Juridische voorspellingen voor 2017 (en terugblik op 2016)

Geplaatst op in Iusmentis, 15 reacties

Op deze eerste (werk-)dag van het nieuwe jaar mijn traditionele slechte voorspellingen, en een terugblik op het afgelopen jaar. Wat voorspelde ik voor 2016?

Goed, en dan nu.. wat staat ons in 2016 te wachten?

  1. Niemand krijgt een boete of aanmaning wegens overtreding van de wet meldplicht datalekken. Klopt, hoewel er bijna 5.500 datalekken zijn gemeld, is er geen enkele boete uitgedeeld. KPN kreeg weliswaar een boete voor haar datalek maar dat was niet onder deze wet (de Wbp) maar een al oudere telecomregeling. Deze is inhoudelijk wel gelijk aan de wet meldplicht datalekken, dus het kan wel. Laten we hopen dat dit een kwestie van trage ambtelijke molens is.
  2. Er komt een nieuwe Safe Harbor-afspraak tussen de EU en de VS. Iedereen voelt op zijn klompen aan dat deze net zo wankel is als de vorige maar het alternatief is helemáál onwerkbaar, dus we doen alsof het een prima afspraak is. Goed, dat was een redelijk makkelijke: het Privacy Shield moest en zou er komen, maar wankel is het. Het is eigenlijk ook fundamenteel onmogelijk om met een bilaterale afspraak iets te regelen dat de NSA buiten spel zet.
  3. Een clouddienstverlener gaat failliet en zijn hoster zet alles offline, daarmee een hele berg klanten duperend. Dit leidt tot een rechtszaak waarin wordt bepaald dat dat volkomen terecht is, omdat data immers niets is. Helaas, niet gezien. Of nou ja helaas, fijn voor de clouddienstverlener natuurlijk (en diens klanten) maar jurisprudentie blijft zo wel achter. Zijdelings relevant: dit vonnis waarin een clouddienst nog een paar weken open moest blijven voor een geschorste klant.
  4. Een werknemer wordt door zijn werkgever verplicht tot afstaan van een werkgerelateerd social media account. Nee, heb ik niet zien gebeuren in 2016.
  5. De gecrowdsourcete: encryptie gaat verboden worden. Is er niet van gekomen, zij het dat de discussie nog steeds in alle hevigheid loopt.

Goed, geen superslecht resultaat dit jaar.

Daarom dit jaar een iets andere insteek: voorspellingen waarvan ik hoop dat ze zouden uitkomen.

  1. Netneutraliteit komt onder druk te staan door bedrijven die de grenzen van de daarover aangenomen Verordening opzoeken. Natuurlijk geïnspireerd door T-Mobile, dat volgens de ACM de grens overtrad. Maar er gaan er meer komen.
  2. Een Europese overheid neemt een wet aan die filteren van ‘ongepast’ internetverkeer verplicht stelt voor ISP’s uit dat land.
  3. Ethisch hacken komt weer in de juridische kijkers, bijvoorbeeld door strengere computercriminaliteitswetgeving die publicatie van hacks aanmerkt als ‘heling’ daarvan.
  4. Een nieuwe flater met ‘slimme’ contracten leidt tot een rechtszaak over hoe ver je mag gaan met computercode als harde neerslag van je afspraak.
  5. En natuurlijk crowdsource ik de laatste.

Arnoud

Fijne feestdagen!

Geplaatst op in Iusmentis, 5 reacties

Iedereen fijne feestdagen en een gelukkig alsmede juridisch correct 2017!

Vanwege mijn vakantie sluit ik deze vrijdag af met een feestelijke autoversiering (De directie aanvaardt geen aansprakelijkheid voor boetes onder de Wegenverkeerswet):

Natuurlijk komen er volgende week diverse jaaroverzichten! Verzoekjes om interessante statistieken zijn welkom.

(Afbeelding: US design patent USD 711,306)

Arnoud

Zijn wij aansprakelijk als onze systeembeheerder alle klantdata wist?

