Kun je Microsoft aansprakelijk stellen voor schade uit een ransomware-aanval?

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 25 reacties

De computersystemen zijn nog steeds niet bruikbaar, zo liggen beide containerterminals van APM in de Rotterdamse Haven nog steeds stil. Dat las ik bij Bright. De ransomware Petya wist vele computers te gijzelen in de IT-omgeving van de Haven, en dat is niet eenvoudig op te lossen. De reden blijkt een bug in Windows, die al tijden bij de NSA bekend zou zijn maar nooit gemeld is. Is er nu enige mogelijkheid Microsoft aansprakelijk te stellen voor de schade van zulke downtime?

Het makkelijke antwoord is natuurlijk nee, want in de voorwaarden van Microsoft staat gewoon dat ze niet aansprakelijk zijn voor de gevolgen van fouten in hun software. En ja, dat is rechtsgeldig bij grote partijen zoals de Rotterdamse Haven. Bij consumenten in principe niet, tenzij er heel bijzondere omstandigheden zijn (zoals, blijf ik volhouden, wanneer de software gratis beschikbaar werd gesteld).

Maar goed, wat in het hypothetische geval dat er geen rechtsgeldige beperking van aansprakelijkheid was. Dan zou het kunnen. Wel moet er dan aan een aantal eisen zijn voldaan. Kort gezegd is de belangrijkste vraag of Microsoft deze fout had moeten voorkomen, vanuit hun zorgplicht als dienstverlener. Of iets anders geformuleerd, of je het Microsoft kunt aanrekenen dat die fout erin zat (toerekenbare tekortkoming).

Ik denk dat je daar in het algemeen niet meteen van kunt spreken, tenzij men de fout kende en deze dan onnodig lang liet liggen. Alle software heeft fouten, zeker zulke grote en complexe software als Windows. Het is onvermijdelijk dat er dan van tijd tot tijd een exploit opduikt die mensen schade berokkent.

Verder, zelfs als je uitkomt bij een toerekenbare tekortkoming of verzaken van de zorgplicht, dan nog heb je altijd het verweer “waarom had je geen backup” of andere maatregelen ter beperking van de schade. Want anno 2017 behoort iedereen te weten dat je je systeem goed moet afschermen voor onheil van buitenaf, en dat je je data moet backuppen om terug te kunnen na een geslaagde aanval. Het voelt weinig redelijk om je bedrijfsdata kwijt te spelen door een aanval en dan Microsoft de rekening te geven.

Bij consumenten blijf je zitten met het probleem dat zij juridisch gezien meestal geen schade hebben. Zet maar eens een geldbedrag op het gegijzeld hebben van je vakantiefoto’s of persoonlijke administratie. En zonder schade geen claim.

Arnoud

Nee, een domeinnaam hoef je niet af te staan als je er niets mee doet

Geplaatst op in Intellectuele rechten, 17 reacties

Wie een nieuwe domeinnaam wil gaan gebruiken, kent de frustratie: die is al bezet. Vrijwel elke leuke Nederlandse term is al geclaimd, en in de meeste gevallen gebeurt er weinig meer mee dan een reclamepagina of een “Hier wordt een concept ontwikkeld, overname is bespreekbaar”-achtige tekst. Erg vervelend als je daar zelf al plannen voor had, en het verbaast dan ook niet dat mensen met merken of handelsnamen gaan zwaaien om ze op te eisen. Maar dan moet er echt wel meer aan de hand zijn, zoals uit een recent arrest over de domeinnaam OK.nl blijkt.

In 2015 blogde ik al over deze zaak. De domeinnaam OK.nl was toen al 15 jaar in handen van de gedaagde, en eiser Fuelplaza (handelsnaam: OK) wilde deze opeisen omdat men zelf met een onhandiger domeinnaam moest werken en de gedaagde er al jaren niets mee deed. Bovendien had men een merk én een handelsnaam, en nog in Nederland ook. Dus inbreuk, en inleveren graag. De rechtbank had de eis afgewezen, en nu is er uitspraak in hoger beroep die dit bevestigt.

Allereerst het merkenrecht. Fuelplaza heeft een merk op het woord OK voor brandstof, en meende om die reden de domeinnaam te kunnen opeisen. Maar, zo stelt het Hof, ook al is het triviaal de domeinnaamhouder Gaos dóet wel iets met die domeinnaam. Er wordt niets mee gedaan dat concurreert met of aanhaakt bij de diensten van Fuelplaza, dus gewone merkinbreuk (of handelsnaaminbreuk) is het niet.

