snel wat van de genoemde sites bekeken, maar geen van hen noemt dit in de privacyverklaring of heeft op het formulier een “wij/derden lezen mee” verklaring. En omdat het hier gaat om dingen waar de gemiddelde consument door verrast wordt, moet dat echt wel van de AVG.

Arnoud

Rechter beveelt politie in te loggen op WhatsApp-account overleden slachtoffer

Geplaatst op in Regulering, Security, 3 reacties
Pexels / Pixabay

De rechter-commissaris in Den Haag heeft de politie bevolen om in te loggen op het WhatsApp- en Google-account van een overleden slachtoffer en zo de WhatsApp-communicatie en Google Takeout veilig te stellen voor zover die gegevens relevant zijn voor het onderzoek. Dat las ik bij Security.nl. Opmerkelijk, want de wet voorziet niet in een specifieke bevoegdheid hiervoor maar gezien de jurisprudentie zou het moeten kunnen.

Het slachtoffer is vermoedelijk door een misdrijf om het leven gekomen, en de politie had het vermoeden dat de WhatsApp- en Google Takeout communicatie relevant bewijs kon geven. Deze uit de telefoon van het slachtoffer halen lukte niet, omdat de telefoons onvindbaar waren. Een vordering bij WhatsApp-moederbedrijf Meta heeft geen zin vanwege de e2e encryptie, en Google zou volgens de officier makkelijk twee jaar over een rechtshulpverzoek doen en het dan waarschijnlijk afwijzen.

Blijft over de optie van de backup terugzetten. Daarvoor is technisch nodig dat je de sim van de verdwenen telefoon dupliceert (de provider kan dit), deze in een nieuwe telefoon plaatst en dan het WhatsApp-account herstelt. Alle backupdata wordt dan teruggezet, en daarna kun je deze lezen vanaf je nieuwe telefoon. Alleen, nergens in de wet is geregeld dat opsporingsambtenaren dit mogen doen. Je zou het zelfs een vorm van hacken kunnen noemen, binnendringen in andermans account bij WhatsApp immers.

De rechter-commissaris ziet in deze specifieke vorm van binnendringen weinig crimineels:

Het betreft stappen die een gebruiker zelf ook kan of zelfs moet zetten op het moment dat deze geen toegang meer heeft tot een account. Het terugzetten van een back-up (zoals bij WhatsApp) kan als een gebruikelijke handeling worden beschouwd, een back-up is immers bedoeld voor de situatie waarin er onverhoopt geen toegang meer tot de gegevens bestaat. Ook het moeten invoeren van bepaalde codes of het invullen van beveiligingsvragen om toegang te verkrijgen tot een account (zoals bij Google) is niet ongebruikelijk. … Het aanvragen van een duplicaat simkaart en het afvangen van een verificatiecode gebeurt niet alleen met toestemming van de nabestaande, maar valt naar het oordeel van de rechter-commissaris ook binnen de rechtmatige uitoefening van de politietaak gelet op artikel 3 van de Politiewet en de artikelen 141 en 142 Sv.
Het helpt natuurlijk zeer dat die nabestaande van het slachtoffer ook wilde wat er was gebeurd, en dus toestemming wilde geven. Of dat juridisch genoeg is om het binnendringen rechtmatig te maken, kun je over twisten: een nabestaande kan ook niet per definitie toestemming geven om een garagebox van de overledene open te breken. Maar de rechter-commissaris gebruikt het hier als een van de argumenten die maken waarom het binnendringen door de politie rechtmatig is.

Natuurlijk krijg je na deze actie toegang tot alle logs van alle chats, maar de vordering was beperkt tot bepaalde gesprekken in de elf dagen tot het overlijden. De overige data mag dus niet worden gebruikt.

Arnoud

Ziggo stopt prijsverhogingsrecht in voorwaarden om opzegging te voorkomen, wacht wat?

Geplaatst op in Ondernemingsvrijheid, 34 reacties

Ziggo verhoogt per 1 juli de prijzen van de meeste internetabonnementen, meldde Tweakers onlangs. De algemene voorwaarden zijn ook aangepast: er staat nu een wijzigingsbeding in. “Door de prijswijziging in de voorwaarden op te nemen, zijn klanten met een lopend contract niet meer contractvrij na een prijsverhoging”, zo legt men behulpzaam uit. Maar eh, zo werkt dat niet met consumentenrecht.