Geplaatst op in Ondernemingsvrijheid, 17 reacties

Een lezer vroeg me:

Wij zijn een klein hostingbedrijf en vroegen ons het volgende af. Stel een van onze systeembeheerders met root toegang besluit op een kwade dag om álle klantdata te wissen, en meteen ook maar de backups. Theoretisch kunnen zij dat, en waarschijnlijk ongemerkt ook. In hoeverre zijn wij dan als bedrijf aansprakelijk naar onze klanten? En is dit te verhalen op die personen in privé?

Een bedrijf is aansprakelijk voor schade die ze hun klanten berokkenen door een slechte uitvoering van hun opdracht. Dat is de definitie van wanprestatie.

Bij een hostingbedrijf lijkt me het kwijt zijn van data een triviaal voorbeeld van wanprestatie, en dus moet die schade worden vergoed. De schadevergoeding zou dan gelijk zijn aan de tijd die het kost om de data te herstellen en de sites weer in de lucht te krijgen, en mogelijk zelfs de gederfde omzet van die klantsites.

Natuurlijk zal een hostingbedrijf in zijn algemene voorwaarden zijn aansprakelijkheid beperken. Dat is in principe redelijk – je mag in zakelijke relaties met je klanten afspreken dat jij maar tot een zeker bedrag aansprakelijk bent voor schade. Dat zou hier dus onder normale omstandigheden het bedrijf kunnen redden.

Of dat hier veel zal helpen, betwijfel ik. Wanneer de schade het gevolg is van opzet of bewuste roekeloosheid, is het eigenlijk niet mogelijk je op je beperking van aansprakelijkheid te beroepen. Dit is in strijd met wat juridisch heet de openbare orde en goede zeden (art. 3:40 BW) en is ook nog eens redelijkerwijs onaanvaardbaar (art. 6:248 lid 2 BW).

Dit is dus écht een heel serieus probleem als het je overkomt. En natuurlijk, je kunt die schade dan verhalen op de systeembeheerder. Hoewel werknemers normaal niet aansprakelijk zijn voor schade die ze bij het werk toebrengen, is ook daar die opzet en bewuste roekeloosheid een uitzondering. Die mag dus worden verhaald. Maar veel zal het niet opleveren, wie heeft er in privé geld genoeg om al dat dataverlies te dekken?

Dit vind ik dus een situatie waarin je niet juridisch moet gaan redderen achteraf maar organisatorisch en technisch preventief maatregelen moet nemen. Zorg dat data niet gewist kán worden door één persoon, maak backups waar alleen een ander bij kan en heb logging en alarmbellen die afgaan als mensen rare dingen doen.

Even nieuwsgierig: meelezende hosters, hoe hebben jullie dit scenario geborgd?

Arnoud

De legaliteit van die “Find my phone” documentaire

Geplaatst op in Regulering, 6 reacties

Een lezer vroeg me:

In het filmpje laat een student nav zijn gestolen iPhone een andere smartphone stelen maar deze keer met spyware erop om een documentaire te maken over de kwestie wie de dief is, maar ook om de privacy aspecten aan de kaak te stellen.

Het filmpje (een slordige 20 minuten) is zeer het bekijken waard, al is het maar om te realiseren wat er zoal kan met zulke apparaten. De documentairemaker voorziet een Android-smartphone van een compleet onverwijderbare spyware-app waarmee hij op afstand de telefoon kan benaderen. Vervolgens laat hij deze met enige moeite stelen (wat nog niet meeviel trouwens) waarna hij vastlegt wat er allemaal gebeurt met de telefoon.

Uitlokking van diefstal? Meh. Volgens de Hoge Raad is dat pas een ding als je iemand brengt “tot andere handelingen dan die waarop zijn opzet reeds tevoren was gericht.” Enkel een waardevol object onbeheerd achterlaten daar waar vaak gestolen wordt, is geen uitlokking. Dus nee, dit is totaal geen issue.

