BSA lobbyt tegen nieuwe consumentenbescherming

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 27 reacties

Het is “onzinnig en schadelijk” als digitale diensten zoals cloud computing en betaalde downloads en streams in de nieuwe Europese regels voor consumentenbescherming worden opgenomen, las ik bij Webwereld woensdag. De softwarelobbygroep is er fel op tegen dat software en online diensten onder het consumentenrecht geschaard worden, wat het plan is met de in behandeling zijnde Consumentenrechtenrichtlijn.

Het zal wel aan mij liggen, maar de reactie van de BSA vind ik dan weer onzinnig:

Er ontstaan hierdoor namelijk hele rare en mogelijk schadelijke situaties, schetst Francisco Mingorance van de BSA. Zo eist de nieuwe richtlijn dat producten bij het afleveren niet defect zijn. Dit zou softwareleveranciers ontslaan van de plicht om later patches en updates te leveren, ten nadele van de consument.

Dat is natuurlijk niet wat “niet defect mogen zijn” betekent. Wat er nu al in de wet staat – en de ontwerprichtlijn niet verandert – is dat als producten tóch defect zijn, de winkelier die gratis moet herstellen. Of dat voor software geldt, is onduidelijk, hoewel in juni het Gerechtshof Arnhem oordeelde van wel. Lijkt me ook niet meer dan terecht eigenlijk.

Overigens betekent de conformiteitseis niet dat software per se foutvrij moet zijn. Als inherent aan software is dat er enige fouten in zullen zitten, dan hoort dat bij de redelijkerwijs gewekte verwachtingen. En díe bepalen waar je recht op hebt. Zeg maar, je weet dat Windows lek zal zijn maar dat er updates komen, dus meer dan updates bij ontdekte lekken kun je niet verwachten.

Door dit artikel werd ik wel weer geprikkeld om die ontwerprichtlijn eens te gaan lezen. Deze heeft als doel alle consumentenrechtgerelateerde richtlijnen te consolideren én de positie van de consument meteen maar te versterken.

Ik had goede hoop dat men software er ook expliciet onder zou schuiven, maar dat zie ik nergens in de tekst terug. Het enige dat ik over software zie, is de uitzondering op het retourrecht die nog steeds geformuleerd is alsof het 1995 is:

de levering van verzegelde audio- en video-opnamen en computerprogrammatuur waarvan de verzegeling door de consument is verbroken;

Kennelijk zwerft er dus ergens een recentere tekst rond waar wél meer over software in staat. Het persbericht van de EC van januari is informatief maar helpt niet echt. Iemand enig idee waar de geconsolideerde tekst staat?

Update (7 maart): Met dank aan PdL gevonden: het rapport plus het procedure-overzicht. Ik vermoed dat de BSA hierover valt:

Digital content: digital content transmitted to the consumer in a digital format, where the consumer obtains the possibility of use on a permanent basis or in a way similar to the physical possession of a good, should be treated as goods for the application of the Directive which apply to sales contracts. However, a withdrawal right should only apply until the moment the consumer chooses to download the digital content.

Met deze definitie is software (maar ook muziek en films) inderdaad onder de conformiteitseis te scharen. En, minstens zo leuk, je wordt dan eigenaar van je kopietje (en dus niet slechts licentienemer).

Arnoud

Retourrecht ook van toepassing bij ‘koop’ van gas of elektriciteit

Geplaatst op in Ondernemingsvrijheid, 26 reacties

Merkwaardig. Hoewel de wet het formeel niet toestaat, hebben twee kantonrechters nu geoordeeld dat je als consument recht hebt op de afkoelingsperiode van zeven werkdagen bij het afsluiten van energieleveringscontracten. En omdat de leveranciers hun klanten daarover niet hebben geïnformeerd, mochten de gedaagde consumenten hun contract tot drie maanden na de afsluitdatum opzeggen. (Met dank aan IT en Recht en eerder al Menno Weij die het signaleerden.)

Zowel de kantonrechter in Leeuwarden als die in Assen kregen een zaak voor zich over een telefonisch gesloten overeenkomst tot energielevering (beiden bij de NEM). In beide zaken betwistten de consumenten dat ze een overeenkomst hadden gesloten, en in beide zaken vindt de rechter de oplossing in het retourrecht of afkoelingsrecht dat je hebt bij aankopen via internet. Binnen zeven werkdagen na contractsluiting of na ontvangst van de zaak mag je deze retourneren en de koop ongedaan maken.

