Geldt de meldplicht datalekken ook voor defaced websites?

Geplaatst op in Ondernemingsvrijheid, Privacy, 12 reacties

Tweakersgebruikers melden maandag defacement van verschillende websites, waarbij de site zelf is vervangen door een boodschap die afkomstig lijkt te zijn van een Turkse groepering. Dat las ik op Tweakers gisteren. Of er een link is met de gebeurtenissen rond de Turkse minister van Familiezaken Kaya, is onduidelijk. Maar diverse lezers vroegen me wel: moet je dit nu melden aan de klant, valt dit onder de meldplicht datalekken?

De meldplicht datalekken geldt voor alle datalekken waarbij persoonsgegevens zijn betrokken. Een datalek is een inbreuk op de beveiliging van persoonsgegevens waardoor deze kunnen worden misbruikt, of gebruikt op een manier die niet toegestaan is. Doet zo’n datalek zich voor, dan moet dat in principe worden gemeld bij de toezichthouder (tenzij de impact minimaal is) en vaak ook bij de betrokkenen (tenzij de data encrypted was of de impact wederom minimaal is). Dit geldt nu onder de Wbp, en vanaf volgend jaar ook onder de Privacyverordening.

Voor andere data of andere soorten misbruik van persoonsgegevens geldt de meldplicht niet. Mijn standaardvoorbeeld is de hack bij een accountant waarbij de nog geheime jaarcijfers van een bv of nv worden gestolen: heel vervelend maar géén datalek in de zin van de wet en dus ook niet meldingsplichtig.

Bij een defacement worden pagina’s vervangen door andere teksten en/of afbeeldingen, in dit geval dan met een politieke strekking. Ik vraag me af of daarbij persoonsgegevens worden geraakt. Het kan natuurlijk altijd, maar het ligt voor mij niet voor de hand dat iemand die inbreekt om een tekst/afbeelding ergens neer te kwakken, ook persoonsgegevens van gebruikers kopieert of zelfs maar die langs ziet komen. Dus ik zou dit niet direct als datalek aanmerken.

Het is natuurlijk wel zo netjes om dit als bedrijf te melden aan je klant. Ik zou zelf vinden dat je dit verplicht bent vanuit je zorgplicht als goed opdrachtnemer. En vaak staat het ook in de algemene voorwaarden: bij gebleken misbruik of inbraken zal de hoster de klant informeren over genomen maatregelen, daaruit volgt dan ook een plicht tot melden dat een defacement heeft plaatsgevonden. Maar een datalek is het niet.

Arnoud

Mag Blizzard spelers verbannen omdat ze betaald elkaar helpen?

Geplaatst op in Informatiemaatschappij, 18 reacties

Blizzard heeft spelers uit World of Warcraft verbannen, omdat ze in ruil voor geld andere spelers hielpen. Dat las ik bij Nu.nl. Veel van de verbannen spelers waren onderdeel van hooggeplaatste gildes binnen het spel. Ze hielpen andere spelers met het afronden van moeilijke opdrachten om zo beter te worden, en lieten zich buiten het spel om betalen met echt geld. Dat is tegen de spelregels, aldus Blizzard. Maar is dat juridisch echt zo makkelijk?

In principe natuurlijk wel. Een spelorganisatie mag spelregels stellen, want het is uiteindelijk hun spel. Die spelregels zijn er om het spel aantrekkelijk te maken, om valsspelen te kunnen bestraffen en een level playing field te creëren voor iedereen die mee wil doen.

Je hebt veel ruimte daarin als organisatie. Dat je zegt, geen dubbele accounts om met twee personages tegelijk te spelen: prima. Of: wie level X heeft, mag niet op terrein Y komen, ook prima. Of: campen of schelden leidt tot een weekje een ban. Dat soort dingen maakt het oneerlijk of verpest de sfeer.

Hier gaat het alleen niet echt om regels over hoe het spel moet worden gespeeld. Deze regel is puur bedoeld om te voorkomen dat mensen geld verdienen (echt geld dan, niet het door Blizzard zelf gecreëerde virtuele goud) door op een handige manier te spelen. En dat doet wat raar aan.