Er is een restcategorie, “afbreuk doen aan de reputatie van het merk”. Daarvan zou sprake zijn omdat Gaos op de site bij die domeinnaam had gezet “Deze domeinnaam is geregistreerd door een van onze klanten”, en dat zou gek staan voor klanten van Fuelplaza. Waarom precies werd me niet duidelijk, mogelijk het idee dat iemand dan denkt, wat een raar bedrijf hebben die geen website of zo. Maar dat is te algemeen om rechtens overtuigend te zijn, en de mededeling is ook verder niet negatief over Fuelplaza of de tankstations met OK erop, dus dit slaagt niet.

Ook het idee dat Gaos zou wachten tot de nood Fuelplaza te hoog zou zijn gestegen en ze met geld zou gaan smijten, gaat niet op. Dat is in theorie natuurlijk denkbaar maar er zal wel iets van bewijs moeten komen. Als vaststaat dat Gaos de domeinnaam zou willen verkopen, zeker als dat met een profiteur-achtig luchtje zou zijn omgeven, dan zou een overdracht wegens merkinbreuk wellicht mogelijk zijn.

Belangrijker: de domeinnaam is al in 1999 geregistreerd, en het merk pas in 2003. Daarmee heeft Gaos een “eigen recht” verworven op die domeinnaam, dat boven de merkrechten gaat. En omdat Fuelplaza ook niet op internet geblokkeerd wordt – via okolie.nl zijn ze gewoon te vinden – is er dus geen enkele reden om die domeinnaam over te moeten dragen.

Arnoud

Tot eigendom van data geregeld is, kun je maar beter goede backups maken

Geplaatst op in Informatiemaatschappij, 12 reacties

Wie data opslaat bij een online backupdienst, of gebruik maakt van een SaaS-dienst voor bijvoorbeeld boekhouding of klantenadministratie, zal al snel geneigd zijn te spreken van ‘zijn’ data. Logisch: die informatie is essentieel voor die persoon, en als hij het fysiek ergens opgeslagen had, dan waren die mappen of papieren ook gewoon zijn eigendom. Maar in de cloud is dat wezenlijk anders. Data is niets, juridisch gezien. Je kunt dus niet spreken van eigendom van data, en er is ook geen wettelijke manier om data op te eisen van een dienstverlener.

Dat data niets is, beschouw ik als het grootste juridische probleem binnen het internetrecht. Want we dénken allemaal van wel, omdat SaaS-diensten nu eenmaal zo duidelijk aansluiten bij de klassieke manier van werken. Data op onze laptops, daar kunnen we altijd bij; die is dus ‘van ons’ in het gewone spraakgebruik. En die data is essentieel voor wat we doen – of het nu bedrijfskritische gegevens zijn of onvervangbare foto’s van je opgroeiende kinderen. Die data moet dus ook van ons zijn. Maar als je hem in de cloud opslaat, heb je er juridisch geen claims meer op. Data is een bijproduct van dienstverlening, meer niet.

Bij verlies van data heb je juridisch gezien gewoon dikke pech. Die data is weg, en een claim wegens wanprestatie is buitengewoon ingewikkeld. Toon maar eens aan dat de clouddienstverlener zijn best niet heeft gedaan, om te beginnen. En daarnaast: waarom had jij geen backup van die data, als die zo belangrijk was voor je? Het aansprakelijkheidsrecht kent het concept van “eigen schuld”, waardoor een schadevergoeding kan worden verlaagd. Met dat argument kreeg een consument in 2013 het deksel op de neus toen hij zijn Powerbook had laten repareren, waarna de harde schijf sneuvelde. Hij moest de helft van de schade zelf dragen.

Een oud spreekwoord luidt: beter voorkomen dan genezen. In juridische termen: beter backuppen dan aansprakelijk stellen. Een backup maken van clouddata lost het hele probleem op van dataverlies, tenminste als je de backup ook weer netjes ergens bewaart.

