Mag je code snippets zomaar gebruiken in je software?

Geplaatst op in Intellectuele rechten, 32 reacties

Een lezer vroeg me:

Ik werk als softwareontwikkelaar bij een groot bedrijf. Nu kan ik wel steeds opnieuw het wiel gaan uitvinden, maar op allerlei sites staan snippets, kleine stukjes code die handige functies bieden die vaak precies zijn wat ik nodig heb. Mag ik die gebruiken?

Er zijn inderdaad vele vele sites die oplossingen voor concrete probleempjes of handige trucjes om iets te bereiken aanbieden. Zulke ‘snippets’ code zijn vrijwel meteen te kopieplakken in je eigen code, maar of dat juridisch mag, is niet eenvoudig te zeggen.

De eerste vraag is altijd of er auteursrecht op een snippet zit. Dat is geen automatisme. Ook kleine werken kunnen beschermd zijn, zo weten we uit het Infopaq-arrest. Elf woorden overnemen telde in die zaak als inbreuk. Wel moet de combinatie van die woorden creatief zijn, zo zal een lijstje met elf hoofdsteden niet beschermd zijn.

Bij software is het lastiger te zeggen of iets beschermd is. Software bevat namelijk altijd een stevig stuk functionaliteit, sterker nog het ís primair functionaliteit en pas secundair creativiteit. En zeker bij kleine stukjes code heb je maar bar weinig ruimte om creativiteit te uiten. Zo veel manieren om met een SQL database te connecten of een quicksort te doen zijn er simpelweg niet. Een vuistregel (uit het Amerikaans recht maar werkt bij ons ook wel denk ik) is dat als twee programmeurs dezelfde code zouden maken gegeven het probleem, de code niet beschermd is.

Als een snippet lang en creatief genoeg is, dan is deze beschermd en mag je deze niet overnemen zonder toestemming. Sommige snippetsites erkennen dit en vermelden een standaardlicentie voor alle snippets die je daar kunt vinden. Maar andere laten het aan de auteur over, en dan moet je maar hopen dat die er “Do whatever you want” bij heeft gezet, of iets dergelijks. Staat er niets bij, dan moet je het navragen bij de auteur.

Natuurlijk, je kunt je afvragen of een auteur van tien regels code jou een factuur gaat sturen als je die code overneemt. Als hij er al achterkomt natuurlijk dat die code in jouw product zit. Maar formeel heb jij het probleem als blijkt dat je code gebruikt zonder licentie.

Oh, en vergeet niet te documenteren welke licentie erbij stond toen je de snippet overnam. Als die licentie een paar jaar later verandert, dan zit jij met een bewijsprobleem – erg lastig als de nieuwe licentie ineens jouw vorm van gebruik verbiedt.

Arnoud

Rechtsgeldige communicatie naar een oude mailbox

Geplaatst op in Privacy, 22 reacties

e-mail rechtsgeldigNog een nagekomen variant op de vraag Is e-mail rechtsgeldig? die ik nog steeds bijna wekelijks krijg. Wat nu als een contractuele wederpartij mails stuurt naar een oud mailadres dat je niet meer leest? Is dat dan toch rechtsgeldig?

Als hoofdregel in het recht geldt dat je toezeggingen (overeenkomsten) en andere mededelingen via elk kanaal mag doen dat je goeddunkt, zolang je maar kunt bewijzen dat het is aangekomen bij de wederpartij. Je mag daar van afwijken, zo kun je in je algemene voorwaarden opnemen dat je offertes pas bindende contracten worden nadat deze ondertekend op papier zijn teruggefaxt. In dat geval is een toezegging per mail niet meer rechtsgeldig, want aan het vormvereiste is niet voldaan.

Veel internetdienstverleners doen het omgekeerde: die zetten expliciet in de voorwaarden dat ze per mail mogen werken, en vaak ook nog eens specifiek naar het mailadres dat hoort bij de dienst die je afneemt. Mails van mijn internetprovider UPC gaan naar mijn UPC-mailadres, en menig forum waar ik lid van ben, stuurt zijn dienstmededelingen per privébericht op het forum in plaats van per e-mail.