Natuurlijk, uit het verleden blijkt dat men vaker optreedt tegen real-money-transactions, zoals dat heet. Zo is het al jarenlang een probleem om je account voor geld te verkopen, of om dure spullen voor echt geld door te verhandelen. Dat is een hele economie ondertussen, maar het is tegen de spelregels en Blizzard treedt daar ook wel tegen op. Dat kan ik ergens nog begrijpen: je moet die spullen of dat account zien te veroveren in dat spel, en die hobbel vermijd je nu. Dat stuit tegen mijn eerlijkheidsgevoel.

Maar wat is hier het probleem? Spelers die elkaar helpen, dat is niet verboden. Dan zou je ook geen tutorial of handboek “Hoe win ik in WoW” meer mogen uitbrengen, toch? Bovendien stelt men expliciet dat het wél toegestaan is om anderen te helpen in ruil voor het in-game goud.

Dus het bezwaar is niet dat je elkaar helpt, het zit hem dus in het rijk worden buiten Blizzard om. Dat vind ik wat lastiger te verdedigen. Welke legitieme reden is er daar tegen? Natuurlijk, men wil vast zelf geld verdienen (bv. door een officiële wisselkoers van goud naar echt geld) aan dit soort praktijken, maar dat kan ik moeilijk legitiem noemen. Dus ik twijfel of men daarmee weg zou komen als het tot een rechtszaak zou komen.

Arnoud

Zijn scrabbleclaims in het auteursrecht legaal verklaard door het Hof van Justitie?

Geplaatst op in Intellectuele rechten, 18 reacties

Een lezer vroeg me:

Ik las over een uitspraak van het Europese Hofdie zegt dat een schadeverdubbelaar bij auteursrechtinbreuk kan en mag als de nationale wetgeving dat toelaat. Betekent dit dat die praktijk van 200% of 300% opslag bij schadeclaims nu legaal is verklaard?

De vaste lezer van deze blog weet dat ik altijd héél diep moet zuchten bij wat ik scrabbleclaims noem: bij inbreuk op auteursrechten niet alleen je gemiste licentievergoeding eisen, maar 2x of 3x dat bedrag. Redenen variëren dan van “dat staat in mijn algemene voorwaarden” tot “anders is inbreuk te voordelig” of “dit blijkt uit de rechtspraak”. Dat laatste is niet waar, overigens.

In Nederland is de regel simpel: je krijgt bij een inbreuk op je rechten je schade vergoed, niet meer en niet minder. Als je denkt dat je meer schade hebt dan je gemiste licentievergoeding, prima: bewijs het maar. Daar komen schadeposten als gederfde exclusiviteit of ontbrekende naamsvermelding vandaan, en hoewel ik daar een 100% verhoging op de gewone vergoeding nogal stevig vind, is dat in principe legaal.

Dat kun je natuurlijk als wetgever anders regelen, en dat is in Polen ook gebeurd zo lees ik in dat arrest. In Polen mag je wettelijk als rechthebbende 200% of 300% van de normale vergoeding vragen als de inbreuk ‘verwijtbaar’ is. Het Hof van Justitie kreeg de vraag voorgelegd of die wet wel mag onder het Europese auteursrecht, dat immers alleen stelt dat je recht hebt op vergoeding van schade (en winstafdracht). Het antwoord: ja hoor, als je als land hierin verder wil gaan dan Europa, dan is dat prima. Zet het even in de wet en klaar ben je.

De achterliggende rechtvaardiging is dat deze verhoging dan tevens de kosten voor opsporing en bestrijding van inbreuk met zich meebrengt. Bij ons is dat ooit meegenomen door het Gerechtshof Arnhem, en die vonden 25% in plaats van 100% een prima verhoging voor dat doel. Dat arrest is bij ons de leidende rechtspraak, maar de wetgever mag natuurlijk tegen de rechtspraak ingaan als ze vinden dat het anders zal moeten. Ik zie het alleen niet snel gebeuren.