Een goede dienstverlener zal zijn klanten de gelegenheid geven alle geüploade data ook weer te downloaden, zodat de klant deze elders kan gebruiken als de overeenkomst wordt beëindigd, of bij calamiteiten natuurlijk. Sommige bedrijven doen dit liever niet, omdat ze bang zijn dat iemand dan naar de concurrent gaat. Maar het omgekeerde blijkt waar: als je weet dat je snel weg kunt, blijf je langer zitten. Het belangrijkste voor de klant is in ieder geval: máák die backup, en bij voorkeur iedere dag. Want een backup heb je pas nodig als je merkt dat de dienst het ineens niet meer doet. En dan is het te laat om hem nog te downloaden.

Arnoud<br/> PS: dit is een voorpublicatie uit editie 2017/18 van De wet op internet, en de voorintekening is geopend!

Verdachte doet aangifte van dreiging en dwang bij ontgrendelen smartphone

Geplaatst op in Regulering, 39 reacties

Een van de hoofdverdachten in de strafzaak rond douanier Gerrit G. doet aangifte tegen de politie, las ik bij Nu.nl. De politie zou hem hebben bedreigd om zo zijn smartphone te ontgrendelen. De telefoon zat namelijk achter een vingerafdrukslot, en hij wilde niet meewerken aan het zetten van die afdruk. Daarop zou gedreigd zijn om zijn vingers te breken. Dat is natuurlijk onrechtmatig, maar iets fundamenteler is wel de vraag of je móet meewerken aan het vingerafdrukken ter ontgrendelen van je telefoon.

Het is een vast principe dat je geen wachtwoorden of pincodes hoeft te geven als verdachte. Dat valt onder het recht niet gedwongen te mogen worden om tegen jezelf te getuigen. Maar dat gaat alleen over dingen die je wéét. Dingen die je hébt, mag Justitie gerust afpakken en onderzoeken om daarmee de waarheid aan het licht te brengen. Ze mogen je kluis openen met een lasbrander (of een handige slotenmaker), onder de vloer kijken, je harddisk kopiëren, je tuin omspitten en je administratie meenemen als daar bewijs te verwachten valt. Of je telefoon leegtrekken, waar genoeg speciale apparatuur voor is.

Het is wettelijk toegestaan om gedwongen een vingerafdruk af te nemen, maar het moet dan eigenlijk gaan om identificatie van de verdachte (art. 27a Strafvordering). Dat is toch wel even iets anders dan een vingerafdruk inzetten om een telefoon te openen. Maar bij een ernstig misdrijf mag er meer (art. 55c):

De foto’s en vingerafdrukken [van de verdachte] kunnen ook worden verwerkt voor het voorkomen, opsporen, vervolgen en berechten van strafbare feiten en het vaststellen van de identiteit van een lijk.

Met enige goede wil is “openen van zijn telefoon” wel te rekenen onder “opsporen van strafbare feiten”, als de data op die telefoon daar deel van uitmaakt. Maar getest bij de strafrechter is het nog nooit.

Wat is nu het veiligdste slot op je telefoon dat tevens praktisch bruikbaar is?

Arnoud

Eh nee, je BSN blijft gewoon een verboden nummer onder de Privacyverordening

Geplaatst op in Privacy, 33 reacties

Een lezer vroeg me:

In diverse media lees ik dat het verbod op verwerken van het burgerservicenummer (BSN) gaat verdwijnen. Dit verbod staat in de Wet bescherming persoonsgegevens, maar die komt te vervallen zodra de AVG is aangenomen. Klopt dat, en mag ik dan gewoon het bsn gaan gebruiken als bijvoorbeeld klantnummer?

Nee, dit klopt niet. Ook onder de Privacyverordening blijft het gewoon verboden om iemands BSN te gebruiken, tenzij in een wet expliciet staat dat je hem móet gebruiken. (Een BSN mág je dus nooit gebruiken, soms móet je het gebruiken.)

De verwarring komt door het feit dat de Privacyverordening vermeldt dat de Richtlijn waar de Wbp op is gebaseerd, wordt ingetrokken. De Wbp wordt dan ook ingetrokken per 25 mei volgend jaar. Artikel 24 Wbp gaat dan gezellig mee, en in dat artikel staat het verbod op verwerken van iemands burgerservicenummer.