Met de geïnstalleerde spyware kan het toestel precies worden gevolgd, kunnen foto’s en video’s worden gemaakt en kan de microfoon worden uitgeluisterd. Zo kon men bijvoorbeeld ontdekken dat de telefoon een andere simkaart kreeg, en kon vervolgens alles worden geregistreerd dat vervolgens werd gedaan.

In hoeverre mag dat nou, al dat meekijken. Er is geen wet die dit keihard verbiedt (of toestaat), zoals wel vaker in het ICT- of internetrecht moet je een belangenafweging maken. Informatie achterhalen over je eigen telefoon valt onder de informatievrijheid en dat is een grondrecht. Maar de privacy is óók een grondrecht, zelfs tot op zekere hoogte voor de dader van een misdrijf. De schandpaal is immers afgeschaft, heet dat dan onder beschaafde juristen.

Voor mij komt uiteindelijk die afweging in het voordeel van de documentairemaker uit, vooral omdat hij een en ander netjes in beeld brengt en er geen heksenjacht van maakt. Hij maakt een punt – je kunt alles achterhalen als je iemands telefoon beheerst – en is er niet op uit die dader als persoon te beschuldigen of te veroordelen. En het punt wordt mooi in beeld gebracht, met een minimale privacyschending.

En wat nu als de telefoon ondertussen tweedehands is doorverkocht? Dan zit je dus bij een mogelijk onschuldige derde te kijken. Dit is een beetje dezelfde discussie waarom je je eigen gestolen fiets niet terug mag pakken als je die ergens ziet staan. Het komt neer op de vraag hoe groot de kans is dat de huidige houder van dat ding te goeder trouw is, en hoe zwaar je dat belang wilt laten wegen tegen het eigendomsbelang van de bestolen partij. Hier zie ik ook dat niet: de maker laat overtuigend zien dat het echt de dief is die de telefoon verderop gebruikt.

Alles bij elkaar zie ik dus niets strafbaars aan het maken en publiceren van deze documentaire. (En wie aan de Wbp denkt: de belangenafweging uit art. 8 sub f valt uit in het voordeel van de documentairemaker, mede gezien de uitingsvrijheid die als legitiem belang heeft te gelden.)

Het zou anders worden als iemand het zou houden bij een data-dump an sich, of de data gebruikt om de dader te lokaliseren en dat publiceert met een “Pak hem” bordje erbij.

Arnoud

Mag je anno 2016 nog een telefoon verkopen met een 2 jaar oude Android?

Geplaatst op in Security, 21 reacties

kurio-telefoonEen lezer vroeg me:

Wij kochten recent een Kurio telefoon, die wordt geadverteerd als “de veiligste telefoon voor kinderen”. Alleen bleek het ding binnen de kortste keren vol met virussen te staan, en na enig opruimwerk zag ik dat de telefoon Android 4.2.2 draait en dat het toestel dus zo kwetsbaar is als wat voor de Stagefright-bug uit 2015. Is dat niet gewoon een conformiteitsgebrek, zulke oude software op een gloednieuwe telefoon?

Dat lijkt me wel, maar helaas is deze praktijk zó wijdverbreid dat het haast ondoenlijk is hier een punt van te maken.

Een product moet voldoen aan de redelijkerwijs gewekte verwachtingen (art. 7:17 BW). Dat noemen we de conformiteitseis. Als een toestel daar niet aan voldoet, dan moet de winkel het gratis herstellen of vervangen. Laat bijvoorbeeld het scherm een stukje los na drie maanden, of doet de batterij het al na een half jaar niet meer, dan is dat een conformiteitsgebrek.

Smartphones zijn echter een stuk complexer en vertonen in de praktijk vaak eerder gebreken op het gebied van beveiliging. En dat is juridisch lastig, want er is geen expliciete regel dat ICT-apparatuur goede security moet hebben. Dat maakt het dus moeilijker om aan te tonen dat sprake is van een conformiteitsgebrek als de firmware uit zo’n toestel een securitybug blijkt te hebben, ook omdat de meeste mensen zich daar moeilijk wat bij kunnen voorstellen of het niet merken als hun telefoon gehackt wordt.