De provider zegt dat de prijswijziging nodig is vanwege hogere kosten, zoals duurder wordende netwerkapparatuur en een ‘enorme prijsstijging op het energieverbruik van het netwerk’. Dat kan, en ik geloof het ook onmiddellijk. Het gebeurt natuurlijk vaker dat kostenverhogingen worden doorbelast aan consumenten, maar daar steekt de wet bij telecomdiensten een stokje voor.

Artikel 7.2 Telecommunicatiewet bepaalt dat je bij iedere contractswijziging vier weken van tevoren moet worden geïnformeerd én dat je het recht hebt om dan op te zeggen. Dat is dwingend recht, dus geen algemene voorwaarde (of zelfs een expliciet onderhandeld of kernbeding) die daar verandering in kan brengen. Ook mogen er geen kosten, zoals afkoopsom of boete, worden gerekend voor opzeggen.

Dat is waar die zin over “contractsvrij” over gaat: dergelijke contracten worden vaak gesloten voor één of twee jaar en worden daarna stilzwijgend onbepaalde tijd. Wie dus in die eerste termijn zit, zit daar dan ook echt aan vast, maar kan ineens tóch opzeggen als de provider de voorwaarden (de prijs is een voorwaarde, in juridische taal) aanpast.

Het ingewikkelde is dat het wel moet gaan om een negatieve wijziging in de contractuele relatie. Een prijsverlaging is dus geen reden om op te mogen zeggen, net zo min als een inflatiecorrectie. En laat precies dat nu zijn waar de gewijzigde voorwaarden van Ziggo over gaan. Ziggo mag dus eenzijdig de prijzen aanpassen aan inflatie, en dat geeft dan geen recht om tussentijds weg te gaan.

Specifiek bij deze verhoging geldt wel een recht van tussentijds opzeggen. Ziggo geeft namelijk aan dat de verhoging is vanwege hogere inkoopskosten. Dat is géén inflatiecorrectie maar een zelfgekozen verhoging om die kosten door te berekenen. En dat mag, maar is nadelig voor de consument en daarmee een grond om op te zeggen.

Arnoud

Mijn manager wil de WhatsApp-logs van mijn zakelijke gesprekken, moet ik dat doen?

Geplaatst op in Ondernemingsvrijheid, Privacy, 18 reacties

Een lezer vroeg me:

Op mijn werk (ICT servicebedrijf) gebruiken we WhatsApp om met collega’s te overleggen, en ook wel om met klanten dingen te bespreken. Denk aan foto’s van problemen, overleg over werk bij de klant, afstemmen datums, dat soort dingen. Nu heeft onze manager bedacht dat we de logs van deze gesprekken centraal moeten bewaren “om te bewijzen wat er afgesproken is” en of we dus WhatsApp logging willen instellen op de bedrijfsclouddienst. Is dat legaal?
Mijn eerste vraag zou zijn: gaat het hier om WhatsApp op de eigen (privé) telefoon, of op het gebruik van deze chatdienst op een zakelijke telefoon? Dat maakt nogal uit, omdat de kern van het probleem hem zit in de scheiding tussen werkgesprekken en privéchats.

Ik zie op het eerste gezicht weinig bezwaren tegen het loggen van zakelijke gesprekken met klanten (of overleg tussen collega’s) zodat het later teruggelezen kan worden. Het kan geschillen voorkomen, of ze in ieder geval makkelijker uit te praten maken. Afspraken staan meteen genoteerd en ga zo maar door.

Natuurlijk heb je ook privacy op het werk, maar uitgaande van een werkrelatie met de klant (en met collega’s) lijkt me dat hier geen belang dat zwaar onder druk komt te staan bij zo’n logging. Wel moeten er natuurlijk goede afspraken zijn over wie bij de logs kan en wanneer. Het maakt nogal uit of de collega dat doet als de klant klaagt dat er iets niet conform afspraak is gedaan, of dat de lijnmanager dat samen met HR doet als er een arbeidsconflict gevonden moet worden om van de vraagsteller af te komen.

Om dat goed te regelen, heb je een privacyreglement nodig, of een ICT-reglement. En bij organisaties met een OR moet die het vooraf goedkeuren. Bij een kleinere organisatie is duidelijkheid geven over wat je logt en waarom de sleutel.

Dit gaat allemaal uit van zakelijke telefoons waarbij je WhatsApp moest installeren als deel van het werk. De kans is groot dat we hier te maken hebben met de situatie waarin mensen op hun eigen telefoon chatten met klanten of collega’s, en dat dáár de manager ineens logs van wil hebben.