Een tikje merkwaardig is het wel dat de rechter deze regeling ook op gas en elektra van toepassing verklaart. Volgens de wet mag je ook bij leveringscontracten voor gas en elektriciteit (maar weer niet water via de waterleiding trouwens) spreken van “koop” (art. 7:5 BW). Maar er zit een beperking op het recht van retour: bestellingen van zaken die “naar hun aard” niet teruggezonden kunnen worden, mogen niet worden geannuleerd (art. 7:46d lid 4 sub d.3 BW). Mijn collega Sara besprak vorig jaar wat die uitzondering inhoudt:

Onder ‘naar zijn aard niet kunnen worden teruggezonden” vallen alleen producten waarvan het echt fysiek onmogelijk is deze aan de verkoper terug te sturen. Een geneesmiddel komt per post en kan dan natuurlijk ook weer per post worden teruggestuurd. Deze uitkomst is voor het merendeel van de webwinkeliers dan ook waarschijnlijk teleurstellend: naast elektriciteit en leidingwater is het mij echter nog niet gelukt een ander product te bedenken wat onder deze uitsluiting zou kunnen vallen.

De NEM doet het dus precies goed, zou je zeggen. Maar nee, de kantonrechters zien dat toch anders:

Bij een overeenkomst tot levering van gas en elektra gaat het echter niet om een eenmalig geleverde prestatie, maar is sprake van een duurovereenkomst. Door ontbinding kan verdere levering ongedaan worden gemaakt. Daarnaast valt niet in te zien dat een consument tot ontbinding van zo’n overeenkomst zou wensen over te gaan omdat de geleverde zaak hem bij nader inzien niet bevalt en dat met die ontbinding zou worden beoogd om datgene wat aan gas en elektra al is geleverd terug te geven.

Het komt er ongeveer op neer dat als je niet één zaak (één molecuul gas of één elektron) bestelt maar meerdere, je ook na ontvangst van de eerste paar zaken nog mag annuleren zolang je maar binnen de zeven werkdagen zit. En daarom is het niet logisch dat het recht van retour niet zou gelden voor levering van gas en elektriciteit.

Dat de al geleverde zaken niet teruggestuurd kunnen worden, maakt daarbij niet uit. Het al betaalde abonnementsgeld dient als compensatie daarvoor. Op zich kan dat, de regels voor ontbinding bepalen dat als ongedaan maken onmogelijk is, er een verplichting tot schadevergoeding ter waarde van de geleverde prestatie ontstaat (art. 6:272 BW).

Hoewel ik fan ben van consumentenbescherming heb ik moeite met deze redenering. De wet zet hier duidelijke grenzen, en als rechters dan zelf gaan verzinnen dat deze soms toch niet gelden, dan open je de deur om in feite het hele retourrecht van geval tot geval te beoordelen en al of niet buiten toepassing te laten.

Arnoud

Nieuw op Ius mentis: Ethisch en journalistiek verantwoord hacken

Geplaatst op in Iusmentis, 38 reacties

Ook journalisten moeten zich aan de wet houden. Maar als publicatie een maatschappelijk belang dient, kan het zijn dat de strafwet daarvoor moet wijken. Dit gegeven speelt een belangrijke rol bij publiceren over veiligheidslekken en ICT-problemen. Over dit onderwerp schreef ik een nieuw artikel op Ius mentis, mede gebaseerd op mijn presentatie over legaal hacken uit december vorig jaar.

De strafwet geldt voor iedereen. Het kraken van beveiligingen, inbreken in gebouwen of het wegnemen van documenten is verboden, en daarbij maakt het beroep dat je uitoefent niet uit. Maar onder uitzonderlijke omstandigheden kan een journalist vrijuit gaan met een beroep op de persvrijheid.

Wanneer een publicatie een maatschappelijk belang dient en niet verder gaat dan noodzakelijk voor dat doel, dan kan het toegestaan zijn om in die publicatie bijvoorbeeld te onthullen dat een bepaald systeem onveilig of lek is. Ook zou je onder die omstandigheden geheime of ‘gestolen’ informatie kunnen publiceren. Maar of je met een beroep op de persvrijheid een systeem mag platleggen bij wijze van protest, is een open vraag.

Lees verder in Ethisch en journalistiek verantwoord hacken op Ius mentis. En dan hoor ik graag wat er nog mist 🙂

Arnoud

Mag je bloggen over je kind?