De Consumentenbond heeft een proefproces hierover gestart tegen Samsung. De Bond ziet het als onrechtmatig (ik neem aan: als conformiteitsgebrek) om telefoons zonder recente firmware uit te brengen, en om niet twee jaar lang nog updates na te leveren. Men verloor eerder in kort geding omdat deze vraag te complex werd geacht voor die spoedprocedure. Ik hoop dat het vonnis uit die zaak meer duidelijkheid gaat brengen, want wat mij betreft hoort dit gewoon een uitgemaakte zaak te zijn.

Arnoud

Mogen wij een appartementsnetwerk zonder identificatie opzetten?

Geplaatst op in Ondernemingsvrijheid, 9 reacties

netwerk-verkennen-kijkenEen lezer vroeg me:

Wij (een groep netwerk engineers in een appartementencomplex) hebben een eigen netwerk gebouwd en gekoppeld aan internet via één provider. De kosten worden omgeslagen en via de VvE geïncasseerd. We loggen echter niets in verband met privacy. Nu krijgen wij wel eens abusemeldingen maar we weten dus niet om wie het gaat. Moeten we hier nu meer in doen?

Een internettoegangsprovider is in beginsel niet aansprakelijk voor wat er over zijn lijn gaat, ook niet na een abusemelding. De wet (art. 6:196c lid 1 BW) zegt dat je categorisch niet aansprakelijk bent wanneer je als passief doorgeefluik fungeert, dus niet zelf het initiatief neemt voor de informatielevering, niet kiest naar wie het moet en niet selecteert of wijzigt wat er doorgegeven wordt.

Een abusemelding is dus leuk en aardig maar wettelijk ben je als ISP niet verplicht daaraan gehoor te geven. Het is vaak wel handig omdat je anders op allerlei zwarte lijsten komt, maar dat is geen juridisch argument.

Het hiervoor bepaalde staat niet in de weg aan het verkrijgen van een rechterlijk verbod of bevel, zo staat in lid 6 van dat wetsartikel. Een rechter (of toezichthouder) kan dus bepalen dat bepaalde abuse wél moet stoppen. Zo heeft de rechter ooit toegang tot The Pirate Bay verboden (hoewel dat werd teruggedraaid in hoger beroep) en zou de toezichthouder (de ACM) ook bepaalde blokkadebevelen kunnen geven.

Dat laatste geldt dan weer niet voor het soort netwerk als hierboven, want de ACM is alleen bevoegd op te treden bij aanbieders van openbaar internet, zoals Ziggo of Vodafone. Een netwerk waar alleen een beperkte categorie gebruikers bij kan, valt niet onder die definitie. Dat scheelt, want dan geldt ook niet de plicht het netwerk stevig te beveiligen (art. 11.3 Telecomwet) en de vertrouwelijkheid van de communicatie te borgen (art. 11.2 en 11.2a).

Recent bepaalde het Hof van Justitie echter dat ook niet-openbare aanbieders soms wel in beweging moeten komen. In die zaak ging het om een auteursrechtclaim vanwege een download door een bezoeker van een winkel via het winkelwifinetwerk. Het Hof bepaalde dat de winkel niet aansprakelijk was voor die download, omdat de winkel slechts een platform was.

Op grond van dat lid 6 mag een rechter dus een verbod of bevel uitspreken om aan een abuse-situatie een einde te maken. En concreet waar het ging om auteursrechtinbreuk, bepaalde het Hof dat het opnemen van een wachtwoord en het identificeren van ontvangers daarvan een legitiem bevel kan zijn. Op die manier kun je inbreukmakende klanten identificeren (en dat aan eisende rechthebbenden geven) zonder dat je gelijk je hele netwerk zou moeten opheffen of moeilijk moet doen met voorwaarden en zo.