Echter, de regering heeft al een Uitvoeringswet AVG aangekondigd waarin ze eigen aanvullingen bovenop de AVG gaat doen. Dat mag, de AVG vermeldt op diverse plekken dat een land zelf keuzes mag maken. Zo staat er in dat je vanaf zestien jaar je eigen beslissingen over persoonsgegevens mag nemen, maar dat een land die grens omlaag mag halen (tot minimaal 13).

Artikel 44 van de huidige tekst daarvan is letterlijk artikel 24 Wbp:

Een nummer dat ter identificatie van een persoon bij wet is voorgeschreven, wordt bij de verwerking van persoonsgegevens slechts gebruikt ter uitvoering van de betreffende wet dan wel voor doeleinden bij de wet bepaald.

En ja, ik weet dat deze tekst net uit de internetconsultatie is en dat er nog van alles kan gebeuren. Maar ik acht de kans echt núl komma nul dat dit artikel gaat veranderen of verdwijnen. Die uitvoeringswet is grotendeels een formaliteit, en het is dus buitengewoon onverstandig om te denken dat er straks een gaatje komt om met bsn’s te gaan werken.

Arnoud

Hoe de Supreme Court 20 jaar geleden internet anders dan televisie verklaarde

Geplaatst op in Ondernemingsvrijheid, 11 reacties

Deze week twintig jaar geleden, op 26 juni 1997, verklaarde de Amerikaanse Hoge Raad het internet fundamenteel anders dan radio en televisie. Op die dag deed zij uitspraak in een zaak rond de Communications Decency Act, die internet moest reguleren. De Act verklaarde het illegaal om inhoud te versturen wanneer deze indecent zou zijn en minderjarigen deze konden lezen. Deze regel uit radio- en televisieland bleek op internet in strijd met de vrijheid van meningsuiting. En toen kon internet los.

De CDA was in 1996 de eerste serieuze internetwet. Er werden allerlei regels gesteld, maar de stukken over aansprakelijkheid van providers en het fatsoenlijk niveau van de inhoud bleken het controversieelst. Dat stuk over fatsoen ging vrij ver:

knowingly (A) uses an interactive computer service to send to a specific person or persons under 18 years of age, or (B) uses any interactive computer service to display in a manner available to a person under 18 years of age, any comment, request, suggestion, proposal, image, or other communication that, in context, depicts or describes, in terms patently offensive as measured by contemporary community standards, sexual or excretory activities or organs.

Met name optie (b) was nogal wat. Websites zijn immers voor iedereen toegankelijk, dus ook voor minderjarigen. Dit zou dus betekenen dat iedere website moest filteren op minderjarigen, of (iets werkbaarder) moest zorgen dat er niets op de site zou staan die “offensive” geacht kon worden. Vandaar dat de burgerrechtenbeweging ACLU tegen de wet ten strijde trok.

In de VS staat de vrijheid van meningsuiting op een hoog voetstuk. Men is dan ook erg kritisch tegenover wetgeving die speech reguleert. Deze moet specifiek en gericht zijn, en mag de uitingsvrijheid van volwassen mensen niet nodeloos hinderen. Er is eigenlijk geen wet de afgelopen vijftig, zestig jaar die een dergelijke toets heeft overleefd. En met dat in het achterhoofd verbaast het dan ook niets dat de CDA net zo hard sneuvelde:

The record demonstrates that the growth of the Internet has been and continues to be phenomenal, … As a matter of constitutional tradition, in the absence of evidence to the contrary, we presume that government regulation of the content of speech is more likely to interfere with the free exchange of ideas than to encourage it.

Niet de hele wet ging vervolgens onderuit. Artikel 230 bleef staan – en dat artikel is cruciaal voor het internet zoals dat nu is. Het bepaalt dat platforms zoals internetproviders, forumbeheerders en hosters geen “publishers” zijn in de zin van de wet. Kort gezegd zijn zij dan niet aansprakelijk te houden voor andermans bijdragen, zoals bijvoorbeeld een krant dat wel is voor een ingezonden brief of een televisiezender voor een reclamespotje.

Deze totale niet-aansprakelijkheid (later uitsluitend genuanceerd door de Digital Millennium Copyright Act, DMCA) maakte dat het vrijwel risicoloos werd om een platform of dienst op te zetten waar mensen dingen konden publiceren. Van discussieforum tot informatieve website of dienst, alles mocht en je hoefde niet bang te zijn dat iemand je ging aanklagen. Dat is een mooie stimulans voor ondernemers gebleken om allerlei sites op te zetten.