Geplaatst op in Privacy, Uitingsvrijheid, 52 reacties

kinderen-oppassen-bord-verkeersbord-waarschuwing.pngMag je als vader zonder ouderlijk gezag op een blog schrijven over je kind, inclusief foto? Met die lastige vraag zag eind januari de rechtbank Arnhem zich geconfronteerd. Ik krijg daar zelf ook veel mail over (zie bv. de blog Je ex zet foto’s van je kind online) en elke keer blijkt het weer zó lastig te liggen dat een algemeen antwoord nauwelijks te geven is.

Dat concludeert nu ook de rechtbank: het gaat hier om een botsing tussen de vrije meningsuiting van de vader en de privacy van het kind. Die twee grondrechten zijn in beginsel gelijkwaardig, dus je kunt niet op voorhand zeggen dat één van de twee altijd moet winnen. De enige manier om te bepalen wat de doorslag behoort te geven, is door te kijken naar de concrete omstandigheden van het geval. Daarbij speelt een belangrijke rol de vraag of de uitlatingen die worden gedaan op waarheid berusten en de manier waarop die uitlatingen worden gedaan.

In dit geval ging het om de volgende inhoud:

Op de weblog staat één sterk verouderde foto van [naam minderjarige], waarvan onweersproken is gesteld dat de huidige [naam minderjarige] daarin niet kan worden herkend. De spaarzame andere foto’s op de weblog zijn van familieleden van [gedaagde]. De weblog is voornamelijk een korte opsomming van gebeurtenissen in het leven van [gedaagde] zelf, zoals het overlijden van zijn moeder en de geboorte van een neefje. …

Daarnaast vermeldt de weblog jaarlijks een felicitatie aan [naam minderjarige] op zijn verjaardag met de vermelding dat [naam minderjarige] nog altijd een rol speelt in het leven van [gedaagde]. [gedaagde] schrijft dus met name over zichzelf op de weblog en over zijn gevoelens voor [naam minderjarige]. Er staat feitelijk niets op de weblog over het leven van [naam minderjarige], behoudens dat hij een vader heeft die hem mist. …

Onbetwist is dat [gedaagde] vanaf 2003 geen enkel contact meer heeft met [naam minderjarige] en [eiseres] sindsdien ook geen enkele informatie over [naam minderjarige] aan [gedaagde] heeft gegeven, ondanks de aan [eiseres] opgelegde informatieplicht in de beschikking van 9 november 2005.

Een dergelijk verslag vindt de rechtbank niet onrechtmatig. Er wordt niets onbetamelijks of smadelijks gezegd, en onvoldoende onderbouwd is dat de privacy van het kind met deze publicatie geschonden zou worden. Het enkele noemen van de naam is kennelijk niet genoeg om een privacyschending te krijgen (vergelijk Persvrijheid versus Wet bescherming persoonsgegevens van 2 weken terug).

In 2009 echter vond de rechtbank Almelo nog dat het plaatsen van foto’s op een publieke (niet-afgeschermde) Hyvespagina inbreuk op de privacy opleverde. Heel veel verschil tussen namen en foto’s zie ik eigenlijk niet. Sterker nog ik zou zeggen dat een tekst met voor- en achternaam erger is dan een foto – namen zijn googelbaar, foto’s (nog) niet.

Arnoud

Stilzwijgende verlenging van een proefabonnement, mag dat?

Geplaatst op in Informatiemaatschappij, 23 reacties

Regelmatig krijg ik vragen over proefabonnementen op van alles en nog wat (maar opvallend vaak websites voor volwassenen). De term “proefabonnement” wekt de indruk dat je gedurende een korte tijd het gebodene mag uitproberen, en daarna kunt beslissen of je verder wilt. Maar in de praktijk staat er vaak in de kleine lettertjes dat zonder tegenbericht het proefabonnement wordt omgezet in een volledig en betaald abonnement. En dat lijkt toch meestal niet te kunnen, zo blijkt uit de rechtspraak die ik vond.

Veel rechtspraak lijkt van mening dat stilzwijgende omzetting van een proefabonnement niet redelijk is. Zo oordeelde de rechtbank Alkmaar bij herhaling dat

Het zogeheten Try-out Membership wordt uitdrukkelijk gepresenteerd als een korte, gratis proefperiode. Bij een dergelijk abonnement hoeft de geïnteresseerde in het algemeen niet erop bedacht te zijn dat wanneer niet binnen de looptijd van dit proefabonnement wordt opgezegd een vast doch niet kosteloos abonnement wordt aangegaan.