Die vind ik spannender, met name omdat je bij WhatsApp logs aan of uit kunt zetten maar niet per gesprekspartner instelbaar. Dan zouden dus álle logs, ook die met je partner of met de tandarts, centraal opgeslagen worden. En dat is natuurlijk een onoplosbaar probleem.

Arnoud

OM: vorig jaar bijna 15.000 gevallen van cybercrime geregistreerd

Geplaatst op in Informatiemaatschappij, Security, 7 reacties

Vorig jaar heeft de politie bijna 15.000 gevallen van cybercrime geregistreerd, een stijging van 33 procent ten opzichte van 2020. Dat meldde Security.nl vorige week. Dit aantal staat in schril contrast met het aantal veroordelingen: drie-en-dertig. Wel meer dan 25 in 2020, maar toch. De jaarcijfers van het OM over 2021 zijn wel heel inzichtelijk.

“Cybercrime is moeilijk op te sporen en vraagt om veel kennis en specialisten die zich voortdurend blijven ontwikkelen om hackers bij te blijven.” Dat is zeker waar, en verklaart voor een groot deel het gebrek aan veroordelingen. Dat, en het feit dat veel daders zich in het buitenland bevinden of dat opsporing eindigt bij een IP-adres in een ver buitenland.

Veel vormen van online criminaliteit betreffen eigenlijk gewoon fraude en oplichting, en dan toevallig via internet. Dit is vaak een discussie bij de term cybercrime: wanneer is iets nou écht cyber, echt internet? Oplichting via Marktplaats vind ik daar niet bij horen. Ransomware wel, ook volgens het OM:

Maar ook vormen van echte cybercrime, zoals hacken, DDoS- of ransomwareaanvallen namen volgens de politieregistratie in 2021 verder toe. Nadat het aantal bij de politie bekende gevallen van cybercrime in 2020 met maar liefst 132 procent was toegenomen, steeg het aantal in 2021 verder met 33 procent tot 14.900 gevallen.
Het OM stipt daarbij trouwens nog een verklaring aan voor het lage aantal verdachten: op internet kan een verdachte veel meer misdrijven tegelijk begaan, dus daar komen dan ook veel meer meldingen van.

Arnoud

Belgische boete voor nieuwsbrief die dacht een servicebericht te zijn

Geplaatst op in Ondernemingsvrijheid, Privacy, 13 reacties
LadyBB / Pixabay

De Belgische Gegevensbeschermingsautoriteit heeft een boete van 10.000 euro uitgedeeld aan de spoorwegmaatschappij NMBS. Dat meldde Tweakers donderdag. De NMBS had zonder aanleiding een nieuwsbrief verstuurd, en roepen dat “dat de nieuwsbrief noodzakelijk was voor het waarborgen voor de ‘sanitaire veiligheid’ van treinreizigers” was daarbij geen argument.

De toezichthouder was een onderzoek gestart naar aanleiding van een klacht op Twitter (kom daar eens om in Nederland). De gebruiker had in 2020 een nieuwsbrief van de Spoorwegen gehad over de Hello Belgium Railpass, een initiatief waarmee iedere Belg van twaalf jaar of ouder twaalf gratis treinritten mag maken. Kennelijk kreeg iedereen die deze kaart had gehad, extragratis ook de nieuwsbrief.

Dat gebeurt veel, maar is juridisch eigenlijk niet in de haak. Nieuwsbrieven (zeker met commerciële inslag) vereisen toestemming, en alleen bij betalende klanten kun je werken op basis van opt-out – mits deze op het bestelformulier al wordt aangeboden. Dat is dus, en ik zeg het nog even voor al die webwinkeliers achterin, nadrukkelijk NIET hetzelfde als “in elke nieuwsbrief zit een opt-out”.

De NMBS had een andere truc gevonden, namelijk de grondslag noodzaak uitvoering overeenkomst. In het jargon heet dit het ‘servicebericht’, mensen op de hoogte houden van dingen rondom hun bestelling, inschrijving et cetera. Natuurlijk mag je dat sturen zonder aparte opt-in. Ik krijg dan ook wekelijks mails van handige jongens die “even willen checken” of hun mail kan tellen als ‘servicebericht’ of willen weten hoe veel procent reclame er in een servicebericht mag. Inderdaad, “we zijn druk bezig met je bestelling” gevolgd door drie pagina’s reclame. Nee.