Het is nog niet duidelijk hoe ver die identificatieplicht moet gaan. Maar in de situatie van zo’n appartementencomplex denk ik dat je toch al snel uitkomt bij een koppeling van de NAT-vertaling aan het appartementsnummer. Dat adres zou genoeg moeten zijn voor een rechthebbende om dan een dagvaarding uit te brengen.

Hoe het zit met andere abuse-situaties (bijvoorbeeld een privacyschending of participatie in een ddos-aanval) is nog niet bepaald. Ik denk dat je daar ook al snel bij identificatie van de gebruiker uitkomt, dat is immers het meest geëigende middel om aan die abuse-situatie een einde te maken. Maar wie een andere effectieve oplossing heeft, mag dat ook doen.

Arnoud

De autodealer zette mijn naaktfoto’s op een datingsite!

Geplaatst op in Regulering, 13 reacties

ford-t-autoEen stel uit Texas klaagt het bedrijf Toyota aan omdat een van haar medewerkers naaktfoto’s van hun telefoon had geplukt en geupload naar een swingers-website, las ik bij The Register. Ze hadden de telefoon afgegeven omdat daar een financieringsovereenkomst op getoond werd, en die moest even achter getoond worden aan de directeur. Maar bij thuiskomst bleek er iets meer gedaan dan een financiële PDF gescrolld. Ahem. Mag dat?

Nou nee, wat denk je zelf. Die foto’s zijn privéportretten, en de verspreiding daarvan is strafbaar (art. 35 Auteurswet). Ook is het simpelweg een auteursrechtovertreding.

Iets lastiger: mocht die medewerker rondneuzen op de telefoon, even aannemend dat hij de foto’s vervolgens niet doorstuurde maar alleen bekeek? Nee. Ook dat is strafbaar en wel als computervredebreuk: het binnendringen in een geautomatiseerd werk, waar een smartphone zonder meer onder valt.

Voor binnendringen is niet vereist dat er een beveiliging wordt omzeild. Genoeg is dat je weet dat je niet mag zijn op de plek waar je bent. Als je toegang krijgt om dat bewijsstuk in pdf-vorm te bekijken, dan moet je weten dat je niet ook in de map Foto’s/Privé mag kijken. Doe je dat toch, dan zie ik dat als een vorm van binnendringen, net als wanneer je in een winkel een openstaande deur naar het magazijn binnenwandelt.

Het kan natuurlijk gebeuren dat je per ongeluk op een knop drukt die je dan naar een Recente Downloads-map of Afbeeldingen-map brengt, en dat je daar thumbnails ziet van ahem privémateriaal. Dat zou dan nog net op de grens zijn, maar als dat gebeurt moet je wel direct stoppen met bladeren. Doorklikken doe je met maar één doel en dat is welbewust die foto’s bekijken.

Arnoud

Moet je als commerciële website je links op inbreuk onderzoeken?

Geplaatst op in Intellectuele rechten, 19 reacties

ketting-chain-link.pngDe rechtbank Hamburg bepaalde onlangs dat een Duitse website auteursrechtinbreuk pleegde door een hyperlink naar een externe bron, las ik bij Ars Technica. Zij had gelinkt naar een pagina met daarop een Creative Commons-afbeelding, maar de site waar die stond had de CC licentie niet goed nageleefd. En omdat de linkende site an sich commercieel was, kon ze wegens auteursrechtinbreuk worden aangesproken door de fotograaf van de foto op de externe bron. Een onderzoeksplicht vanaf nu voor al je uitgaande hyperlinks?

De discussie of en wanneer een hyperlink inbreuk is op auteursrechten, kreeg een paar maanden terug een voorlopig hoogtepunt toen het Hof van Justitie bepaalde dat GeenStijl auteursrechtinbreuk pleegde door te linken naar gelekte (en dus inbreukmakende) foto’s. Op zich is dat raar: een hyperlink verwijst alleen maar, het is geen herpublicatie van het werk. Maar het Hof ziet het wél als herpublicatie, omdat hiermee een nieuw publiek bereikt wordt.