De downside van die ontwikkeling is dan weer dat er totaal geen inspanning is geweest om de boel een beetje netjes te houden, of zelfs maar op te treden wanneer er klachten over inhoud kwamen (behalve dus auteursrecht, waar notice/takedown al snel algemeen aanvaard werd). Als je daarbij bedenkt dat je óók niet hoefde te registreren wie je gebruikers waren, dan snap je ook een ander deel van internet: totale anarchie in wat er wordt gezegd en niemand die zich daarvoor aansprakelijk houdt. Gebruikers ontraceerbaar en beheerders wettelijk beschermd is laten we zeggen niet zo handig.

Toch denk ik dat in de basis dit model de enige reële optie was voor internet om zo’n succes te worden als het is. Het doorschieten naar die baggerputten met anonieme drek is erg vervelend maar iets dat zichzelf corrigeert (voor een deel) of nu gericht kan worden bestreden met wetgeving die rekening houdt met de kennis van nu. Zo hoort het volgens mij te gaan, je geeft iets eerst de kans zich te ontwikkelen en daarna pas ga je de excessen wettelijk aan banden leggen.

Arnoud

Mag je mensen nog verplicht op nieuwsbrieven laten abonneren onder de Privacyverordening?

Geplaatst op in Privacy, 25 reacties

Een lezer vroeg me:

Is het straks onder de Privacyverordening (AVG of GDPR) nog toegestaan om gratis e-book of deelname aan een quiz of iets dergelijks te koppelen aan een verplichte opt-in voor een nieuwsbrief?

Het is een populaire manier van nieuwsbriefbuilding: bied een ebook of factsheet of andere interessante download aan, maar alleen nadat men het e-mailadres heeft ingevuld zodat daar de nieuwsbrief heengestuurd kan worden. (Zelfs mijn kantoor doet het.) Ook bij allerlei quizzen en tests zie je dit veel: vul je e-mailadres in om de resultaten te ontvangen, en dan krijg je meteen ook de nieuwsbrief.

Mag het straks nog? Toestemming onder de GDPR moet namelijk in vrijwilligheid worden gegeven, en zeggen “geef toestemming of anders geen ebook voor jou” klinkt niet als heel vrijwillig.

Expliciet uitgesloten is het niet. Het dichtst bij komt artikel 7.4 over toestemming:

Bij de beoordeling van de vraag of de toestemming vrijelijk kan worden gegeven, wordt onder meer ten sterkste rekening gehouden met de vraag of voor de uitvoering van een overeenkomst, met inbegrip van een dienstenovereenkomst, toestemming vereist is voor een verwerking van persoonsgegevens die niet noodzakelijk is voor de uitvoering van die overeenkomst.

Dit artikel verbiedt het dus niet, maar zegt wel “dit weegt zwáár mee bij de bepaling of het vrijwillig is”.

Bij de overeenkomst tot deelname aan een quiz of tot schenking van een ebook is het niet echt noodzakelijk ook de nieuwsbrief te ontvangen. De daarvoor geëiste toestemming valt dus onder artikel 7.4 en is dus verdacht. Je zou dan moeten zeggen, zó belangrijk is zo’n ebook of quiz nou ook weer niet, dus what’s the harm, zeker omdat je de nieuwsbrief op ieder moment weer kunt opzeggen. Dan zou uit die beoordeling toch komen dat de toestemming vrijwillig is gegeven.

Soms wordt wel verdedigd dat je zo’n nieuwsbrief mag sturen omdat de quizdeelnemer of ebookaanvrager een dienst bij je afneemt, en klanten mag je mailen zonder toestemming. Dat klopt in principe, maar “klant” is wel beperkt tot iemand die een betaalde dienst (of product) afneemt. Bij een gratis dienst is het dus überhaupt niet mogelijk je te beroepen op dit recht. Bovendien moet er voor of bij het doen van de bestelling een opt-out worden geboden, dus dat pakt ook onhandig uit: mensen kunnen dan meteen zeggen “laat maar die nieuwsbrief” en vervolgens alsnog het ebook of de quiz afnemen.