Het was volgens verweerder bovendien noodzakelijk dat de e-mails verzonden werden gezien de precaire situatie op dat moment, waarbij een tweede golf in de Covid-19-epidemie in België op komst was en een ieder derhalve extra alert moest zijn teneinde de veiligheid in de treinen de kunnen waarborgen. Om de reizigers tijdig te bereiken was NMBS derhalve genoodzaakt om de aanvragers de nieuwsbrief per e-mail toe te sturen. De disclaimer van de e-mail bevatte volgens verweerder duidelijke informatie over het beoogde doel van de e-mail, namelijk het informeren van de reizigers over de manier waarop de Railpass zo correct en optimaal mogelijk gebruikt diende te worden.
Natuurlijk was het in die tijd even extra risicovol om met OV te reizen, maar laten we de nieuwsbrief er even bij pakken:
(i) “Herontdek meer dan 500 bestemmingen in België” vergezeld van een knop ‘Vind inspiratie’; (ii) “MoveSafe-app: jouw veiligheid” vergezeld van een knop ‘Download de app’ (iii) “Klaar voor je eerste reis?”; (iv) “Nog vragen? Raadpleeg onze FAQ over het gebruik van je Hello Belgium Railpass”, vergezeld van een knop ‘Bekijk de voorwaarden’; (v) De mededeling “We wensen je leuke reizen toe met je Hello Belgium Railpass!”; (vi) Disclaimer.
En wat lezen we dan onder punt (i):
Bijna 3,6 miljoen Belgen hebben een Hello Belgium Railpass aangevraagd. Gelijk hebben ze! Je moet natuurlijk in alle veiligheid op ontdekkingstocht kunnen gaan in ons land. Laat je inspireren door onze blogs die overlopen van ideeën om op citytrip te vertrekken, op stap te gaan in de natuur, met familie of met vrienden… Je vindt in België voor elk wat wils!
Ik heb al jaren een vuistregel over serviceberichten: je stuurt ze eigenlijk liever niet. Sorry, dit weekend onderhoud. Uw pakket is vertraagd. We hebben geen geitenmelk deze week. Op uw mijn onze taal punt nl staat de factuur voor u klaar. Maar “Je vindt in België voor elk wat wils” kan ik met geen mogelijkheid rechtvaardigen binnen die vuistregel.

De Belgische toezichthouder ook niet. Heel misschien was er wat mogelijk geweest op grond van eigen gerechtvaardigd belang, maar (a) dat was niet vooraf in de privacyverklaring zo uitgewerkt en (b) er was geen opt-out aangeboden zoals artikel 21 AVG wel eist.

Moraal van het verhaal: serviceberichten laat je niet door de marketingafdeling schrijven maar door een chagrijnige senior magazijnmedewerker. Marketing werkt met toestemming, en anders niet.

Arnoud

Hoe krijg je effectief een vonnis tegen een Amerikaans blogplatform?

Geplaatst op in Ondernemingsvrijheid, 21 reacties

Wat moet je doen als een raar figuur je belastert op WordPress, en na diens arrestatie een ander de blog overneemt? Een recent vonnis (dank, tipgever) laat zien hoe ingewikkeld dit kan zijn. De eiser in de zaak is een Nederlander die werkt als sales director in de visbranche, en al jaren te kampen heeft met bedreigingen. Daarbij werd ook een WordPress-blog ingezet, waarvan ondertussen de auteur in voorlopige hechtenis is genomen op verdenking van afpersing, afdreiging en bedreiging. De blog werd toen ook offline gehaald, maar verscheen later weer online. De auteur ontkende hier iets mee te maken te hebben, waarop men zich maar tot WordPress richtte. Maar nee, men geeft geen gehoor zonder Amerikaans rechterlijk vonnis.

Dan maar naar de bevoegde Nederlandse rechter, die gevraagd werd de blog offline te laten halen en de persoonsgegevens van de publicist te verstrekken. Standaard eisen bij zo’n zaak, ook dat tweede: het Lycos/Pessers arrest biedt hier gewoon een basis voor.