Arnoud

Mag je geen open source meer op Github zetten?

Geplaatst op in Intellectuele rechten, 10 reacties

Paniek in de tent: softwarehostingsite Github heeft nieuwe voorwaarden, en die botsen met veel open licenties. Dat las ik op diverse plekken. Je moet ze een brede licentie geven en afstand doen van je persoonlijkheidsrechten, en dat kan nu eenmaal niet als je open source daar neerzet. Maar volgens mij valt dat wel mee.

De pijn zou zitten in sectie D, over eigendomsrechten. Allereerst de licentie die je moet verlenen:

If you set your pages and repositories to be viewed publicly, you grant each User of GitHub a nonexclusive, worldwide license to access your Content through the GitHub Service, and to use, display and perform your Content, and to reproduce your Content solely on GitHub as permitted through GitHub’s functionality. You may grant further rights if you adopt a license.

In gewone taal: wij als Github mogen jouw content (inclusief eventuele werken van derden daarin) gebruiken en verspreiden op onze dienst, en alle gebruikers mogen dat ook. Dit is typisch juridisch moeilijk doen: oh jee, straks zegt iemand dat wij een kopie maken van zijn software omdat hij die bij ons host, laten we maar even zeggen dat hij ons een licentie moet geven.

Maar belangrijker, ik zie er geen tegenspraak in met de opensourcelicentie die je op je werk plakt. Mensen moeten met de Github functionaliteit kunnen doen wat die functionaliteit doet. En met open source mag je alles: kopiëren, aan derden geven, importeren in je eigen project en ga zo maar door. Het is de distributie naar anderen toe waarop de voorwaarden geschreven zijn, en die anderen moeten dus gewoon zorgen dat ze de voorwaarden nakomen.

Dan de morele rechten: daar moet je inderdaad afstand van doen, iets dat van de Auteurswet mag (behalve het recht van verminking, maar hoe dat moet uitpakken bij software weet werkelijk niemand). Dat botst dan met licenties die naamsvermelding eisen, en dat is 99% van de opensourcelicenties. Maar ik zie ook dat niet als een probleem:

To the extent such an agreement is not enforceable by applicable law, you grant GitHub a nonexclusive, revocable, worldwide, royalty-free right to (1) use the Content without attribution strictly as necessary to render the Website and provide the Service; and (2) make reasonable adaptations of the Content as provided in this Section. We need these rights to allow basic functions like search to work.

Github wil met name voorkomen dat elke zoekopdracht moet zeggen “met code van Jan, Piet en Klaas”. Iets dat iedere rechter volkomen redelijk zal vinden. Zeker omdat je meteen wordt doorverwezen naar de resultaten, waar de naam van de programmeurs wel gewoon bij staat. Ik vraag me zelfs af of Github uberhaupt een licentie nodig heeft om zoekresultaten te mogen tonen, dat zie ik gewoon als citaatrecht.

Alles bij elkaar lijkt dit me dus een storm in een glas water, hoewel ik wel toegeef dat dit iets handiger had kunnen worden opgeschreven.

Arnoud

Nee, de Rijdende Rechter heeft het écht fout met dat auteursrechtvonnis

Geplaatst op in Intellectuele rechten, 103 reacties

Eergisteren bij de Rijdende Rechter: een auteursrechtenkwestie, “Wat een bevalling“. Een doula plaatst op haar site een foto van een beschuit met muisjes, gevonden op een gratisfotosite. Enige tijd later krijgt ze een sommatie van het Belgische Permission Machine (“the Graphic Detective”), gevolgd door een sommatie van 820 euro wegens auteursrechtinbreuk. Wat zal het oordeel zijn van Mr. Reid?

De zaak zelf is een standaardverhaal. Een kleine ondernemer zoekt een plaatje bij haar site, vindt die op een kennelijk gratis site en/of denkt niet na over auteursrechten, en krijgt na enige tijd een forse factuur van een fotograaf of een foto-incassobureau met een rare naam. In dit geval de Permission Machine uit Brussel.