Ook dat mag. En sterker nog: als ze dat hebben gezegd in de voorwaarden, dan kom jij niet meer weg met “ik lees die mailbox niet” of “ik vind privéberichten op forums zo vervelend” of zelfs “jullie wisten ook mijn echte mailadres”. Afspraak is afspraak, en het is dan ook bindend en voldoende als het bericht naar het afgesproken punt wordt gestuurd.

Dit betekent dus dat je bij het opheffen van oude mailboxen echt even na moet gaan waar deze nog on file staan, en daar een wijziging moet doorvoeren. (Ook handig mocht je ooit het wachtwoord vergeten zijn.) Want het niet meer lezen van een mailbox ontslaat je niet van je contractuele verplichtingen.

Voor veel mensen is e-mail toch maar een merkwaardig communicatiemiddel, waarvan het kennelijk maar moeilijk voorstelbaar is dat een rechter het zou willen lezen. Of zo. Want als mensen me vragen “ik heb per mail een auto gekocht, is dat rechtsgeldig” dan vinden ze mijn antwoord “ja, natuurlijk” erg raar want e-mail is toch vervalsbaar? Eh ja, dat klopt, maar dat is een stuk papier ook en toch accepteren we dat als bewijs. Waarom is dat bij e-mail zo gek?

Arnoud

Het beheer houdt zich niet aan zijn eigen voorwaarden, wat nu?

Geplaatst op in Ondernemingsvrijheid, 9 reacties

Met enige regelmaat krijg ik klachten van forumgebruikers die met lede ogen toe moeten zien hoe het beheer van hun forum de eigen huisregels negeert. En dat steekt, zeker als zij zelf wél aangesproken worden op overtredingen van diezelfde regels. Of, in een iets andere variant, van derden die prachtige beloftes over keurig taalgebruik en geen negatieve zaken in de voorwaarden zien maar op het forum zelf een berg smadelijke bagger over henzelf aantreffen. Is daar iets aan te doen? Kun je het beheer aan zijn eigen voorwaarden houden?

Forumvoorwaarden of huisregels worden natuurlijk opgesteld door het beheer om snel in te kunnen grijpen als er iets gebeurt dat ze niet bevalt. Dat mag, daar zijn huisregels voor bedoeld. Maar de constructie waardoor je mensen bindt aan de huisregels, is juridisch gezien die van de contractsluiting. Je hebt dus als beheer een contract met je gebruikers – en omgekeerd hebben je gebruikers een contract met jou. En bij contracten geldt dat beide partijen de ander kunnen houden aan de afspraak. Dus als het beheer een regel naar jou niet nakomt, dan kun je ze daarop aanspreken.

Het bestuur aanspreken op regels die ándere gebruikers schenden, is iets minder makkelijk. Dat is namelijk in principe iets tussen hen, in het contract tussen die gebruiker en het bestuur ben jij geen partij. Maar als de huisregel in kwestie bedoeld is om het leven op het forum aangenamer te maken, dan kun je via je eigen contract alsnog handhaving eisen. Het argument is dan dat jóuw contract wordt geschonden doordat je bijvoorbeeld een scheldpartijvrij forum mocht verwachten. Een beetje zoals verhuurders overlastgevende buren moeten aanspreken omdat jij recht hebt op ongestoord woongenot.

Nog moeilijker ligt het bij derden die last hebben van een forumbericht. Die hebben überhaupt geen contract met het beheer, dus waar kunnen die zich op beroepen?

In theorie kán een algemeen geldende forumregel door een derde worden aangehaald, als die regel bedoeld is om hem te beschermen of rechten te geven. Maar die situatie doet zich niet snel voor. Regels zijn immers zelden expliciet bedoeld om derden te beschermen. In 2011 werd in een rechtszaak tegen een forum van de TROS bepaald dat het niet handhaven van de huisregels geen onrechtmatige daad opleverde tegen een derde (het klagende Pretium). Er is meer nodig dan alleen “zij laten de regels overtreden worden en dat levert negatieve berichten over ons op”. Wat dat meerdere precies is, laat de rechtbank in het midden.

Natuurlijk kun je als derde wel eisen dat er ingegrepen wordt als je rechten worden geschonden (auteursrechteninbreuk of evidente smaad/laster/privacyschending) maar dat staat compleet los van wat de huisregels zeggen. Maar als er iets gebeurt dat in strijd is met de huisregels maar op zich wel legaal is, dan kun je in de meeste gevallen niets doen als buitenstaander.