WordPress-eigenaar Automattic had ondertussen wel íets gedaan, namelijk een blokkade op basis van IP-adres zodat je er vanuit Nederland niet meer bij kon. Daarmee was de schade van tafel en hoefden we dus geen rechtszaak meer te doen, aldus het bedrijf:

Automattic heeft aangevoerd dat zich in Nederland geen schade meer voordoet na de door haar in Nederland ingestelde blokkade van de Website, maar die redenering gaat niet op omdat de blokkade vrij eenvoudig omzeild kan worden via een Virtual Private Network (VPN). De Nederlandse rechter is dus bevoegd om van de vorderingen kennis te nemen.
Er was weinig discussie nodig over de vraag of het onrechtmatig was wat er allemaal op die blog stond. Automattic leek dat zelf ook niet echt te willen proberen, getuige ook het feit dat men de blog dus in Nederland had afgeschermd en geen inhoudelijk verweer had gevoerd over het waarheidsgehalte of bedreigend niveau. Het doet dan wat raar aan dat je vervolgens zegt, niets aan de hand, je kunt er niet bij, we zien u bij de Amerikaanse rechter. Onze rechter lijkt zich daar ook ietwat aan te ergeren:
Tot het verwijderen van de Blog is Automattic slechts bereid als een Amerikaanse rechter haar daartoe verplicht. Het voeren van een dergelijke tijdrovende en kostbare procedure kan gegeven het grote en spoedeisende belang van [eiser] echter niet van hem worden gevergd.
Automattic krijgt het bevel de site offline te halen en de NAW-gegevens (voor zover bekend) van de klant te verstrekken, dit op straffe van een dwangsom van vijfduizend euro per dag tot een maximum van een ton. Allemaal niet heel spannend, wat natuurlijk wél de grote vraag is of men gehoor gaat geven.

Het bedrijf heeft geen Nederlandse vestiging, dus de normale volgende stap is dan een Europese dochter te vinden die je kunt aanspreken. Op grond van de EEX Verordening (een Europese wet) kun je dat vonnis daar ten uitvoer leggen, hier door geld van de rekening te laten halen door een deurwaarder in zeg Spanje of Denemarken.

Hier is dat wat ingewikkeld, want Automattic is geen normaal bedrijf: er is een formele inschrijving in San Francisco, Californië en er zijn zo’n 2000 medewerkers maar die werken allemaal thuis. Ook vanuit Nederland, zie de handige kaart. Maar dat is dus allemaal zonder formele Nederlandse dochter of wat dan ook. Dat kan, maar die medewerkers zijn niet aansprakelijk voor wat hun werkgever doet, dus daar valt verder niets te halen. Dan zijn volgens mij de juridische mogelijkheden wel zo’n beetje uitgeput. Laten we dus maar hopen dat men alsnog meegaat met het vonnis.

Arnoud

 

Nee, je kunt geen geld vragen voor het overnemen van populaire tweets

Geplaatst op in Ondernemingsvrijheid, Uitingsvrijheid, 11 reacties
mohamedhassan / Pixabay

Elon Musk heeft zijn banken beloofd Twitter winstgevend te maken, onder meer door geld te vragen voor overname van populaire tweets. Dat meldde Reuters onlangs. Voor de overname en beursverwijdering heeft Musk 44 miljard dollar nodig, waarbij een aantal banken voor de financiering zorgt. Deze eisen dan een businessplan, en deel van de visie daarover van Musk is dus zoeken naar nieuwe verdienmodellen. Zoals het verkopen van tweets, niet als NFT maar royalties op grond van auteursrecht, als ik het goed lees. Gaat niet werken. Maar of dat voor Musk relevant is, ik weet het niet.

Ik blijf me verbazen over de voorgenomen overname. En niet omdat je met dit geld de wereldhonger een fors eind terug zou kunnen dringen, maar omdat het gewoon totaal niet past bij het beeld dat ik van Elon Musk heb. Slimme ondernemer, gehaaid zakenman, visionair – ja, die zie ik, maar “voorvechter van complete vrijheid van meningsuiting” of “gedreven in het monetizeren van internetdiensten”, nee niet echt.

Twitter is natuurlijk zijn favoriete tool, ik ken niemand die zo behendig, groot en scherp is in op de rand spelen van wat er kan en mag in het medium. En als je dan het gevoel hebt dat de beheerders je speeltje verpesten én je hebt meer geld dan wie ook, dan is het wel een aardige edgelord stap om te zeggen dat je het gaat kopen. Maar ik had niet verwacht dat het ook zo ver zou komen. Juridisch zijn er nog wat hobbels, maar die worden vanzelf gladgestreken, ik zie die deal wel rondkomen.