Arnoud

Amerikaanse zedendelinquent heeft recht op sociale media

Geplaatst op in Regulering, Uitingsvrijheid, 1 reacties

De Amerikaanse staat North Carolina mag mensen die zijn veroordeeld wegens een zedendelict niet verbannen van de sociale media zoals Facebook. Dat meldde Nu.nl vorige week. De verbanwet is in strijd met de free speech-artikelen uit de Amerikaanse Grondwet, waaronder (net als bij ons) ook het recht valt om kennis te nemen van informatie. Een categorisch socialmediaverbod -ook indien beperkt tot social media waar kinderen komen- is dan ook in strijd met dat grondrecht.

De betreffende wet was aangenomen in de Amerikaanse staat in 2008, met als doel kinderen te beschermen tegen sex offenders die immers via social media gemakkelijk contact zouden kunnen leggen. Letterlijk luidt het verbod:

It is unlawful for a sex offender who is registered in accordance with Article 27A of Chapter 14 of the General Statutes to access a commercial social networking Web site where the sex offender knows that the site permits minor children to become members or to create or maintain personal Web pages on the commercial social networking Web site.

Daar is weinig juridisch aan: als een social media site (“Facilitates the social introduction between two or more persons for the purposes of friendship, meeting other persons, or information exchanges”) minderjarigen toelaat, dan mag je er niet komen. Gewoon nooit niet, ongeacht of je in de buurt komt van die minderjarigen of alleen maar -zoals de eiser in deze zaak- op je Facebook roept dat je blij bent dat je verkeersboete wordt kwijtgescholden.

Maar dat gaat dus zomaar niet, dat is véél te lomp en ongenuanceerd omdat we het hier hebben over een zeer belangrijke bron van kennis, informatie en uitwisseling van gedachten. Het Supreme Court formuleert het zo in haar beslissing de wet ongeldig te verklaren:

Social media allows users to gain access to information and communicate with one another about it on any subject that might come to mind… By prohibiting sex offenders from using those websites, North Carolina with one broad stroke bars access to what, for many, are the principal sources for knowing current events, checking ads for employment, speaking and listening in the modern public square, and otherwise exploring the vast realms of human thought and knowledge. These websites can provide perhaps the most powerful mechanisms available to a private citizen to make his or her voice heard.

Mooie grote woorden altijd in zo’n arrest, maar er zit natuurlijk wel wat in. En het algemene principe erachter -je kunt niet zomaar iemand toegang tot een belangrijke informatiebron ontzeggen- geldt ook bij ons. Een wet in Nederland van diezelfde strekking zou zonder twijfel in strijd zijn met artikel 10 EVRM, de informatievrijheid.

Een socialmediaverbod kán wel, maar moet dan op de persoon toegesneden zijn. Een voorbeeld is deze zaak uit 2013, waarin een meneer op straffe van dwangsommen werd verboden nog socialmediaprofielen aan te maken, omdat hij maar bleef doorgaan met zijn ex-partner zwart te maken en te belagen met allerhande teksten. Eerdere contactverboden en dergelijke hadden geen effect. En ja, dat was dus een buitengewoon grof middel dat hier werd ingezet maar meneer had het er kennelijk naar gemaakt.

Arnoud

Smartphones op school: streng verboden?

Geplaatst op in Informatiemaatschappij, 69 reacties

Veel scholen worstelen met telefoons in de klas, las ik in NRC onlangs. Met onder meer diverse scholen met smartphoneverboden, en eentje die als ultieme sanctie een week de telefoon kan afpakken. Ondertussen krijg ik regelmatig mails van ouders (én leerlingen) die zo’n telefooninbeslagname willen aanvechten en hoe dat juridisch zit. Dus ja, hoe zit dat juridisch?

Het grote probleem vanuit juridisch perspectief is eigenlijk dat er nauwelijks iets geregeld is op dit gebied. De wet houdt het bij het vereiste dat er een reglement moet zijn de rechten en plichten van de leerlingen vastgelegd worden (art. 24g Wet voortgezet onderwijs) en dat daarin moet staan hoe handhaving van de goede gang van zaken binnen de instelling in zijn werk gaat.

In principe is een school vrij in hoe ze haar regels wil inrichten en hoe streng ze wil zijn met sancties. Veel meer dan dat een en ander redelijk en proportioneel moet zijn, eist de wet daar niet bij. Dus als een school zegt, de telefoon gaat uit als je het pand betreedt en mag pas weer aan als je de deur weer uit bent, dan is dat in principe legaal. Zeker omdat er -zie het NRC artikel- genoeg onderzoek is dat laat zien dat smartphones lessen en samenwerking op school kunnen verstoren.