Arnoud

‘Consument misleid door advertenties vermomd als content’

Geplaatst op in Ondernemingsvrijheid, 27 reacties

Een groeiende groep consumenten krijgt een aversie tegen de onduidelijke scheidingslijn tussen reclame en real content, las ik bij Twinkle. Steeds meer advertentiecontent wordt gecamoufleerd als redactionele inhoud. Bijna zes op de tien internetgebruikers zegt te zijn misleid door Facebook Sponsored Stories, 45 procent van de respondenten zegt hetzelfde over Promoted Tweets op Twitter, zo blijkt uit onderzoek. Intrigerend: is er iets juridisch te doen tegen dat soort grappen?

Voor reclame geldt de algemene regel dat reclame eerlijk moet zijn. Enige overdrijving is toegestaan, zeker als het van die evidente over-the-top reclamekreten zijn waarvan iedereen weet dat ze nergens op gebaseerd zijn.

Daarnaast hebben we sinds een paar jaar aparte regels over “misleidende handelspraktijken”, en onder die generieke term vallen ook reclamepraktijken of het publiceren van advertorials/sponsored content die slechts indirect een adverteerdoel hebben. Het is expliciet en te allen tijde misleidend (art. 6:193g BW) om

redactionele inhoud in de media, waarvoor de handelaar heeft betaald, gebruiken om reclame te maken voor een product, zonder dat dit duidelijk uit de inhoud of uit duidelijk door de consument identificeerbare beelden of geluiden blijkt;

En met alleen klein “(adv.)” boven de tekst of als auteur “Marketingafdeling” kom je er niet. Je zult echt een duidelijke markering moeten voeren én ook visueel de content af moeten scheiden van de eigenlijke redactionele content.

Ook dubieus zijn praktijken waarbij handelaren zich voordoen als consument, bv. om een recensie op het eigen product (of de concurrent, nog gezelliger) te geven. Dat is net zo hard misleidend:

op bedrieglijke wijze beweren of de indruk wekken dat de handelaar niet optreedt ten behoeve van zijn handel, bedrijf, ambacht of beroep of zich op bedrieglijke wijze voordoen als consument;

Ik vraag me nu af of hier ook onder valt dat je het product van je werkgever liket (of een tweet retweet) vanaf een profiel waar niet bij staat dat je bij de afdeling Verkoop werkt. De intentie “bedrieglijk” zal hier de doorslag geven. En dat zal niet meevallen: het is immers doodnormaal dat je account op een social netwerk op je eigen naam staat.

Wat is de meest misleidende advertentie of reclame die jullie kennen? Voor mij blijft dat de ‘vriendenradar’-app die “Laat zien waar je vrienden zich bevinden” na invoeren van je 06-nummer. Met kleine letters: Let op, bewegend wallwaper, laat niet zien waar je vrienden zich bevinden. Eh. Juist.

Arnoud

Mag ik citeren uit blafbrieven?

Geplaatst op in Intellectuele rechten, Privacy, Uitingsvrijheid, 21 reacties

Regelmatig krijg ik mails van mensen die boze brieven ontvangen van advocaten of zich benadeeld voelende partijen. Soms zijn die terecht, soms niet. En de ontvanger wil dan vaak het geschil delen met zijn publiek, en knalt die brieven dan online. Maar mag dat zomaar?

Een brief (of mail) is bedoeld als privécorrespondentie. Die online zetten is dan niet direct de bedoeling, maar automatisch onrechtmatig is het ook weer niet. Een privacybelang (het standaardargument bij brieven en mails) zal niet snel aanwezig zijn, het gaat immers om een zakelijke brief. Wel zul je zaken als telefoonnummers en afzendermailadressen moeten weghalen.

Wel moet er enige rechtvaardiging zijn waarom je de brief integraal online zet in plaats van eruit te citeren of in je eigen woorden te vertellen dát je zo’n brief hebt gehad. Enkel “ik wil mijn dossier compleet hebben” is niet genoeg. Waaróm moet dat dossier compleet online?