Wie een auteursrecht schendt, moet de schade vergoeden. Dat is voor iedere jurist een axioma, en dat de maatschappij ondertussen heel anders denkt over auteursrecht of plaatjes op internet, dat doet er niet toe. Het is dan ook niet gek dat Rijdende Rechter Mr. Reid, John Reid, concludeert dat er gewoon sprake is van inbreuk op dat auteursrecht.

Vervolgens het altijd heikele punt: de schadevergoeding. Menig rechthebbende grijpt zo’n geval aan om eens lekker uit te pakken: eindelijk eens zo’n kwajongen te pakken die in mijn tuin voetbalt, daar zullen we eens een voorbeeld van maken. Daarom komen foto’s van €45 routinematig boven de 500 euro schadeclaim. Ik snap die ergernis maar blijf erbij dat het juridisch niet klopt.

Een voorbeeld stellen, dat doen we niet in het Nederlands schadevergoedingsrecht. Behalve dan in het auteursrecht, want dat kent zijn eigen regels lijkt het wel. Ook Mr. Reid gaat hierin mee. De hoofdregel van de Hoge Raad is dat de schade bij inbreuk op een IE-recht gelijk is aan de normaal te betalen vergoeding. Immers, dat is wat je had gehad als er wél een licentie was gekocht, en het verschil tussen hoe het is en hoe het had moeten zijn bepaalt wat de schade is.

Maar dan komt ‘ie:

Als slechts de misgelopen licentievergoeding als schade zou worden toegewezen, zou schending van het auteursrecht voor de dader een “niet-geschoten-is-altijd-mis” kwestie worden.

Daar zit natuurlijk wat in. Je kunt een foto overnemen zonder te vragen, en als de rechthebbende zich meldt dan zeg je sorry en betaal je zijn normale vergoeding. En stel dat slechts 10% van de rechthebbenden zich meldt, dan heb je dus flinke winst als inbreukmaker. Dat stuit rechters natuurlijk tegen de borst.

Het punt is alleen: dit noemen juristen ‘generale preventie’, oftewel afschrikken door een stevige boete op te leggen. Maar dat is een principe uit het strafrecht. Boetes zijn eenvoudigweg geen schade en het schadevergoedingsrecht is niet bedoeld om mensen af te schrikken. Het is bedoeld om schade te vergoeden, de situatie te brengen naar waar hij had moeten zijn.

De ergernis over dit punt bracht me twee keer ertoe om onderzoek te doen. En daaruit blijkt dat het tégen de jurisprudentie is om zo’n 200% verhoging op te leggen met als motivatie dat je mensen moet afschrikken. Wat wel mag, is een extra vergoeding voor overlast, voor gemaakte kosten of voor ontbrekende naamsvermelding. Erg jammer dat dát niet meegenomen is in het bindend advies.

Arnoud

‘Europa vormt obstakel voor verbeteren veiligheid internet-of-things’

Geplaatst op in Ondernemingsvrijheid, 31 reacties

D66-kamerlid Kees Verhoeven vindt dat de EU veel te traag is met het maken van regels voor de veiligheid van internet-of-things-apparaten, las ik Bij Tweakers. Hierdoor zouden we dan zwaar achter de feiten aanlopen wat betreft toezicht op de veiligheid van iot-apparaten. Hear, hear. Want die dingen zijn zo ongeveer al in de doos gehackt en leveren anderen gigantische schade op. Maar omdat de wetgeving niets zegt over ICT-security, komen leveranciers en winkels ermee weg. Alleen: wat gaan we er aan doen?

Het blijft om te huilen, die brakke beveiliging van internet-enabled apparaten zoals camera’s, videorecorders, televisies, thermostaten en ga zo maar door. Slechts weinig fabrikanten leveren updates bij zulke apparaten, en vaak is het apparaat uit de doos zó achterhaald dat het binnen een kwartiertje gehackt is en als botnet-zombie kan worden gehuurd door wie maar een paar cent beschikbaar heeft.