Dat vond men dan weer tegelijk wat ver gaan, dus werd een nuance aangebracht: een nietcommerciële linkende site bereikt alleen een nieuw publiek als zij wist of moest weten dat de link naar iets illegaals verwees. Een commerciële site krijgt daarbij een onderzoeksplicht:

Bovendien kan, wanneer het plaatsen van hyperlinks geschiedt met een winstoogmerk, van de hyperlink-plaatser worden verwacht dat deze de nodige verificaties verricht om zich ervan te vergewissen dat het betrokken werk op de site waarnaar die links leiden niet illegaal is gepubliceerd, zodat moet worden vermoed dat die plaatsing is geschied met volledige kennis van de beschermde aard van dat werk en van het eventuele ontbreken van toestemming van de auteursrechthebbende voor de publicatie op internet.

De Duitse rechtbank trekt deze redenering nu keurig door naar zijn logische eindconclusie: de foto wás inbreukmakend en de linkende site handelde met commercieel oogmerk, dus inbreuk. Dat de inbreuk niet echt evident was, doet er niet toe. Dat de link an sich niet direct commercieel was ook niet. En dat je als commerciële website geen manier hebt om met zekerheid je links te clearen al helemaal niet. Auw.

De enige manier om dit recht te trekken, zou zijn dat in hoger beroep wordt bepaald dat de lat voor dat “vergewissen” laag ligt: alleen als je een evidente inbreuk hebt genegeerd, dan heb je je niet vergewist. Licentietechnisch geneuzel (zoals dat de licentie gisteren is verlopen of dat de tittels en jota van de nakoming niet nagekomen zijn) behoort geen relevant criterium te zijn. Maar ik geef toe: lapmiddel. Beter was geweest als het Hof deze onderzoeksplicht niet had meegenomen en gewoon had gezegd, hyperlinken is legaal en je zoekt het maar uit met de bronsite. Maar ja, bad cases make bad law.

Arnoud

Een wettelijk verbod op antirecensieclausules, is dat nodig?

Geplaatst op in Uitingsvrijheid, 15 reacties

Binnenkort wordt het in heel de VS verboden om in je algemene voorwaarden clausules op te nemen die consumenten straffen voor negatieve recensies, las ik bij The Consumerist. Dit naar aanleiding van akkefietjes als deze, waarbij bedrijven in hun algemene voorwaarden een verbod met boete zetten op negatieve uitlatingen. Leuk, hoewel niet echt nodig onder de Amerikaanse vrijheid van meningsuiting. Maar hoe zit dat bij ons?

De populariteit van recensiesites is zodanig groot dat je als bedrijf behoorlijk in de problemen kunt komen als je veel negatieve reviews krijgt. Dit zou zelfs zo ver gaan dat gasten allerlei gunsten eisen onder dreiging van een negatieve review. Logisch dus dat bedrijven zoeken naar opties hier wat tegen te doen, en een clausule als “U zult geen negatieve recensies achterlaten zonder onze toestemming” is natuurlijk een mooie. Wil je dat handhaven, dan is een contractuele boete er zo in gefietst.

Houdt dat stand? Geen seconde.

Allereerst omdat het opleggen van boetes als zodanig op de blauwe lijst staat, wat betekent dat het in beginsel onredelijk bezwarend is als algemene voorwaarde (art. 6:233 BW). Daarmee is die voorwaarde dus eenvoudig te vernietigen.

Meer algemeen omdat de vrijheid van meningsuiting een grondrecht is, en het inperken van grondrechten sowieso in een contract niet snel aan de orde is. Je zult echt een hele goede reden moeten hebben, en “we willen klachten graag zelf oplossen” of “we zijn bang voor onterechte recensies” is echt niet genoeg. Als mensen willen spuien, dan moeten ze dat mogen.

Dan is er nog de slimme truc van het opeisen van het auteursrecht op de recensie. Creatieve hack: zo voorkom je de inhoudelijke discussie maar kun je de recensie wel weghalen via de eenvoudige DMCA notice/takedownprocedure. Maar dit zal ook niet werken, in ieder geval niet bij online contracten om de eenvoudige reden dat auteursrechtoverdracht ondertekening van een stuk papier (een akte) vereist, en algemene voorwaarden zijn geen akte.