Een blafbrief kan auteursrechtelijk beschermd zijn. In het hoger beroep van de Nijntje-parodie-zaak riep de eiser wel van alles hierover, maar kwam dit niet tot een uitspraak.

In april vorig jaar verbood de rechter een partij bij een geschil om zijn dossier te publiceren omdat daar stukken van de wederpartij in zaten waar hij geen toestemming voor had. Daarbij miste ik wel enige afweging van de nieuwswaarde van die stukken, wat óók moet als het gaat om auteursrechtschending.

Een disclaimer of geheimhoudingszin onderaan die mail verandert hier niets aan overigens; zo’n tekst is niet juridisch bindend, ook niet als deze van een advocaat afkomstig is. Alleen correspondentie tussen advocaten onderling is wettelijk beschermd en mag niet zomaar online.

In de VS bestaat het Chilling Effects project, dat als doel heeft alle DMCA claims te publiceren. Dat kan daar, omdat de DMCA alléén geldt voor auteursrechtclaims en er zelden een privacy- of vergelijkbaar belang te bedenken is tegen het publiceren van een auteursrechtclaim. En auteursrecht op de notice is naar Amerikaans recht moeilijk voorstelbaar, nog even afgezien van een fair use-claim bij het publiceren. Maar in Nederland kun je takedownclaims doen op álle soorten gronden, ook smaad of privacyschending. En het automatisch publiceren van claims is dan ook iets moeilijker, want voor je het weet publiceer je intieme details waarin naar wordt verwezen in de claimbrief.

Arnoud

Gastblog: Bits of Freedom heeft uw hulp nodig

Geplaatst op in Informatiemaatschappij, 15 reacties

Vandaag ben ik jarig, en ik heb besloten een dagje vrij te nemen van bloggen. Vandaag een gastblog van Karin Spaink over Bits of Freedom.

Als jullie bij wijze van verjaardagscadeau een donatie willen doen aan deze digitale burgerrechtenvoorvechter, dan zou ik dat heel erg waarderen.

Bits of Freedom heeft een boel bereikt. Daar ben ik, als een van de drie oprichters, beretrots op. Toen de organisatie in 1999 begon, was het idee dat er op internet sprake kon zijn van rechten van gebruikers – ja, zelfs van burgerrechten – bepaald nieuw. Inmiddels is geaccepteerd dat gebruikers niet zomaar mogen worden afgesloten of afgeluisterd, dat bedrijven en overheden internetverkeer niet zonder meer mogen filteren, dat niemand stukken zomaar mag verwijderen.

We zijn beter gaan nadenken over privacy op internet. Over cookies, tracking en digitale sporen. Over de grenzen aan surveillance en digitale recherche. Over spam. Over databescherming en datahygiëne. Over opdringerige auteursrechtbescherming, die enerzijds steeds meer materiaal tot haar domein rekent, en anderzijds gebruikers en klanten steeds minder weinig zeggenschap laat over spullen die ze legaal hebben aangeschaft. Over het belang van anonimiteit en het recht om pseudoniemen te gebruiken. Over de feilbaarheid van ambitieuze digitalisering van het verkeer tussen burgers en instanties. Over netneutraliteit.

Bits of Freedom heeft zich enorm ontwikkeld. Aanvankelijk werd BoF vooral door journalisten als een goudmijn van informatie beschouwd. Ze spelden de nieuwsbrief, die vaak aanleiding werd voor mooie achtergrondreportages. Had Albert Heijn een plan om klanten met een digitale vingerafdruk te laten betalen, of verzon Brein weer eens een plan om auteursrechtbescherming te verstevigen, dan werd Bits of Freedom subiet platgebeld.

Via de jaarlijkse uitreiking van de Big Brother Awards, de poedelprijs voor instanties, bedrijven en mensen die de privacy van burgers het meest hadden ondermijnd, wist Bits of Freedom haar ideeën haar ideeën te populariseren. En waar overheidsinstanties en bedrijven de organisatie eerst negeerden, namen ook die haar gaandeweg steeds serieuzer.

Dat laatste ging gepaard met rare stuiptrekkingen. Fameus voorbeeld is die ene persconferentie van Brein, waar alle media en belangenorganisaties welkom waren, behalve – zo meldde een daartoe speciaal opgehangen A4’tje bij de entrée – Bits of Freedom.