Ik vind dat van de zotte. Je kunt van gewone consumenten niet verwachten dat ze hier wat tegen doen, al is het maar omdat zulke apparaten zelden te updaten zijn. Terwijl de fabrikant op zich prima een goed niveau van veiligheid kan inbouwen. De reden om het niet te doen, is eigenlijk heel simpel: dat kost geld en het levert niets extra’s op bij de klant. En dat is waarom we wetgeving nodig hebben.

Je kunt twee dingen doen. De gebruikelijke juridische manier is een open norm: een product moet adequate productsecurity hebben, anders boete. Het voordeel daarvan is dat je dan als fabrikant zelf kunt invullen wat je gaat doen (met een motivatie waarom dat “adequaat” is), en dat je ook bij veranderingen in de technologie nog steeds een maatstaf hebt. Nadeel is wel, als je geen fatsoenlijke invulling kunt geven dan heb je een groot risico, want op overtreding van die norm staat een boete. “Pas op of je moet een miljoen betalen”, wat moet je daarmee als bedrijf.

Een andere manier is dat je als wetgever concrete normen gaat stellen. Ik weet niet of die er zijn voor ICT-security bij iot-apparaten, wat gelijk al een stevige hobbel zou zijn. Maar zelfs als ze er zijn, dan moet je dus als wetgever elke maand je regels bijstellen omdat er weer iets nieuws bedacht is. En tot die tijd mogen bedrijven niet verder in een nieuwe richting. Dat geeft wel zekerheid, maar echt werkbaar voor de toekomst lijkt het me niet.

Ik denk dat ik zelf tóch voor open normen ben, gekoppeld aan de plicht voor de toezichthouder om richtsnoeren te maken en uitspraken te doen over best practices in de markt: als je dit doet, dan vinden we het prima. De praktijk laat alleen zien dat toezichthouders dat maar in beperkte mate doen. Voor een deel omdat er gewoon nog best weinig is bij ict-innovaties om een duidelijk richtsnoer voor te maken, en voor een deel omdat bedrijven gelijk het richtsnoer als algemeen geldende wettelijke regel opvatten: je zei op pagina 13 dat een sms-bericht geen algemene voorwaarden hoefde te bevatten, dus hoeft mijn app dat ook niet. Hoe dat op te lossen, daar ben ik nog niet over uit. Maar dat er iets moet gebeuren en snel ook, dat staat vast.

Arnoud

Mag je een meta-plaatje kopiëren?

Geplaatst op in Intellectuele rechten, 16 reacties

Een lezer vroeg me:

Steeds meer sites maken gebruik van het Open Graph-protocol van Facebook. Hiermee geef je met metadata aan wat je titel, snippet en belangrijkste afbeelding is, zodat Facebook er een mooie preview van kan maken. Daar kan ook een plaatje in dus, maar wat heeft dat voor auteursrechtelijke consequenties?

Op zich is de gebruikte manier van metadata noteren niet heel relevant. Onder de Auteurswet is er maar één belangrijke vraag, wordt de afbeelding gekopieerd door de partij die de preview toont, of embedt hij de afbeelding? Embedden is legaal, en kopiëren vereist toestemming. Van de fotograaf (rechthebbende) wel te verstaan, en de site die de afbeelding publiceert heeft lang niet altijd de bevoegdheid om die toestemming te geven.

Het gebruik van een verkleinde afbeelding in een preview kan legaal zijn als citaat. Je zegt dan in feite, ik wil aankondigen wat er op deze pagina te vinden is en ik doe dat met handig aangereikte informatie in plaats van zelf te gokken wat belangrijk is. Zo’n aankondiging valt onder het citaatrecht en vereist dan geen toestemming.

Lang niet alle fotografen zien het op deze manier. Een aankondiging van wat er op een webpagina staat, is nog geen citaat van de foto die er bij staat, is dan het argument. Daarom raad ik altijd aan om dat plaatje te embedden in plaats van over te nemen. (Een bijkomend voordeel is dat het plaatje dan niet in je media-bibliotheek terecht komt en ineens bij andere berichten gebruikt wordt, wat écht tot claims kan leiden.)

