Mag je licentie-incompatibele dependencies meeleveren met je software?

Geplaatst op in Intellectuele rechten, 34 reacties

Een lezer vroeg me:

Bij veel opensourcepakketten heb je allerlei extra software nodig, zogeheten dependencies. Soms is deze extra software meegeleverd met het pakket, maar vaak niet. Je moet dan maar hopen dat het via de repository van je Linux-distributie beschikbaar is. Ik had vernomen dat dat soms een juridische keuze is, hoe zit dat?

Het lijkt zo logisch om, als je eigen software afhankelijk is van andermans open source, die open source mee te leveren. Het is immers gewoon toegestaan om open source software te verspreiden, dat is het hele punt van open source. Het doet dus wat raar aan dat je bepaalde open source niet mee mag leveren.

De reden dat het soms toch niet kan, zit hem in de licentievoorwaarden. Sommige opensourcelicenties (met name de GNU GPL) eisen dat zogeheten afgeleide werken alleen mogen worden gedistribueerd onder die licentie. Als de licentie van het andere werk dit niet toestaat – zogeheten licentie-incompatibiliteit – dan is het dus niet mogelijk die twee samen te verspreiden.

Wat precies een afgeleid werk is, is al decennia een lange discussie, maar goed verdedigbaar is dat gebruik van een dependency daaronder valt. Heb je een specifiek ander stuk software nodig, dan bouw je voort op dat andere stuk software en dus ben je daar een afgeleide van. Hoewel ook goed verdedigbaar is dat je dan alleen functionaliteit aanroept, en dat valt buiten het auteursrecht en dus ook buiten de licentiescope. Maar als je dus zegt dat inroepen van dependencies jouw software een afgeleid werk daarvan maakt, dan moeten de licenties van de software en de dependencies allemaal compatibel met elkaar zijn.

Het gekke is dat het wél toegestaan is – ongeacht compatibiliteit – om te melden welke dependencies er gelden en de gebruiker die zelf te laten downloaden en installeren. Dat mag je zelfs automatiseren met een handig installatiescript of package manager-functionaliteit. Opensourcelicenties zijn namelijk distributielicenties, oftewel de voorwaarden gelden pas bij distributie. Wie alleen downloadt en gebruikt, heeft dus niets te maken met compatibiliteit van eventuele licenties.

Arnoud

Moeten we de toestemming niet eens afschaffen in het privacyrecht?

Geplaatst op in Privacy, 37 reacties

Meteen maar even een heilig huisje omver in het nieuwe jaar: moeten we niet eens stoppen met het idee dat toestemming vragen voor privacy-inbreuken een werkbaar idee is? Want allemaal leuk en aardig, maar anno 2017 is het concept toestemming geven verworden tot een volstrekt betekenisloze klik onder verwijzing naar een futloze lap tekst die nu eenmaal even nodig is om bij die site te kunnen. Toch kent ook de nieuwe privacywet de toestemming als basisbeginsel, en blijft het op allerlei plekken opduiken als basis voor wat je maar wilt doen met iemands privé. Raar.

Het uitgangspunt was ongetwijfeld heel nobel en integer. Als je iemands persoonsgegevens wilt verwerken, dan vraag je die persoon om toestemming. Net zoals je zonder toestemming mensen niet gaat opereren of hun huis betreedt. Gewoon een kwestie van integriteit, van fatsoen. Dus dat zetten we dan ook in de wet: toestemming is de algemene grond, en natuurlijk pas te geven na adequate informatieverstrekking en in volstrekte vrijwilligheid.

Volgens mij was er daarbij wel altijd soort van de aanname dat het verwerken van persoonsgegevens een ietwat bijzondere gebeurtenis was. Iets om even bij stil te staan, iets dat mensen niet perse dagelijks doen dus iets waar je best even de tijd voor mag nemen. Zeg maar een poliklinische ingreep: geen operatie met drie dagen herstel daarna, maar wel iets om je even over te laten inlichten en goed bij stil te staan voordat je ja zegt.