Inmiddels durft niemand Bits of Freedom meer te negeren. Medewerkers doen hun zegje tijdens commissievergaderingen van het parlement, worden overal uitgenodigd als deskundigen, spreken op chique congressen en lobbyen zich een slag in de rondte. Tientallen vrijwilligers staan Bits of Freedom bij. De organisatie loopt als een trein.

Maar omdat Bits of Freedom (uiteraard) ongesubsidieerd werkt, is het bestaan van de club afhankelijk van donateurs en sponsors. En juist daar wringt het nu: het geld raakt op. Bits of Freedom heeft dringend donateurs nodig.

Bent u een ‘gewone’ internetgebruiker? Wees uw eigen zeehondje, en geef dit jaar eens gul aan Bits of Freedom. Verdient u uw geld met internet? Geef dan voortaan een deel van uw winst aan hen. Want zonder Bits of Freedom zou internet in Nederland allang niet meer zijn wat het nu is.

“Bitcoin-exchange krijgt status van bank”

Geplaatst op in Innovatie, 47 reacties

Bitcoin-Central heeft in Europa de status van bank gekregen, las ik bij Tweakers. Dat is niet helemaal juist: het Bitcoin-wisselkantoor Paymium dat achter Bitcoin-Central zit, heeft een contract gesloten met betalingsprovider Aqoba, die weer samenwerkt met de Franse Crédit Mutuel Arkéa bank. Op grond hiervan mag Paymium geld bewaren voor haar klanten, en dat doet ze in de vorm van Bitcoins. Maar je kunt geen bankrekeningnummer krijgen bij Bitcoin-Central, en overboeken kan al helemaal niet.

Het is wel een mooie stap vooruit in de erkenning van bitcoins als gewoon betaalmiddel, en niet alleen schimmig ruildinges voor transacties die het licht niet kunnen verdragen. Bitcoins zijn als compleet gedecentraliseerd en anoniem betaalmiddel altijd een beetje in dat verdomhoekje blijven zitten helaas.

In die hypetijd kreeg ik veel vragen over de juridische status van bitcoins, maar helaas had ik nooit de tijd om het eens echt uit te zoeken. Gelukkig zijn er andere mensen die dat wel hebben gedaan. Een mooi startpunt is de scriptie van Mark A. Jansen, die onder meer onderzocht wat de Belastingdienst vindt van bitcoins. Dat blijkt verrassend simpel:

Omdat u deze bitcoins kunt inwisselen tegen geld en de bitcoins daarom een bepaalde waarde vertegenwoordigen vormen deze bitcoins een onderdeel van uw vermogensbestanddelen. De waarde dient dan ook aangegeven te worden in box 3.

En ja, dat geldt dan ook voor virtuele goederen in online spellen zoals Second Life of World of Warcraft. Hoe de Belastingdienst hier een controle op uit zou willen voeren, weet ik niet: zouden ze je kunnen verplichten in te loggen op je account en te laten zien wat je hebt en wat dat waard is?

Mark van Cuijk dook dieper op de vraag in hoe je aangifte doet van inkomsten betaald in bitcoins, bv. als je een dienst verleent of als je werkgever je uitbetaalt in bitcoins.

Bitcoins zijn een niet in geld genoten inkomst op het moment dat iemand de beschikkingsmacht over die Bitcoins heeft verkregen.

Als je als werknemer je salaris in Bitcoin ontvangt, zal de Belastingdienst dit dus waarschijnlijk aanmerken als loon in natura.

Helemaal intrigerend wordt het als je bitcoins zelf gaat ‘minen’, wat nog steeds kan hoewel het wel steeds moeilijker wordt. Bij dat mijnen ontstaan nieuwe bitcoins uit het niets, en voor “vermogen dat je uit het niets krijgt” is er geen standaardcategorie bij de belastingaangifte. Ik denk dat het komt te vallen onder gewoon vermogensaanwas, net alsof je het geschonken hebt gekregen.

Update (11 december) Folkert van Heusden zocht uit wat je moet doen als je factureert in Bitcoins:

“In dit geval betekent dit dat als u wegens een levering of een dienst een factuur moet uitreiken, de wisselkoers moet worden genomen die geldt op de dag waarop de factuur is uitgereikt of uiterlijk uitgereikt had moeten worden. Als er gen verplichting tot het uitreiken van een factuur is, dan wordt de omzetbelasting verschuldigd op het tijdstip waarop de ondernemer de vergoeding ontvangt.”