Verkopen van Tweets, nee dat gaat hem niet worden. Je kunt eenvoudigweg geen geld vragen voor het overnemen van zo’n kort stukje tekst. Op zich zit er wel auteursrecht op een tweet, weliswaar zijn die 280 tekens en dat is vrij kort, maar juist daardoor zijn mensen vaak behoorlijk creatief in wat ze erin stoppen. Ik durf wel te zeggen dat de modale tweet auteursrechtelijk beschermd is. Maar je zit eenvoudigweg met het citaatrecht – mensen mógen belangwekkende tweets overnemen, om ze aan te kondigen, erop te reageren, ze met anderen te delen (“kijk wat Musk nou weer zegt”) en ga zo maar door. Daar kan geen contract verandering in brengen.

Mogelijk zijn dit allemaal losse flodders, pardon visionaire ideeën en gaan we vanzelf merken wat Musk van plan is. Het is straks écht zijn speeltje, en als hij dat verliesgevend wil draaien zonder enig verdienmodel dan is dat zijn goed recht. Ruzie met de bank zal vast wel weer goed komen.

Arnoud

Verkopers IoT-apparaten vanaf 27 april wettelijk verplicht updates te leveren

Geplaatst op in Informatiemaatschappij, Ondernemingsvrijheid, 14 reacties

Verkopers van Internet of Things (IoT)-apparaten, zoals smart tv’s en horloges, printers, camera’s en babyfoons, zijn vanaf 27 april wettelijk verplicht om software- en beveiligingsupdates te leveren. Dat las ik bij Security.nl vorige week. Nadat in februari de Tweede Kamer akkoord was met een updateplicht, stemt nu ook de Eerste Kamer in. En ja, 27 april was vorige week maar de stemming was op 19 april en het ging om invoering van een Europese regel, dus heel veel rek was er niet meer.

De kern van de updateplicht staat in artikel 7:18 lid 4 BW:

Bij een zaak met digitale elementen zorgt de verkoper ervoor dat de updates, waaronder beveiligingsupdates, die nodig zijn om te bewerkstelligen dat de afgeleverde zaak aan de overeenkomst beantwoordt, aan de koper worden gemeld en geleverd gedurende de periode die de koper redelijkerwijs kan verwachten, gezien de aard en het doel van de zaak en de digitale elementen, en rekening houdend met de omstandigheden en de aard van de overeenkomst als de koop voorziet in levering van de digitale inhoud of digitale dienst.
Een zaak met digitale elementen is hoe wetgevingsjuristen een IoT-apparaat of “slim apparaat” omschrijven: een ding dat op je tenen valt (en dan pijn doet) maar met software erin. De regel geldt dan weer niet voor los verkochte software op een drager, en ook niet voor software-als-download.

De wet schrijft dus niet een specifieke periode voor, maar koppelt deze -net als de ‘gewone’ verwachting omtrent goed werken- aan de redelijke verwachting van de koper. Dat is dus iets dat we in de rechtspraak moeten gaan zien wat redelijk is. Bij een slimme vaatwasser (ik heb er een: hij appt me als hij klaar is, dit schijnt slim te zijn) mag je denk ik langer updates verwachten dan bij een speelgoedlaptop voor kleuters, om eens wat te noemen. Maar simpelweg weigeren updates te leveren, of verwijzen naar de fabrikant, dat zit er niet meer in.

Zoals ik in februari al blogde, er is een gaatje in lid 6 van datzelfde artikel:

Van het niet beantwoorden van de afgeleverde zaak aan de overeenkomst in de zin van de leden 2 of 4 is geen sprake indien de koper er bij het sluiten van de overeenkomst uitdrukkelijk van in kennis werd gesteld dat een specifiek kenmerk van de zaak afweek en de koper die afwijking bij het sluiten van de overeenkomst uitdrukkelijk en afzonderlijk heeft aanvaard.
Mij is nog steeds niet duidelijk of dit een verplicht te aanvaarden vinkje mag zijn. Ik vermoed ondertussen van wel, mits maar duidelijk in de begeleidende informatie staat dat het zonder updates komt.

Een interessante signalering nog in de comments bij Security.nl:

Er komt een certificering Cyberveiligheid van consumenten IoT, zie https://www.kiwa.com/nl/nl/service/etsi-en-303-645-beveiliging-iot-consumentenelectronica/. De betreffende norm (ETSI EN 303 645) is redelijk specifiek in waar aan voldaan moet worden.
Een winkel zou bij haar inkoopbeleid dan kunnen eisen dat fabrikanten een dergelijke ETSI-certificering hebben, zodat zij weten dat de software goed te updaten is.

Arnoud