Die aanname is echter volledig verdwenen in de informatiesamenleving. Toestemming vragen is aan de orde van de dag, en gebeurt zó veel en zó vaak dat niemand er meer van opkijkt of bij stilstaat. En dan gaat het hele effect er vanaf natuurlijk. Dan wordt het die droge klik zonder nadenken, zonder betekenis.

Is dat erg, kun je je afvragen. Ik denk het wel, omdat de wet nog steeds opereert onder de aanname dat je wél nadenkt. Wél jezelf even goed informeert. Juridisch advies inwint over wat die wollige taal betekent. En vooral: er vanaf zou zien als je denkt, dit is toch niets voor mij. En de constructie daarbij is dat als je in die situatie toestemming geeft, eigenlijk alles mag. Daar zit voor mij dan de pijn: mensen klikken murwgebeukt op elke Akkoord-knop en de gevolgen worden gebillijkt omdat ze geacht worden te hebben nagedacht en afgewogen alsof ze bij de huisarts een nieuw medicijn moeten uitkiezen.

Het onmiddellijke tegenargument is natuurlijk, dan moet je maar écht eens even nadenken en afwegen als je privacyvragen krijgt. (Bij voorkeur met de flauwe dooddoener dat je toch al je privacy opgeeft door alles op Instagram en Facebook te delen.) Maar dat vind ik niet reëel meer. Als de situatie is dat je elke vijf minuten een lap tekst moet lezen en ja moet zeggen (en anders hup terug naar Google), hoe kun je dan nog in redelijkheid suggereren dat mensen de tijd moeten nemen om goed na te denken?

Dus nee. Wat mij betreft schrappen we dus de toestemming als grondslag. Wie persoonsgegevens wil gebruiken, moet maar gewoon aantonen dat hij dat nodig heeft en waarom dat belang zwaarder weegt dan de privacy.

Arnoud

Juridische voorspellingen voor 2017 (en terugblik op 2016)

Geplaatst op in Iusmentis, 15 reacties

Op deze eerste (werk-)dag van het nieuwe jaar mijn traditionele slechte voorspellingen, en een terugblik op het afgelopen jaar. Wat voorspelde ik voor 2016?

Goed, en dan nu.. wat staat ons in 2016 te wachten?

  1. Niemand krijgt een boete of aanmaning wegens overtreding van de wet meldplicht datalekken. Klopt, hoewel er bijna 5.500 datalekken zijn gemeld, is er geen enkele boete uitgedeeld. KPN kreeg weliswaar een boete voor haar datalek maar dat was niet onder deze wet (de Wbp) maar een al oudere telecomregeling. Deze is inhoudelijk wel gelijk aan de wet meldplicht datalekken, dus het kan wel. Laten we hopen dat dit een kwestie van trage ambtelijke molens is.
  2. Er komt een nieuwe Safe Harbor-afspraak tussen de EU en de VS. Iedereen voelt op zijn klompen aan dat deze net zo wankel is als de vorige maar het alternatief is helemáál onwerkbaar, dus we doen alsof het een prima afspraak is. Goed, dat was een redelijk makkelijke: het Privacy Shield moest en zou er komen, maar wankel is het. Het is eigenlijk ook fundamenteel onmogelijk om met een bilaterale afspraak iets te regelen dat de NSA buiten spel zet.
  3. Een clouddienstverlener gaat failliet en zijn hoster zet alles offline, daarmee een hele berg klanten duperend. Dit leidt tot een rechtszaak waarin wordt bepaald dat dat volkomen terecht is, omdat data immers niets is. Helaas, niet gezien. Of nou ja helaas, fijn voor de clouddienstverlener natuurlijk (en diens klanten) maar jurisprudentie blijft zo wel achter. Zijdelings relevant: dit vonnis waarin een clouddienst nog een paar weken open moest blijven voor een geschorste klant.
  4. Een werknemer wordt door zijn werkgever verplicht tot afstaan van een werkgerelateerd social media account. Nee, heb ik niet zien gebeuren in 2016.
  5. De gecrowdsourcete: encryptie gaat verboden worden. Is er niet van gekomen, zij het dat de discussie nog steeds in alle hevigheid loopt.

Goed, geen superslecht resultaat dit jaar.

Daarom dit jaar een iets andere insteek: voorspellingen waarvan ik hoop dat ze zouden uitkomen.

  1. Netneutraliteit komt onder druk te staan door bedrijven die de grenzen van de daarover aangenomen Verordening opzoeken. Natuurlijk geïnspireerd door T-Mobile, dat volgens de ACM de grens overtrad. Maar er gaan er meer komen.
  2. Een Europese overheid neemt een wet aan die filteren van ‘ongepast’ internetverkeer verplicht stelt voor ISP’s uit dat land.
  3. Ethisch hacken komt weer in de juridische kijkers, bijvoorbeeld door strengere computercriminaliteitswetgeving die publicatie van hacks aanmerkt als ‘heling’ daarvan.
  4. Een nieuwe flater met ‘slimme’ contracten leidt tot een rechtszaak over hoe ver je mag gaan met computercode als harde neerslag van je afspraak.
  5. En natuurlijk crowdsource ik de laatste.

Arnoud

Fijne feestdagen!

Geplaatst op in Iusmentis, 5 reacties

Iedereen fijne feestdagen en een gelukkig alsmede juridisch correct 2017!

Vanwege mijn vakantie sluit ik deze vrijdag af met een feestelijke autoversiering (De directie aanvaardt geen aansprakelijkheid voor boetes onder de Wegenverkeerswet):

Natuurlijk komen er volgende week diverse jaaroverzichten! Verzoekjes om interessante statistieken zijn welkom.

(Afbeelding: US design patent USD 711,306)

Arnoud

Zijn wij aansprakelijk als onze systeembeheerder alle klantdata wist?

Geplaatst op in Ondernemingsvrijheid, 17 reacties

Een lezer vroeg me:

Wij zijn een klein hostingbedrijf en vroegen ons het volgende af. Stel een van onze systeembeheerders met root toegang besluit op een kwade dag om álle klantdata te wissen, en meteen ook maar de backups. Theoretisch kunnen zij dat, en waarschijnlijk ongemerkt ook. In hoeverre zijn wij dan als bedrijf aansprakelijk naar onze klanten? En is dit te verhalen op die personen in privé?

Een bedrijf is aansprakelijk voor schade die ze hun klanten berokkenen door een slechte uitvoering van hun opdracht. Dat is de definitie van wanprestatie.

Bij een hostingbedrijf lijkt me het kwijt zijn van data een triviaal voorbeeld van wanprestatie, en dus moet die schade worden vergoed. De schadevergoeding zou dan gelijk zijn aan de tijd die het kost om de data te herstellen en de sites weer in de lucht te krijgen, en mogelijk zelfs de gederfde omzet van die klantsites.

Natuurlijk zal een hostingbedrijf in zijn algemene voorwaarden zijn aansprakelijkheid beperken. Dat is in principe redelijk – je mag in zakelijke relaties met je klanten afspreken dat jij maar tot een zeker bedrag aansprakelijk bent voor schade. Dat zou hier dus onder normale omstandigheden het bedrijf kunnen redden.

Of dat hier veel zal helpen, betwijfel ik. Wanneer de schade het gevolg is van opzet of bewuste roekeloosheid, is het eigenlijk niet mogelijk je op je beperking van aansprakelijkheid te beroepen. Dit is in strijd met wat juridisch heet de openbare orde en goede zeden (art. 3:40 BW) en is ook nog eens redelijkerwijs onaanvaardbaar (art. 6:248 lid 2 BW).

Dit is dus écht een heel serieus probleem als het je overkomt. En natuurlijk, je kunt die schade dan verhalen op de systeembeheerder. Hoewel werknemers normaal niet aansprakelijk zijn voor schade die ze bij het werk toebrengen, is ook daar die opzet en bewuste roekeloosheid een uitzondering. Die mag dus worden verhaald. Maar veel zal het niet opleveren, wie heeft er in privé geld genoeg om al dat dataverlies te dekken?

Dit vind ik dus een situatie waarin je niet juridisch moet gaan redderen achteraf maar organisatorisch en technisch preventief maatregelen moet nemen. Zorg dat data niet gewist kán worden door één persoon, maak backups waar alleen een ander bij kan en heb logging en alarmbellen die afgaan als mensen rare dingen doen.

Even nieuwsgierig: meelezende hosters, hoe hebben jullie dit scenario geborgd?

Arnoud

De legaliteit van die “Find my phone” documentaire

Geplaatst op in Regulering, 6 reacties

Een lezer vroeg me:

In het filmpje laat een student nav zijn gestolen iPhone een andere smartphone stelen maar deze keer met spyware erop om een documentaire te maken over de kwestie wie de dief is, maar ook om de privacy aspecten aan de kaak te stellen.

Het filmpje (een slordige 20 minuten) is zeer het bekijken waard, al is het maar om te realiseren wat er zoal kan met zulke apparaten. De documentairemaker voorziet een Android-smartphone van een compleet onverwijderbare spyware-app waarmee hij op afstand de telefoon kan benaderen. Vervolgens laat hij deze met enige moeite stelen (wat nog niet meeviel trouwens) waarna hij vastlegt wat er allemaal gebeurt met de telefoon.

Uitlokking van diefstal? Meh. Volgens de Hoge Raad is dat pas een ding als je iemand brengt “tot andere handelingen dan die waarop zijn opzet reeds tevoren was gericht.” Enkel een waardevol object onbeheerd achterlaten daar waar vaak gestolen wordt, is geen uitlokking. Dus nee, dit is totaal geen issue.

Met de geïnstalleerde spyware kan het toestel precies worden gevolgd, kunnen foto’s en video’s worden gemaakt en kan de microfoon worden uitgeluisterd. Zo kon men bijvoorbeeld ontdekken dat de telefoon een andere simkaart kreeg, en kon vervolgens alles worden geregistreerd dat vervolgens werd gedaan.

In hoeverre mag dat nou, al dat meekijken. Er is geen wet die dit keihard verbiedt (of toestaat), zoals wel vaker in het ICT- of internetrecht moet je een belangenafweging maken. Informatie achterhalen over je eigen telefoon valt onder de informatievrijheid en dat is een grondrecht. Maar de privacy is óók een grondrecht, zelfs tot op zekere hoogte voor de dader van een misdrijf. De schandpaal is immers afgeschaft, heet dat dan onder beschaafde juristen.

Voor mij komt uiteindelijk die afweging in het voordeel van de documentairemaker uit, vooral omdat hij een en ander netjes in beeld brengt en er geen heksenjacht van maakt. Hij maakt een punt – je kunt alles achterhalen als je iemands telefoon beheerst – en is er niet op uit die dader als persoon te beschuldigen of te veroordelen. En het punt wordt mooi in beeld gebracht, met een minimale privacyschending.

En wat nu als de telefoon ondertussen tweedehands is doorverkocht? Dan zit je dus bij een mogelijk onschuldige derde te kijken. Dit is een beetje dezelfde discussie waarom je je eigen gestolen fiets niet terug mag pakken als je die ergens ziet staan. Het komt neer op de vraag hoe groot de kans is dat de huidige houder van dat ding te goeder trouw is, en hoe zwaar je dat belang wilt laten wegen tegen het eigendomsbelang van de bestolen partij. Hier zie ik ook dat niet: de maker laat overtuigend zien dat het echt de dief is die de telefoon verderop gebruikt.

Alles bij elkaar zie ik dus niets strafbaars aan het maken en publiceren van deze documentaire. (En wie aan de Wbp denkt: de belangenafweging uit art. 8 sub f valt uit in het voordeel van de documentairemaker, mede gezien de uitingsvrijheid die als legitiem belang heeft te gelden.)

Het zou anders worden als iemand het zou houden bij een data-dump an sich, of de data gebruikt om de dader te lokaliseren en dat publiceert met een “Pak hem” bordje erbij.

Arnoud

Mag je anno 2016 nog een telefoon verkopen met een 2 jaar oude Android?

Geplaatst op in Security, 21 reacties

kurio-telefoonEen lezer vroeg me:

Wij kochten recent een Kurio telefoon, die wordt geadverteerd als “de veiligste telefoon voor kinderen”. Alleen bleek het ding binnen de kortste keren vol met virussen te staan, en na enig opruimwerk zag ik dat de telefoon Android 4.2.2 draait en dat het toestel dus zo kwetsbaar is als wat voor de Stagefright-bug uit 2015. Is dat niet gewoon een conformiteitsgebrek, zulke oude software op een gloednieuwe telefoon?

Dat lijkt me wel, maar helaas is deze praktijk zó wijdverbreid dat het haast ondoenlijk is hier een punt van te maken.

Een product moet voldoen aan de redelijkerwijs gewekte verwachtingen (art. 7:17 BW). Dat noemen we de conformiteitseis. Als een toestel daar niet aan voldoet, dan moet de winkel het gratis herstellen of vervangen. Laat bijvoorbeeld het scherm een stukje los na drie maanden, of doet de batterij het al na een half jaar niet meer, dan is dat een conformiteitsgebrek.

Smartphones zijn echter een stuk complexer en vertonen in de praktijk vaak eerder gebreken op het gebied van beveiliging. En dat is juridisch lastig, want er is geen expliciete regel dat ICT-apparatuur goede security moet hebben. Dat maakt het dus moeilijker om aan te tonen dat sprake is van een conformiteitsgebrek als de firmware uit zo’n toestel een securitybug blijkt te hebben, ook omdat de meeste mensen zich daar moeilijk wat bij kunnen voorstellen of het niet merken als hun telefoon gehackt wordt.

De Consumentenbond heeft een proefproces hierover gestart tegen Samsung. De Bond ziet het als onrechtmatig (ik neem aan: als conformiteitsgebrek) om telefoons zonder recente firmware uit te brengen, en om niet twee jaar lang nog updates na te leveren. Men verloor eerder in kort geding omdat deze vraag te complex werd geacht voor die spoedprocedure. Ik hoop dat het vonnis uit die zaak meer duidelijkheid gaat brengen, want wat mij betreft hoort dit gewoon een uitgemaakte zaak te zijn.

Arnoud

Mogen wij een appartementsnetwerk zonder identificatie opzetten?

Geplaatst op in Ondernemingsvrijheid, 9 reacties

netwerk-verkennen-kijkenEen lezer vroeg me:

Wij (een groep netwerk engineers in een appartementencomplex) hebben een eigen netwerk gebouwd en gekoppeld aan internet via één provider. De kosten worden omgeslagen en via de VvE geïncasseerd. We loggen echter niets in verband met privacy. Nu krijgen wij wel eens abusemeldingen maar we weten dus niet om wie het gaat. Moeten we hier nu meer in doen?

Een internettoegangsprovider is in beginsel niet aansprakelijk voor wat er over zijn lijn gaat, ook niet na een abusemelding. De wet (art. 6:196c lid 1 BW) zegt dat je categorisch niet aansprakelijk bent wanneer je als passief doorgeefluik fungeert, dus niet zelf het initiatief neemt voor de informatielevering, niet kiest naar wie het moet en niet selecteert of wijzigt wat er doorgegeven wordt.

Een abusemelding is dus leuk en aardig maar wettelijk ben je als ISP niet verplicht daaraan gehoor te geven. Het is vaak wel handig omdat je anders op allerlei zwarte lijsten komt, maar dat is geen juridisch argument.

Het hiervoor bepaalde staat niet in de weg aan het verkrijgen van een rechterlijk verbod of bevel, zo staat in lid 6 van dat wetsartikel. Een rechter (of toezichthouder) kan dus bepalen dat bepaalde abuse wél moet stoppen. Zo heeft de rechter ooit toegang tot The Pirate Bay verboden (hoewel dat werd teruggedraaid in hoger beroep) en zou de toezichthouder (de ACM) ook bepaalde blokkadebevelen kunnen geven.

Dat laatste geldt dan weer niet voor het soort netwerk als hierboven, want de ACM is alleen bevoegd op te treden bij aanbieders van openbaar internet, zoals Ziggo of Vodafone. Een netwerk waar alleen een beperkte categorie gebruikers bij kan, valt niet onder die definitie. Dat scheelt, want dan geldt ook niet de plicht het netwerk stevig te beveiligen (art. 11.3 Telecomwet) en de vertrouwelijkheid van de communicatie te borgen (art. 11.2 en 11.2a).

Recent bepaalde het Hof van Justitie echter dat ook niet-openbare aanbieders soms wel in beweging moeten komen. In die zaak ging het om een auteursrechtclaim vanwege een download door een bezoeker van een winkel via het winkelwifinetwerk. Het Hof bepaalde dat de winkel niet aansprakelijk was voor die download, omdat de winkel slechts een platform was.

Op grond van dat lid 6 mag een rechter dus een verbod of bevel uitspreken om aan een abuse-situatie een einde te maken. En concreet waar het ging om auteursrechtinbreuk, bepaalde het Hof dat het opnemen van een wachtwoord en het identificeren van ontvangers daarvan een legitiem bevel kan zijn. Op die manier kun je inbreukmakende klanten identificeren (en dat aan eisende rechthebbenden geven) zonder dat je gelijk je hele netwerk zou moeten opheffen of moeilijk moet doen met voorwaarden en zo.

Het is nog niet duidelijk hoe ver die identificatieplicht moet gaan. Maar in de situatie van zo’n appartementencomplex denk ik dat je toch al snel uitkomt bij een koppeling van de NAT-vertaling aan het appartementsnummer. Dat adres zou genoeg moeten zijn voor een rechthebbende om dan een dagvaarding uit te brengen.

Hoe het zit met andere abuse-situaties (bijvoorbeeld een privacyschending of participatie in een ddos-aanval) is nog niet bepaald. Ik denk dat je daar ook al snel bij identificatie van de gebruiker uitkomt, dat is immers het meest geëigende middel om aan die abuse-situatie een einde te maken. Maar wie een andere effectieve oplossing heeft, mag dat ook doen.

Arnoud

De autodealer zette mijn naaktfoto’s op een datingsite!

Geplaatst op in Regulering, 13 reacties

ford-t-autoEen stel uit Texas klaagt het bedrijf Toyota aan omdat een van haar medewerkers naaktfoto’s van hun telefoon had geplukt en geupload naar een swingers-website, las ik bij The Register. Ze hadden de telefoon afgegeven omdat daar een financieringsovereenkomst op getoond werd, en die moest even achter getoond worden aan de directeur. Maar bij thuiskomst bleek er iets meer gedaan dan een financiële PDF gescrolld. Ahem. Mag dat?

Nou nee, wat denk je zelf. Die foto’s zijn privéportretten, en de verspreiding daarvan is strafbaar (art. 35 Auteurswet). Ook is het simpelweg een auteursrechtovertreding.

Iets lastiger: mocht die medewerker rondneuzen op de telefoon, even aannemend dat hij de foto’s vervolgens niet doorstuurde maar alleen bekeek? Nee. Ook dat is strafbaar en wel als computervredebreuk: het binnendringen in een geautomatiseerd werk, waar een smartphone zonder meer onder valt.

Voor binnendringen is niet vereist dat er een beveiliging wordt omzeild. Genoeg is dat je weet dat je niet mag zijn op de plek waar je bent. Als je toegang krijgt om dat bewijsstuk in pdf-vorm te bekijken, dan moet je weten dat je niet ook in de map Foto’s/Privé mag kijken. Doe je dat toch, dan zie ik dat als een vorm van binnendringen, net als wanneer je in een winkel een openstaande deur naar het magazijn binnenwandelt.

Het kan natuurlijk gebeuren dat je per ongeluk op een knop drukt die je dan naar een Recente Downloads-map of Afbeeldingen-map brengt, en dat je daar thumbnails ziet van ahem privémateriaal. Dat zou dan nog net op de grens zijn, maar als dat gebeurt moet je wel direct stoppen met bladeren. Doorklikken doe je met maar één doel en dat is welbewust die foto’s bekijken.

Arnoud

Moet je als commerciële website je links op inbreuk onderzoeken?

Geplaatst op in Intellectuele rechten, 19 reacties

ketting-chain-link.pngDe rechtbank Hamburg bepaalde onlangs dat een Duitse website auteursrechtinbreuk pleegde door een hyperlink naar een externe bron, las ik bij Ars Technica. Zij had gelinkt naar een pagina met daarop een Creative Commons-afbeelding, maar de site waar die stond had de CC licentie niet goed nageleefd. En omdat de linkende site an sich commercieel was, kon ze wegens auteursrechtinbreuk worden aangesproken door de fotograaf van de foto op de externe bron. Een onderzoeksplicht vanaf nu voor al je uitgaande hyperlinks?

De discussie of en wanneer een hyperlink inbreuk is op auteursrechten, kreeg een paar maanden terug een voorlopig hoogtepunt toen het Hof van Justitie bepaalde dat GeenStijl auteursrechtinbreuk pleegde door te linken naar gelekte (en dus inbreukmakende) foto’s. Op zich is dat raar: een hyperlink verwijst alleen maar, het is geen herpublicatie van het werk. Maar het Hof ziet het wél als herpublicatie, omdat hiermee een nieuw publiek bereikt wordt.

Dat vond men dan weer tegelijk wat ver gaan, dus werd een nuance aangebracht: een nietcommerciële linkende site bereikt alleen een nieuw publiek als zij wist of moest weten dat de link naar iets illegaals verwees. Een commerciële site krijgt daarbij een onderzoeksplicht:

Bovendien kan, wanneer het plaatsen van hyperlinks geschiedt met een winstoogmerk, van de hyperlink-plaatser worden verwacht dat deze de nodige verificaties verricht om zich ervan te vergewissen dat het betrokken werk op de site waarnaar die links leiden niet illegaal is gepubliceerd, zodat moet worden vermoed dat die plaatsing is geschied met volledige kennis van de beschermde aard van dat werk en van het eventuele ontbreken van toestemming van de auteursrechthebbende voor de publicatie op internet.

De Duitse rechtbank trekt deze redenering nu keurig door naar zijn logische eindconclusie: de foto wás inbreukmakend en de linkende site handelde met commercieel oogmerk, dus inbreuk. Dat de inbreuk niet echt evident was, doet er niet toe. Dat de link an sich niet direct commercieel was ook niet. En dat je als commerciële website geen manier hebt om met zekerheid je links te clearen al helemaal niet. Auw.

De enige manier om dit recht te trekken, zou zijn dat in hoger beroep wordt bepaald dat de lat voor dat “vergewissen” laag ligt: alleen als je een evidente inbreuk hebt genegeerd, dan heb je je niet vergewist. Licentietechnisch geneuzel (zoals dat de licentie gisteren is verlopen of dat de tittels en jota van de nakoming niet nagekomen zijn) behoort geen relevant criterium te zijn. Maar ik geef toe: lapmiddel. Beter was geweest als het Hof deze onderzoeksplicht niet had meegenomen en gewoon had gezegd, hyperlinken is legaal en je zoekt het maar uit met de bronsite. Maar ja, bad cases make bad law.

Arnoud