Zou het mogen, wat ik verderop las: “De uiterste sanctie is dat de telefoon een nacht op school moet blijven”. Die betwijfel ik, dat die legaal is. Ik kan geen enkel redelijk argument bedenken waarom zo’n belangrijk en duur bezit van de leerling een nacht op school moet blijven (zelfs als het in een kluis is).

Maar het is lastig dit echt te onderbouwen, zeker als je in zware juridische termen als verduistering gaat gebruiken. Een school mag immers ook leerlingen verplichten het schoolplein op te ruimen (dwangarbeid, slavernijverbod), strafregels te schrijven (ook dwang) of zelfs na te blijven (vrijheidsberoving). Als dat mag, waarom zou tijdelijk inhouden van een telefoon niet mogen?

Of is een smartphone écht iets unieks en nieuws? Daar valt wat voor te zeggen, je doet er vandaag de dag zowat alles mee, van bankzaken tot communicatie met iedereen, het kopen van wat je nodig hebt en ga zo maar door. Dat middel dan afpakken zou dan eerder equivalent zijn aan de persoon zelf een nacht op school in sluiten, en dat is vrij evident onrechtmatig.

Arnoud

Ministers stelt ontwikkelaars aansprakelijk voor softwarefouten

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 23 reacties

Demissionair staatssecretaris Klaas Dijkhoff heeft in een Kamerbrief gezegd zegt dat softwareontwikkelaars op verschillende manieren aansprakelijk zijn voor schade die als gevolg van hun product ontstaat. Dat las ik bij Tweakers. Juridisch gezien zegt hij weinig nieuws; de regels over conformiteit bij producten bevatten immers geen uitzondering voor de software-delen van producten. Nieuw is wel de expliciete opmerking dat er ook aansprakelijkheid bestaat “als de software niet voldoet aan de veiligheid die is overeengekomen of die de afnemer redelijkerwijs mocht verwachten.” Hoi hoi, ontwikkelaars aansprakelijk voor security bugs?

In de brief presenteert de staatssecretaris het Cybersecuritybeeld Nederland 2017. De omgang met security bugs en security updates is daarbij een belangrijk aandachtspunt.

De Kamer wilde specifiek weten hoe het zat met aansprakelijkheid voor ontwikkelaars of verkopers van onveilige producten. Ik roep al jaren dat het tijd wordt om productsecurity in de wet te zetten, maar uit deze brief blijkt dat ik achterloop: dat staat al jaren gewoon in de wet. Producten mogen immers geen gebrekkige veiligheid hebben, anders is de leverancier of producent daarvoor aansprakelijk (art. 6:185 BW).

Laat ik nu altijd gedacht hebben dat dat gaat over fysieke veiligheid, ontploffingen en vergiftigingen en zo. Maar dat ziet de staatssecretaris dus anders:

De producent is kort gezegd aansprakelijk voor een productie-, informatie- of ontwerpgebrek, waardoor de software niet de veiligheid biedt die ervan mag worden verwacht. Hij kan zich wel verweren tegen aansprakelijkheid, bijvoorbeeld door te stellen dat het op grond van de stand van de technische kennis op het tijdstip waarop hij de software leverde, onmogelijk was het bestaan van het veiligheidsgebrek te kennen.

In de comments bij Tweakers kwam nog de issue langs dat je hiermee ook aansprakelijk bent voor eventuele bugs in open source in je product. Dat klopt, maar is een feature en geen bug. Het doet er immers niet toe van wie jij je onderdelen betrekt. Als jij een product op de consumentenmarkt brengt, dan moet het veilig zijn, punt. Je regelt het maar met je leveranciers.

En ja ik weet dat open source licenties allemaal zeggen “wij zijn niet aansprakelijk” en dat is legaal in leverancier-afnemer relaties (dus met de producent van zo’n apparaat). Maar dat betekent alleen dat die producent een risico neemt door met open source te werken.

Dus goed nieuws wat mij betreft; nu wel doorpakken en daadwerkelijk de ACM laten optreden tegen brakke Internet Der Dingen-apparaatjes.

Arnoud