Ik denk dat een aankondiging met een kleine thumbnail van de bronsite wel legaal is. Het standaardvoorbeeld van een beeldcitaat is het tonen van de cover van een boek bij de bespreking van dat boek. De cover is inhoudelijk niet erg relevant voor de inhoud, maar helpt wel bij herkenning en beslissen of je geïnteresseerd bent. Dat is dan legaal. Maar de thumbnail mag niet de overhand krijgen ten opzichte van de tekst, dan is sprake van versiering en dat is geen citaat meer.

Algemeen zou dus het advies altijd zijn, embedden of linken in plaats van overnemen. Moet je nou perse overnemen (en ik zou niet weten waarom), zorg er dan voor dat je alleen een zo klein mogelijke thumbnail toont en dat je die niet later ook voor andere doelen zou kunnen gebruiken.

Arnoud

Is een tracker in je e-mail legaal?

Geplaatst op in Privacy, 57 reacties

Een lezer vroeg me:

Ik krijg de afgelopen tijd veel emails met een zogenaamde email tracker. Dit houdt in dat de verstuurder precies kan zien door wie en wanneer zijn email wordt geopend. Dit is een redelijk beangstigend gevoel omdat ik niet weet wat er allemaal wordt bijgehouden door de verzender. Mag dat zomaar?

Email trackers zijn op zich niet nieuw, maar ze stijgen snel in de belangstelling. En nee, ze zijn niet legaal.

Het basisidee van e-mailtracking is dat je iets opneemt in het mailbericht dat je op afstand kunt uitlezen. Een bekend voorbeeld is een doorzichtige pixel opnemen die op een externe website staat. Als die pixel wordt opgehaald, dan moet dat wel zijn omdat de ontvanger het mailbericht ging lezen en zijn mailprogramma die afbeelding meende nodig te hebben.

Steeds meer maildiensten werken met HTML, en je kunt dan zo ongeveer een complete webpagina met alles erop en eraan opnemen. Inclusief tracking scripts, cookies of wat je maar wil. Zo kun je dan bijvoorbeeld uitlezen wat voor mailprogramma iemand gebruikt, hoe lang hij de mail leest, of hij op links klikt en ga zo maar door.

Dit is dus waar de cookiewet tegen bedoeld is. E-mailtrackers vallen onder het wettelijke begrip “gegevens opslaan of uitlezen” van andermans computer of telefoon. Of je dat nu doet vanuit een website of via een mail doet er niet toe. Zodra je gegevens wilt opslaan of juist wilt ophalen van iemands computer, zegt de cookiewet dat er toestemming voor nodig is.

Op een website is dat simpel, althans in theorie: een popupscherm of kadertje waarin wordt uitgelegd wat cookies zijn, en een knop om wel/geen toestemming. In de mail is dat veel lastiger, want volgens mij kunnen mailprogramma’s niet zomaar die dingen laten zien. Dit nog afgezien van dat daar de cookies en tracking scripts al worden gezet voordat je op ‘ja’ zou kunnen klikken, wat sowieso niet mag van de cookiewet. Dus nee, die dingen zijn niet legaal.

Arnoud

Mag je gekraakte wachtwoorden of hashes in je bezit hebben?

Geplaatst op in Regulering, Security, 16 reacties

Een lezer vroeg me:

Er zijn veel dumps van gehackte wachtwoorddatabases (b.v. LinkedIn) beschikbaar op internet. Is het strafbaar om (1) deze in je bezit te hebben (2) hashes in zo’n dump te kraken en (3) gekraakte wachtwoorden publiek te maken in b.v. presentaties of publicaties?

Het is op dit moment algemeen niet strafbaar om in het bezit te zijn van gegevens die door misdrijf zijn verkregen. Bezitten van dergelijke waar noemen we ‘heling’ maar dat geldt alleen bij fysieke goederen, niet bij informatie. Heb je bijvoorbeeld een foto of een PDF met jaarcijfers in je bezit die iemand anders heeft gedownload na een computervredebreuk, dan ben jij niet strafbaar.