Bij Bitcoinspot hopen ze dat er meer exchanges zullen volgen. Ik ben benieuwd. Voor mijn gevoel zit het systeem nog steeds in een hele diepe niche, en ik vraag me af wat er nodig zal zijn om het net zo mainstream te maken als Paypal of creditcards.

Arnoud

ANWB’s Wegenwacht onder de Wet Van Dam

Geplaatst op in Informatiemaatschappij, 31 reacties

Bijna dagelijks word ik gemaild door mensen die hun abonnement op de Wegenwacht van de ANWB willen opzeggen met een beroep op de Wet Van Dam. Deze wet bepaalt immers dat je élk stilzwijgend verlengd contract mag opzeggen met opzegtermijn van een maand. Nou ja, bijna elk. De regels voor tijdschriften zijn iets anders, en ook het lidmaatschap van verenigingen is uitgesloten. Nu is de ANWB een vereniging, maar de dienst Wegenwacht wordt formeel apart aangeboden. Dus zou die opzegbaar moeten zijn, zou je denken. Maar de ANWB denkt daar anders over: zij ziet de Wegenwacht als een verzekering en bij invoering van de Wet Van Dam is ooit gezegd dat verzekeringen niet vallen onder deze wet. Maar ís dit wel een verzekering?

Een verzekering is volgens de wet (art. 7:925 BW) een overeenkomst waarbij de verzekeraar een uitkering doet (in geld of in een andere prestatie, art. 7:926 BW) wanneer zich een onvoorzienbare gebeurtenis voordoet. En die definitie past precies op wat de ANWB doet: zij verrichten de prestatie van schadeherstel wanneer zich de onvoorzienbare gebeurtenis van autopech voordoet.

Ik vond echter een recent arrest over een pechhulpdienst die aangeslagen werd voor assurantiebelasting, en dit aanvocht met het argument dat zij geen verzekeraar was. En ik werd vrolijk van de zin “dat niet elke overeenkomst waarin de voornoemde elementen kunnen worden ontwaard, verzekering in de zin van de wet is”. Want het is precies die formalistische lezing van de wet die me irriteert bij de ANWB. Nérgens noemt de ANWB haar pechhulpdienst een verzekering, nergens staat iets over een polis – het is evident dat ze de dienst gewoon als een abonnementsdienst bedoelen en het pas ‘verzekering’ zijn gaan noemen toen men peentjes begon te zweten over de Wet Van Dam.

Het Gerechtshof wijst erop dat je niet alleen moet kijken naar óf er iets wordt gedaan dat “geld of een andere prestatie” genoemd kan worden, maar ook wat het dóel daarvan is. Het doel van een verzekering is namelijk primair vergoeding van schade. Vergoeding kan in natura gebeuren (bv. je afgebrande huis wordt opnieuw opgebouwd of je krijgt een gratis rit naar huis als je auto gestolen blijkt) maar voorop moet staan dat het gaat om “het goedmaken van op geld waardeerbare schade of verlies”.

Een pechhulpdienst voldoet daar niet aan. Die strekt er vooral toe om “ongemak weg te nemen en inspanning te voorkomen”, en ongemak en inspanning tellen niet als “op geld waardeerbare schade of verlies”. Hoewel het hier ging om pechhulp aan fietsers, rolstoelrijders en scooterbestuurders, zie ik niet in waarom dit bij pechhulp voor een auto anders zou zijn. Lekke band is lekke band.

Verder is de Wegenwacht zo’n beetje hét voorbeeld van een stilzwijgend verlengd contract dat het soort ergernis oproept waar deze wet voor gemaakt is. Ik kan er dus werkelijk niet bij dat nu juist de Wegenwacht uitgesloten zou zijn. Ik hoop van ganser harte dat iemand naar de rechter stapt.

Update (13 februari 2015) een lezer wees me op het Hoge Raad-arrest in cassatie op bovenstaande, waar ik heel wat minder vrolijk van werd.