In een andere zaak vernietigde de rechtbank Utrecht de algemene voorwaarden die stilzwijgende verlenging bepaalden, omdat deze onredelijk bezwarend waren (mede omdat je per aangetekende brief moest opzeggen). Hetzelfde in een andere zaak waarbij de indruk werd gewekt dat het proefabonnement op zich stond en daarmee de wederpartij erop mocht vertrouwen dat er geen sprake was van verlenging.

De kantonrechter in Eindhoven deed in 2006 (9 maart 2006, zaaknr. 423665, rolnr. 10534/05, niet gepubliceerd) hetzelfde in zeer scherpe bewoordingen:

4.3 In aanmerking genomen echter dat de eerste tien dagen een proeftijd zijn is de voorwaarde van automatische verlening onredelijk bezwarend.<br/> 4.4 Immers: met die voorwaarde maakt Lis het zichzelf gemakkelijk, zonder daar een rechtens te beschermen belang bij te hebben: van zo’n belang is althans niet gebleken. Daartegenover is het de klant juist moeilijk gemaakt; die moet maar zien dat hij het nodige doet om het abonnement op tijd opgezegd te krijgen, terwijl hij toch het rechtens te beschermen belang heeft dat hem niet als hij even niet oplet, en dus ongewild, een voortzetting van het abonnement aangesmeerd wordt.<br/> 4.5 Ten overvloede wordt overwogen dat de uitkomst van het gegeven oordeel in overeenstemming is met het proeftijdkarakter van de eerste tien dagen. Een proeftijd is bedoeld om de gunst van de klant te winnen; daarbij past dat de aanbieder vervolgens moeite doet om een contract te bemachtigen; niet dat de klant moeite moet doen een contract te voorkomen.

De rechtbank Rotterdam vond een try-outmembership van één maand dat omgezet werd in een jaarabonnement (Platinum Membership) echter niet onredelijk. Daarbij werd vooral gekeken naar de grijze en zwarte lijsten, die verlenging van meer dan een jaar en opzegtermijnen van meer dan drie maanden verbieden. Dat is niet helemaal zoals het hoort: een voorwaarde kan ook onredelijk zijn zonder dat deze op de grijze of zwarte lijst staat.

Props nog voor rechtbank Zwolle die een onredelijk geacht omzettingsbeding vernietigde en expliciet niet vertaalde naar iets dat wellicht wel redelijk zou zijn:

Voor conversie, waarmee een dergelijk beding niet nadelig hoeft uit te pakken voor degene die zich van zo’n onheus beding bedient, behoort geen plaats te zijn. Daarom is het gehele verlengingsbeding vernietigbaar en behoeft [gedaagde] niets te betalen.

Wie onredelijke bedingen schrijft, behoort als straf het gehele beding kwijt te raken en niet een geconverteerd of redelijk alternatief te mogen hanteren. Update (14 februari 2013) het Hof van Justitie bepaalt dat conversie of reductie van vernietigde algemene voorwaarden inderdaad niet is toegestaan.

Een verlenging kan ook worden vernietigd als de opzegprocedure niet duidelijk is (zie ook deze en deze zaken over de wettelijk verplichte bevestiging):

Omdat [eiseres] niet heeft gesteld dat in maart 2002 de door haar overgelegde algemene voorwaarden via het internet te verkrijgen waren en [gedaagde] onweersproken heeft gesteld en heeft aangetoond dat de door hem overgelegde algemene voorwaarden wel via het internet zijn verkregen, houdt de kantonrechter het ervoor dat de door [gedaagde] overgelegde algemene voorwaarden van toepassing waren en derhalve aan [gedaagde] onvoldoende duidelijk is gemaakt op welke wijze hij zijn proefabonnement kon opzeggen. Hieruit volgt dat [eiseres] er ten onrechte vanuit is gegaan dat, omdat geen opzegging van [gedaagde] werd ontvangen, een abonnement (Platinum Membership) van één jaar tot stand is gekomen.

Wel moet je meteen reageren na je eerste factuur. In 2003 liet een man het op de incassoprocedure aankomen en ging onderuit:

Het had op de weg van [gedaagde] gelegen om, nadat hij de eerste factuur van ” 150,00 ontving, na te gaan waarom hij deze verschuldigd was. [gedaagde] heeft dit kennelijk niet gedaan en pas in november/december 2002 na incassomaatregelen actie ondernomen. Dit was te laat, zoals hierna blijkt.

In 2012 zal dit allemaal een stuk duidelijker worden. