Safe Harbor getorpedeerd; het einde van de Amerikaanse cloud?

Geplaatst op in Privacy, 40 reacties

Het Europese Hof van Justitie heeft vandaag het Safe Harbor-verdrag met de Verenigde Staten, waarin staat hoe Amerikaanse bedrijven gegevens moeten opslaan zodat ze aan de Europese privacywetgeving voldoen, ongeldig verklaard. Dat meldde Security.nl en nog een hele sloot media. Een lichte ramp natuurlijk: zonder Safe Harbor staan heel veel persoonsgegevens illegaal in de Amerikaanse cloud. Wat nu?

De uitspraak is een uitkomst van het al lang lopende conflict dat Oostenrijker Max Schrems heeft met Facebook. Het begon met een inzageverzoek: wat weten jullie allemaal over mij. Dat escaleerde tot een stevige juridische strijd, waarbij op zeker moment het argument ter tafel kwam dat persoonsgegevens veilig in de VS staan want Safe Harbor. Dat we ondertussen van alles weten over de NSA en ander amerikaanseoverheidsgesnuffel deed daarbij niet ter zake.

Het arrest (zaaknr C-362/14) gaat vooral over dat punt. Mag de Europese Commissie afspraken met de VS maken waarin ze in feite zeggen “de VS is gewoon veilig, punt”, of mag het Hof daar toch nog wat van vinden als bij nader inzien blijkt dat het in de VS toch niet zo lekker loopt als gedacht? Het verrast niet echt dat het Hof het laatste vindt.

En wát ze er dan van vinden, is niet mals. De VS ziet Safe Harbor als een leuk speeltje maar uiteindelijk niet zo belangrijk als de eigen wetten:

86 Thus, Decision 2000/520 lays down that ‘national security, public interest, or law enforcement requirements’ have primacy over the safe harbour principles, primacy pursuant to which self-certified United States organisations receiving personal data from the European Union are bound to disregard those principles without limitation where they conflict with those requirements and therefore prove incompatible with them.

Oftewel: er staat gewoon ín dat als Amerikaanse wetgeving wat anders zegt dan mag in de Safe Harbor, dan wint die wetgeving het gewoon. Hoe kun je dat dan nog een veilige haven noemen die volgens Europese regels werkt? Want dát was het idee achter de wettelijke eis “geen gegevens de EU uit tenzij dat adequaat geborgd is”.

We hebben nu dus een probleem. Heel veel organisaties hebben data in de VS staan met een beroep op Safe Harbor, en dat is nu dus niet meer mogelijk. Er zijn juridische oplossingen te verzinnen – zoals gaan werken met een modelcontract – maar het is nog maar de vraag of die standhouden tegen het argument “de FBI kan er tóch altijd toegang tot afdwingen”, analoog aan het citaat hierboven.

Naar de Europese clouddiensten dan maar? Immers, data opgeslagen bij Amazon in Ierland of Microsoft in Brussel valt onder een dochtermaatschappij die gewoon onder Europees recht valt. Het is nog maar de vraag of dat gaat helpen. We hebben al een tijdje een slepende rechtszaak tussen Microsoft en de Amerikaanse overheid, met de vraag centraal of de overheid gegevens mag opeisen bij Microsoft-dochters in Europa. De rechter in eerste instantie zei van wel, het hoger beroep loopt. Als dát overeind blijft, zijn ook die datacenters verboden terrein voor Europese bedrijven.

Gaat er wat gebeuren? Het zou me verbazen. De impact is namelijk zo groot dat weinigen er aan zullen willen. Eerst maar eens een jurist zorgvuldig naar laten kijken, en dan afwachten wat de concurrent gaat doen. Want het kost gewoon gigantisch veel geld om equivalente diensten te vinden – als die er al zijn. Als je concurrent lekker op Amazon blijft zitten, dan ben je weliswaar legaal bezig maar commercieel heel dom.

Wellicht dat de nieuwe wetgeving persoonsgegevens per 1 januari hier wat in gaat veranderen. Die heet weliswaar meldplicht datalekken maar hij zet ook boetes op het exporteren van persoonsgegevens zonder juridische basis. Maar u kent mij als professioneel cynicus: het zou me verbazen.

Arnoud

Waarom zetten wij eigenlijk handtekeningen op papier?

Geplaatst op in Privacy, 28 reacties

handtekening.jpgRegelmatig vragen lezers me: waarom doen wij als bedrijf nog steeds zo moeilijk met handtekeningen op stukken papier? Ons hele bedrijf is geautomatiseerd, alleen bij sommige acties moeten er dingen uitgeprint, getekend en weer ingescand zijn. En soms wordt dan zelfs dat stuk papier nog bewaard. Is dat nu echt juridisch nodig?

Juridisch bepalen of een stuk papier écht nodig is, is vaak een hele kluif. Hoofdregel is: het hoeft niet op papier. De wet kent namelijk slechts zelden een harde eis dat iets pas rechtsgeldig is als het op papier staat. Wie er meer weet dan de volgende, mag het zeggen: de koop van een woning (art. 7:2 BW), huurkoop (7A:1576i BW), timesharing (7:50c lid 1 BW), pacht (7:317 lid 1 BW), vrijwillige garantietoezeggingen (7:6a lid 3 BW), verkoop van IE-rechten (art. 2 Auteurswet) en sinds juli 2014 de overeenkomst tot dienstverlening na telefonische acquisitie (6:230v sub 6 BW). De arbeidsovereenkomst hoeft alleen schriftelijk als er een proeftijd (7:652 lid 2 BW), concurrentiebeding (7:653 lid 1 BW) of boetebeding (7:650 lid 2 BW) is opgenomen. Een factuur hoeft niet schriftelijk.

Meestal wil men graag stukken papier omdat dit sterk bewijs oplevert. Met een akte (een ondertekende verklaring op papier) ontstaat ‘dwingend’ bewijs (art. 157 Rechtsvordering) van wat er is afgesproken. Onder voorwaarden is ook een elektronische akte rechtsgeldig (art. 156a Rechtsvordering). Kort gezegd is vereist dat de inhoud zodanig wordt vastgelegd dat deze ongewijzigd gereproduceerd kan worden voor zo lang als nodig. In de ICT-praktijk betekent dit een PDF-bestand en een goed ingericht proces voor het aanmaken en archiveren daarvan.

Heel vaak zijn dit soort bedrijfsprocessen er vooral omdat ze er altijd al waren. Men heeft altijd geleerd dat papier en handtekening “rechtsgeldig” zijn, of zelfs verplicht. Dus dat is het proces en dat blijft het proces. Daar verandering in brengen is niet eenvoudig, want “zo doen we het altijd al” is een van de sterkste argumenten uit de praktijk om iets te laten zoals het is.

Hoe elektronisch zijn jullie met contracten en documenteren?

Arnoud

In één nacht het internet scannen, hoe strafbaar is dat?

Geplaatst op in Regulering, Security, 12 reacties

telnetHet begon als grap, las ik in De Correspondent. Een onderzoeker wilde kijken hoeveel apparaten Telnet gebruikten. Op heel internet dus. “Hij bedacht daarom een list en liet een botnet het vuile werk opknappen.” Ook goeiemorgen. Een botnet van 30.000 computers die uiteindelijk concludeerden dat van 1,3 miljard IP-adressen een reactie kwam en van 2,3 miljard niet. Lachen? Strafbaar?

Het scannen van al die IP-adressen lijkt me op zich niet strafbaar. Dat is niet meer dan een groots opgezette portscan, en ik blijf erbij dat die alleen strafbaar zijn als je ze doet met als bedoeling vervolgens binnen te dringen. Dit onderzoekje had dat oogmerk niet.

Echter, mijn juridische broek zakt af van dit stukje in de onderzoeksopzet:

Als de onderzoeker een computer aantrof met Telnet en daar met root:root kon inloggen, installeerde hij er een Nmap-scanner. Die ging dan weer op zoek naar andere kwetsbare computers waar ook weer een Nmap-scanner geïnstalleerd kon worden.

Hier wordt dus wél binnengedrongen. En niet alleen dat: dag, uit naam van de wetenschap kom ik even uw computer inzetten. Oké, heel ethisch allemaal want het botje draait op de achtergrond en wist zichzelf bij het resetten van de computer. Maar toch. Zit er niet iets van “vraag consent voor je mensen mee laat doen” in deze tak van onderzoek?

De zaak deed me denken aan de hack van Nieuwe Revu, waarbij het wachtwoord van de Hotmailbox van toenmalid staatssecretaris Jack de Vries werd gebruteforced “om te zien of die wel voldoende beveiligd waren”. Nu kun je je afvragen hoe nieuwswaardig het is dat je met een bulldozer door mensen hun voordeur komt, net zoals je je hier kunt afvragen hoe nieuwswaardig het is dat 1,3 miljard IP-adressen syn-ack zeggen als je op poort 23 syn zegt. Maar ook in die zaak verbaasde het mij meer dat men achteloos 14.000 computers infecteerde met een botnet om ze zo op de achtergrond mee te laten bruteforcen.

Heb ik iets gemist? Is het zwaaien met de vlag ‘wetenschap’ een rechtvaardiging om botnetsoftware te installeren zolang de software maar ethisch afgesteld is? Mag ik even een wetenschappelijk hapje van uw lunch, zoiets?

Arnoud

Mag je camerabeelden van een misdrijf aan het slachtoffer geven?

Geplaatst op in Privacy, 32 reacties

oppas-beelden-camera-verborgen.pngEen lezer vroeg me:

Is het nu toegestaan of niet om beveiligingscamerabeelden van een misdrijf (zoals diefstal) aan het slachtoffer te geven? In ons café wordt nog wel eens wat gestolen, en wij zouden liever zien dat mensen dan zelf aangifte doen (met door ons beschikbaar gestelde beelden) dan dat wij daar aangifte van moeten doen. Maar van de privacywet schijnt dat niet te mogen, camerabeelden aan mensen afgeven.

Er zijn heel veel mythes over beveiligingscamerabeelden in omloop, en dit is er eentje van. Camerabeelden zou je alleen aan Justitie mogen geven en nooit aan anderen. Zo hard staat het helemaal niet in de wet. Maar ik vermoed dat het komt omdat de afweging die de wet voorschrijft, hier een ingewikkelde is. (En omdat de wet uit een tijd komt dat privacy nog gerespecteerd werd.)

Het gaat hier (natuurlijk) om de Wet bescherming persoonsgegevens. Die zegt dat persoonsgegevens, zoals camerabeelden, alleen mogen worden ‘verwerkt’ als aan een van de gronden uit die wet is voldaan. Onder ‘verwerken’ verstaat men eigenlijk alles: maken, verkrijgen, doorgeven en zelfs vernietigen.

Toestemming is de bekendste grond, maar bij beveiligingscamerabeelden werkt dat niet echt. Ook de uitvoering van een overeenkomst gaat hem niet worden. Je komt dan al heel snel uit bij het eigen dringende belang: ik mag dit want mijn recht om dit te doen weegt zwaarder dan de privacy van de betrokken persoon.

Laten we die belangenafweging eens formeel aflopen. De wet zegt:

[Afgifte mag als] de gegevensverwerking noodzakelijk is voor de behartiging van het gerechtvaardigde belang van de verantwoordelijke of van een derde aan wie de gegevens worden verstrekt, tenzij het belang of de fundamentele rechten en vrijheden van de betrokkene, in het bijzonder het recht op bescherming van de persoonlijke levenssfeer, prevaleert.

Er moet dus een gerechtvaardigd (legitiem) belang zijn en de afgifte moet noodzakelijk zijn (niet alleen maar wenselijk) voor dat belang. Het belang van de derde is dat deze aangifte wil doen van een misdrijf, waarbij de beelden bewijs vormen. Dat lijkt me legitiem.

Maar is de afgifte noodzakelijk? Je kunt immers ook zeggen, ga aangifte doen, zeg wie de beelden heeft en dan komt Justitie wel langs. Dat komt op hetzelfde neer, maar de bewijsketen is dan korter, en we weten ook nog eens zeker dat je de beelden niet gemanipuleerd hebt. Plus, je zou de beelden op internet kunnen slingeren en of dát een legitiem belang is, valt te betwijfelen.

Verder zit je met die ’tenzij’. Je moet een belangenafweging doen: hoe belangrijk is de privacy van de persoon die in beeld is. Een crimineel heeft geen privacy te verwachten, plus bij afgifte aan Justitie kun je sowieso niet echt van een privacyschending spreken. Dus daar kom je wel uit, denk ik.

Goed, houd ik dus over: is het echt nodig dat het slachtoffer zelf die beelden krijgt? Zijn er geen andere routes die hetzelfde effect bereiken en minder risico’s met zich meebrengen? En dan ben ik toch wel gevoelig voor het argument dat het slachtoffer andere, minder legitieme dingen kan gaan doen met de beelden. Ze op internet zetten met “wie kent deze dief van mijn iPhone” is voor de wet geen legitiem belang.

Arnoud

Is sjoemelsoftware in je Volkswagen reden om hem te retourneren?

Geplaatst op in Informatiemaatschappij, 38 reacties

volkswagen-defeat-sjoemelsoftwareVolkswagen gaat de elf miljoen dieselauto’s die zijn uitgerust met software die de uitstoot kan manipuleren van nieuwe software voorzien, las ik bij Nu.nl. De sjoemelsoftware was ontworpen om de auto’s door emissietests te laten komen, maar de daadwerkelijke prestaties op de weg vielen heel anders uit. De software-update zal deze software verwijderen, maar wat het betekent voor de prestaties van de auto, is nog maar de vraag. En als die tegen blijken te vallen, wat dan?

Wat de softwarepatch precies gaat doen, kan ik nog niet ontdekken. Wat ik lees bij Vox is dat

the NOx emission controls likely degraded the cars’ performance when they were switched on — the engines ran hotter, wore out more quickly, and got poorer mileage. Some experts have suggested that the emission controls may have affected the cars’ torque and acceleration, making them less fun to drive. (Indeed, some individual car owners have been known to disable their cars’ emission controls to boost performance, though this is against the law.)

Dan kun je natuurlijk wel met een update die emissiecontrole permanent aanzetten, maar dan krijg je dus permanent een verslechterde performance. Wellicht dat Volkswagen dat kan oplossen, maar als ze dat konden, dan was er helemaal geen patch nodig lijkt me?

Goed, laten we even aannemen dat Volkswagen een patch uitbrengt die enkel de compliance met wetgeving verzorgt. De auto voldoet aan de emissie-eisen, alleen rijdt hij nu een significant stuk minder prettig. Wat kun je dan?

Je kunt dit juridisch dan over twee banden spelen. Allereerst kun je zeggen: deze auto voldoet niet aan de gewekte verwachtingen (conformiteit), hij doet niet (meer) wat mij is beloofd. De Volkswagen-verkoper moet dat dan herstellen of je een vervangende auto geven. Een lastig punt is dan, kun je hardmaken dat die verwachtingen gewekt zijn? Is er gesproken over de emissie, was dat een relevante factor?

Als VW erin slaagt het gebrek te herstellen (voortschrijdend inzicht, slimme nieuwe algoritmes) dan gaat de conformiteits-route niet meer op. De auto is dan immers hersteld tot wat je mocht verwachten.

Een andere band is dat je zegt: ik ben onjuist voorgelicht en/of Volkswagen heeft dit ten onrechte verzwegen. Je beroept je dan op dwaling, en dat is een grond om de overeenkomst te vernietigen oftewel ongedaan te maken. Het lijkt me iets makkelijker te bewijzen, want het is vrij duidelijk dat VW dit wist én dat je als wederpartij dit had willen weten. Wel zit je ook hier met de vraag hoe belangrijk die emissie is. Het moet namelijk gaan om een ‘wezenlijk kenmerk’, je kunt niet bij een irrelevant dingetje dwaling claimen.

Verder, als je je op dwaling beroept dan maak je de aanschaf ongedaan. Je kunt geen herstel of vervanging eisen, je kunt alleen je geld terug vragen. Bij een lease-auto is dat nog relatief complex te bepalen, want in die prijs zit meer dan alleen een vergoeding voor de auto.

Ongetwijfeld gaat iemand hier een zaak van maken en ik zou zeer benieuwd zijn wat daar uit komt.

Arnoud

Mijn Facebookcomment staat in de krant, wat kan ik doen?

Geplaatst op in Uitingsvrijheid, 24 reacties

oude-krant.jpgEen lezer vroeg me:

Op Facebook had ik gereageerd op een lokaal nieuwsbericht over een controversieel onderwerp. Dat was zaterdagavond laat, dus ik ging wat kort door de bocht. Moet kunnen op Facebook toch? Maar nu heeft de lokale krant mijn reactie opgepikt en pontificaal op pagina 3 afgedrukt, met nog een paar andere extreme reacties. Ik sta nu voor gek, maar de journalist zegt dat Facebook openbaar is en ik dus pech heb. Hoe zit dat juridisch?

In principe is een journalist vrij om uit openbare bronnen te citeren wat hem goeddunkt. De afweging of iets nieuwswaardig is (oftewel, in de krant hoort) is een journalistieke, en juridisch is daar dan ook niet meteen wat van te zeggen. Alleen bij bijzondere omstandigheden kan dat anders worden.

In principe mag je ook bij uitingen op sociale netwerken enige privacy verwachten. Zeker waar het gaat om persoonsgegevens, die mogen immers niet zomaar worden verwerkt zonder dringende noodzaak (ook niet door journalisten). Alleen bij bijzondere omstandigheden kan dat anders worden.

(Oh jee, Arnoud doet weer bijdehand.) Waar het op neerkomt, is een afweging tussen de persvrijheid (mogen zeggen of herhalen wat je nieuwswaardig voorkomt) en de privacy (iets kunnen zeggen zonder daarop afgerekend te worden). Hoe belangrijk is het om dit bericht te melden aan je lezers, en hoe veel privacy mochten mensen verwachten die dingen op Facebook zeggen?

Hier is geen binaire formule voor te geven. Doorslaggevend is bijvoorbeeld niet dat de Facebookcomment openbaar was of dat het gaat over een nieuwsbericht. Het is een optelsom van factoren. Hoe openbaar was de comment, hoe belangrijk was de opmerking, hoe relevant is de mening van deze persoon en ga zo maar door. Maar ook zaken als “moeten we deze persoon tegen zichzelf beschermen” wegen mee, iemand die op zaterdagnacht er wat uit floept, zit in een andere positie dan iemand die een ingezonden brief naar de krant stuurt of een weloverwogen reactie blogt.

Mijn gevoel zegt me dat als iemand reageert onder een krantenbericht, hij weinig privacy mag verwachten. Je moet dan weten dat iedereen dit kan lezen, en ook dat de krant je reactie eruit kan lichten voor het opvolgartikel (“wat vinden mensen”). Zou iemand op zijn eigen Facebook reageren, dan zou ik dat een ander verhaal vinden. Daar schrijf je voor je eigen vrienden/volgers, niet voor het publiek. Ook al staat je Facebook open, jij beoogt niet de hele wereld te bereiken dus dan botst overname met jouw privacyverwachting.

Arnoud

Mag je met een Kruidvat-GPS-tracker je kind in de gaten houden?

Geplaatst op in Privacy, 24 reacties

spotter-gps-tracker-kruidvatWeet altijd precies waar je kind is en maak contact in geval van nood, met de Spotter. Met die tekst adverteert de Kruidvat haar nieuwste product: een GPS-tracker die verbindt met een app op de telefoon van de ouders, zodat je altijd weet waar je kind is. Of je bagage (“Ideaal voor op vakantie!”), maar primair toch je kind als ik de advertentie goed lees. Dus u voelt hem al aankomen: eh, mag dat, met zo’n GPS-tracker je kind in de gaten houden?

Ook kinderen hebben recht op privacy, maar je zit dan wel meteen in een spanningsveld: als ouders heb je de plicht je kind op te voeden, en opletten hoe het gaat met je kind en waar die zoal uithangt, is deel daarvan. Die informatie botst met de privacy van het kind, en er is geen algemene regel die zegt dat het dan dús mag of dús niet.

In de gastblog van Noortje Mulder van afgelopen zomer ging het om meekijksoftware: chats en mails van je kind scannen. Hier gaat het om een minstens zo vergaande inbreuk: live zien waar je kind zich bevindt. Zoals Noortje het formuleerde:

[W]anneer gaat ouderlijk toezicht nu te ver? Deze vraag is lastig te beantwoorden, gelet op de dubbele rol die ouders hebben ten aanzien van de privacy van het kind. Enerzijds dienen zij het kind te beschermen, waardoor zij de privacy van het kind mogen beperken. In de meeste gevallen zal het beschermingsbelang van het kind een beperking van diens recht op privacy door de ouders rechtvaardigen. Anderzijds dienen zij zich niet onnodig te mengen in het privéleven van hun kind, laat staan bewust inbreuken daarop te maken.

Het belangrijkste is: opvoeden dient als doel te hebben het kind zelfstandig te laten worden. Je moet dus het GPS-volgen binnen dat kader kunnen verantwoorden. Waarom is dat nodig, en hoe wordt het kind er later beter van?

Bij een heel jong kind zou je kunnen zeggen, ik wil zien waar hij/zij is zodat ik bij verdwalen snel kan ingrijpen en het kind kan ophalen. Het kind leert dan zelfstandigheid (vrij rondlopen of -fietsen) maar er is een vangnet. Bij een wat ouder kind zal het minder snel gaan om verdwalen maar eerder om gaan naar ongewenste plekken of personen (“is mijn dochter nu alweer bij die rare gast die vier jaar ouder is”). Daar is ook wel een haakje naar zelfstandigheid te verzinnen, maar het wordt wel lastiger vind ik. Hoort bij zelfstandig worden niet ook een stuk je neus botsen en daarvan leren?

Dus nee, er is geen pasklaar antwoord of dit mag of niet. Het gaat om waarom je het doet, hoe oud je kind is en wat je wilt bereiken.

Hoe zouden jullie als kind (kies zelf je leeftijd) hebben gereageerd als je zo’n tracker in je tas had gevonden? En niet “wauw wat gaaf, die bestonden niet toen ik 9 was dus dan ging ik het gauw patenteren” maar het privacystuk dus 😉

Arnoud

Mag je software reverse engineeren om fouten te vinden?

Geplaatst op in Intellectuele rechten, Security, 31 reacties

Een lezer vroeg me:

Is reverse engineering legaal als het doel is om beveiligingslekken te vinden? Jij zei ooit van wel, maar in de wet staat volgens mij dat je alleen mag reverse engineeren om compatibiliteit te realiseren.

Oef, dat is lang geleden, maar inderdaad:

Alleen die vormen waarmee je compatibiliteit met zelfgeschreven software wilt bewerkstelligen, of waarmee je alleen de achterliggende ideeën, concepten en principes achterhaalt zijn legaal. Met name is het niet legaal om de informatie te gebruiken om een kloon van de software te maken.

Waar de vraagsteller naar refereert, is het wetsartikel dat het eerste deel van die zin onderbouwt:

Als inbreuk op het auteursrecht op [software], worden niet beschouwd het vervaardigen van een kopie van dat werk en het vertalen van de codevorm daarvan, indien deze handelingen onmisbaar zijn om de informatie te verkrijgen die nodig is om de interoperabiliteit van een onafhankelijk vervaardigd computerprogramma met andere computerprogramma’s tot stand te brengen, mits: (bla)

Dit is inderdaad beperkt tot reverse engineeren met als doel het maken van een interoperabel eigen programma. Soms is het daarvoor nodig dat je de broncode van andere software achterhaalt, omdat je anders onvoldoende informatie hebt over hoe je eigen software moet gaan werken. Het vinden van een fout in software is natuurlijk niet hetzelfde als “interoperabiliteit tot stand brengen”, tenzij je zegt “ik moet weten hoe die fout werkt want ook daarin moet ik compatibel zijn”.

Er is echter nog een ander artikel dat specifieker op fouten ziet:

De verveelvoudiging, als bedoeld in de eerste zin, die geschiedt in het kader van het laden, het in beeld brengen of het verbeteren van fouten, kan niet bij overeenkomst worden verboden.

Reverse engineeren is een vorm van verveelvoudigen. Dat is waarom deze actie in principe inbreuk op het auteursrecht maakt. Echter, dit artikel verklaart het verveelvoudigen ter herstel van fouten legaal (zelfs als in de EULA staat dat dat niet toegestaan is). Daarom zou dit volgens mij toch gewoon toegestaan zijn.

Dus ik geloof dat ik toch gelijk had, hoewel om een andere reden dan ik zei 🙂

Arnoud

Waarom garandeert mijn softwarelicentie de afwezigheid van virussen?

Geplaatst op in Intellectuele rechten, 13 reacties

Een lezer vroeg me:

Vaak zie ik in softwarelicenties iets als dit: “Leverancier garandeert dat de Software geen virussen, achterdeuren, logische bommen of andere kwaadaardige routines bevat.” Waarom doen juristen dat? Het is toch raar dat een leverancier zou zeggen “onze software bevat een virus”?

Voor mijn gevoel is de clausule vandaag de dag een copypasteclausule: iedereen doet dit al jaren, dus laat ik het ook maar doen. Maar dat terzijde.

Het idee achter een garantie is dat je de leverancier kunt aanspreken als het toch gebeurt. Het zal zelden voorkomen dat er een virus (van een ander) in software zit, dus dit is een goedkope garantie om te geven.

Specifiek voor de achterdeuren en logische bommen kan de clausule belangrijker zijn dan ze lijkt. Het is enige tijd werkelijk praktijk geweest dat software werd voorzien van achterdeurtjes waarmee de leverancier ondanks alle beveiliging ‘in’ de software kon komen, of van logische bommen die bij wanbetaling afgingen zodat de software onbruikbaar werd.

Vandaag de dag is het vrijwel ondenkbaar dat geleverde software dergelijke kwaadaardige code bevat. Althans, stiekem. Software kan nog steeds uitschakelroutines hebben, maar die wordt dan netjes gemeld. En dan is het moeilijk dit een ‘kwaadaardige’ routine te noemen. Een enkele keer blijkt een ontevreden werknemer dergelijke code ingebouwd te hebben om zijn werkgever dwars te zitten of af te persen, maar dat is iets dat naar de klant toe toch echt voor rekening van die werkgever moet komen.

Arnoud