Plus, ook hier loop je dan weer tegen de regel van onredelijkbezwarendheid aan: er is geen legitieme reden om dat auteursrecht op te eisen. Dit is geen prijsvraag waarbij je de winnende inzending wil gebruiken op je bedrijfsbusjes of zo. Dit is gewoon het kunnen blokkeren van onwelgevallige recensies, en dat is gewoon niet legitiem.

Arnoud

Waarom gaat die fotograaf achter mij aan en niet mijn gebruiker?

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 29 reacties

groep-claim-geld.jpgEen lezer vroeg me:

Recent kregen wij een claim van een fotograaf vanwege een foto geplaatst door een lid van ons forum. In onze forumvoorwaarden staat duidelijk dat de gebruiker zelf verantwoordelijk is, ook bij schade door dit soort claims. Gebruikers vrijwaren ons van elke vorm van aansprakelijkheid. Maar die fotograaf stelt dat hij daar niets mee te maken heeft. Is dat zo, en wat is dan de waarde van die voorwaarden?

Die fotograaf heeft toch echt een punt. Als een forum iemand anders schade berokkent, dan moet de organisatie achter dat forum die schade vergoeden. Het doet er dan niet toe welke persoon de schade in gang zette. Als het forum medeverantwoordelijk is voor de schade, dan mag je daar je claim leggen als benadeelde partij.

In je gebruiksvoorwaarden kun je van alles zetten, maar voorwaarden zijn contractuele afspraken en dus alleen bindend op partijen die er mee akkoord zijn gegaan. Je forumleden zitten hier dus aan vast, maar een derde zoals zo’n fotograaf niet. Die is geen forumlid dus waarom zou hij zich moeten houden aan voorwaarden die jij aan je leden stelt?

Een veel lastiger vraag is óf het forum wel aansprakelijk is voor auteursrechtclaims wegens foto’s geplaatst door leden. Daar wordt nu vaak heel makkelijk over gedaan: het forum is geen beschermde tussenpersoon dús zijn ze aansprakelijk, klaar. Dat klopt niet volgens mij: je hebt nog altijd de vraag of de forumbeheerders iets fout doen door mensen foto’s te laten publiceren, als daar auteursrechten van derden op zitten. Zonder fout geen onrechtmatige daad.

(Je bent een beschermde tussenpersoon als je je niet inhoudelijk bemoeit met wat mensen plaatsen. Forums modereren – ze kunnen niet anders – dus voldoen ze niet aan die beschermingsregel.)

Het enkele verspreiden van berichten van derden met onrechtmatige inhoud is op zichzelf niet onrechtmatig. In de Wereldomroep-zaak werd een SMS-bericht van een luisteraar voorgelezen. Het Hof Amsterdam oordeelde dat slechts wanneer de Wereldomroep had moeten weten dat het bericht onjuist was, zij aansprakelijk geacht zou kunnen worden. Diezelfde blog citeert een Pretium-zaak waarbij dezelfde norm werd aangelegd. In de Garagetest-zaak zag de rechtbank geen onrechtmatig handelen in het incidenteel laten verschijnen van valse recensies. Deze waren niet eenvoudig kenbaar voor de beheerder. Bovendien konden gerecenseerde garages een weerwoord plaatsen en mochten negatieve recensies alleen worden geplaatst met onderbouwing.

Je zou daaruit dus kunnen concluderen dat wanneer een forum niet weet of had moeten weten dat er auteursrechten van derden op zitten, ze niet aansprakelijk zijn voor schade bij de fotograaf. Alleen: bij auteursrechten werkt dat kennelijk anders – er staat een foto, betaal maar en verhaal het op je leden of zo. Ik heb geen idee waar dat op gebaseerd is in het recht. Het wordt tijd dat een forum hier eens een principezaak van maakt.

Arnoud