Specifiek voor wachtwoorden is dat anders: het is strafbaar om een computerwachtwoord, toegangscode of daarmee vergelijkbaar gegeven waardoor toegang kan worden gekregen tot een geautomatiseerd werk of een deel daarvan te hebben (of te verkopen of te verspreiden, et cetera). Zie artikel 139d lid 2 Strafrecht. Dus hebben en publiceren daarvan is strafbaar.

Ik denk dat dit artikel ook gaat over hashes. Hoewel dat strikt gesproken geen wachtwoorden zijn (je kunt er niet mee inloggen) is het meestal wel mogelijk om die wachtwoorden terug te halen, en daarom zou ik ze “daarmee vergelijkbaar” noemen. Een hash die goed gesalt is en daarmee niet terug te rekenen is, zou een uitzondering zijn.

Er ligt een wetsvoorstel bij de Eerste Kamer om de strafwet te wijzigen

zodanig dat het strafbaar wordt om niet-openbare gegevens voorhanden te hebben als die door misdrijf verkregen zijn en jij dat wist of had moeten weten.

Daarmee zou dus ook het bezit van die PDF met jaarcijfers ineens strafbaar zijn (een jaar cel). Er is een uitzondering (lid 2) voor handelen in het algemeen belang, zoals bij journalisten die met gestolen bronmateriaal een grote misstand aan de kaak willen stellen.

Arnoud

Ben je als werknemer aansprakelijk bij CEO fraude?

Geplaatst op in Ondernemingsvrijheid, 5 reacties

Een lezer vroeg me:

Een relatief nieuw concept in de cybercrime is CEO fraud. Hierbij doen criminelen of zij een hooggeplaatste manager of bestuurder (bijvoorbeeld de CEO, CFO, Group Executive of directeur van je bedrijf) zijn. Ze geven een ondergeschikte dan opdracht om geld over te maken. Stel dat je daarin meegaat, ben je dan persoonlijk aansprakelijk?

CEO fraud is voor mij een speciale vorm van social engineering. De truc is feitelijk niet meer dan een vervalste mail, een neptelefoontje of iets dergelijks die afkomstig lijkt van de CEO. Je krijgt dan een werkinstructie: maak even een zak geld over naar dit en dit rekeningnummer.

De truc is natuurlijk dat veel mensen blij verrast zijn dat de baas hén uitzoekt om zoiets belangrijks te doen. Want natuurlijk gaat het dan om een geheim project, ben jij uitgekozen om dit te gaan leiden als je dit even snel doet, en ga zo maar door. Een effectieve vorm van social engineering. Of, zo je wilt, acquisitiefraude.

Normaal heeft een bedrijf procedures voor betalingen, zoals een goedkeuring door de afdeling Finance of een handtekening van een aantal verantwoordelijken. Maar de truc is hier natuurlijk dat dit vanwege de spoed en het belang even niet kan, en dat je dan denkt, dan doe ik het even, ik zal eens laten zien hoe daadkrachtig ik ben.

Maar goed, dan komt uit dat dit helemaal niet de directeur was. Ben je dan aansprakelijk?

Waarschijnlijk niet. Een werknemer is alleen aansprakelijk naar zijn werkgever toe als sprake is van opzet of bewuste roekeloosheid, en dat is een héle hoge lat. Gewone fouten vallen er zeer zeker niet onder. De schade van zulke fouten moet de werkgever gewoon zelf dragen.

Omdat de hele truc hier gericht is op een overtuigende indruk wekken dat hier de CEO spreekt, denk ik niet dat je snel kunt spreken van bewuste roekeloosheid. Dan moet het wel een héle neppe mail zijn geweest, waarvan iedereen meteen zou zien dat die niet echt van de CEO is.

Dat er een verbod is ingesteld op betalen buiten de procedures om, maakt daarbij niet uit. Van verboden mag immers worden afgeweken, zeker als de CEO dat zegt. En als we dus concluderen dat de werknemer redelijkerwijs mocht denken dat dit de CEO was, dan heeft hij terecht afgeweken van het verbod.

Arnoud