4.3 Een schadeverzekering is in artikel 7:944 BW gedefinieerd als een verzekering strekkende tot vergoeding van vermogensschade die de verzekerde zou kunnen lijden. De onderhavige overeenkomsten, die ertoe strekken om tegen een jaarlijkse betaling hulp bij pech te bieden aan gebruikers van (elektrische) fietsen, rolstoelen en elektrische scooters, zijn aan te merken als schadeverzekering. Daarbij is de vermogensschade gelegen in het niet meer deugdelijk functioneren van het vervoermiddel. Dat het verhelpen van de pech mede het karakter heeft van hulpverlening kan hieraan niet afdoen.<br/> 4.4. Gelet op hetgeen hiervoor is overwogen heeft het Hof het begrip verzekering te beperkt uitgelegd. Het middel van de Staatssecretaris slaagt derhalve.
Het stoort me nog steeds dat de ANWB het pas expliciet ‘verzekering’ is gaan noemen ná de Wet Van Dam, maar goed, de Hoge Raad geeft ze daar nu wat meer ruimte voor.

Arnoud<br/> Foto: Yellow Flowers Free Photos Art & Fun, Flickr, CC-BY 2.0

Henk Krol, EPD-hacker, eh wacht, wat?

Geplaatst op in Security, 21 reacties

Medisch onderzoekscentrum ‘Diagnostiek voor U’ gaat schadevergoeding eisen van Kamerlid Henk Krol die in april een EPD-lek heeft onthuld, meldde Webwereld. Hij downloadde eerder dit jaar medische dossiers via het EPD nadat hij erachter kwam dat patiëntgegevens eenvoudig in te zien waren: er bleken accounts te zijn waarvan usernaam en wachtwoord hetzelfde (en vijf tekens lang) waren. Een gevalletje “let’s shoot the messenger”, lijkt het.

Natuurlijk, je mag niet inloggen op een account waar je geen officiële toegang toe hebt. Of het wachtwoord sterk of zwak is, maakt voor de wet niet uit. Computervredebreuk is computervredebreuk. Maar wanneer het nieuwsbelang zeer groot is, kán het zijn dat de rechter de strafwet buiten toepassing laat of je laat wegkomen met een schuldigverklaring zonder straf. Een bekend al wat ouder voorbeeld is de Revu-hack, waarbij het tijdschrift de privé-e-mailbox (brr wat een woord) van toen-staatssecretaris Jack de Vries wist te bruteforcen. Dat mocht van de rechter, hoewel het daarna snuffelen in de mailtjes alsnog werd bestraft.

Die zaak doortrekken zou betekenen dat Krol wél had mogen kijken of het klopt, die debiel slechte wachtwoorden, maar dat hij niet vervolgens allerlei dossiers had mogen opvragen. Want dat iedere ingelogde user bij ieder dossier kan, is een feature en geen bug. De nieuwswaarde daarvan is dus nul.

DvU pakt wel heel stevig uit met hun schadeclaim: alle gemaakte uren plus facturen van een extern bedrijf voor alle noodreparaties en herstelwerk. Of je dát allemaal aan Krol kunt wijten, waag ik toch te betwijfelen.

En hoe je dan boven een ton uitkomt al helemaal. Ik kan me dat bedrag alleen voorstellen als ze naast het noodwerk ook de tijd voor structurele verbeteringen hebben meegeteld. En dát mag niet, zo bleek uit de DDoS-kabouterschadeclaimzaak waarin overheidsautomatiseerder ICTU een dikke vier ton vorderde voor oplossen problemen en structureel herstel van schade. Nee, zei de rechter:

Slechts de kosten, gemaakt ten behoeve van de oplossing van de crisissituatie, ontstaan als gevolg van de aanvallen, kunnen aan gedaagden worden toegerekend. Kosten als gevolg van structurele (beveiligings)maatregelen dienen voor rekening van ICTU te blijven.

Ik kan me niet voorstellen dat de situatie hier anders is.

Overigens, zoals mijn collega Matthijs al schreef, Krol zal niet wegkomen met dat hij parlementariër is: alleen voor uitlatingen tijdens de vergadering van het parlement heeft hij immuniteit. Het zou wel wat zijn om dan eens live een hack uit te voeren, maar dat terzijde.

Arnoud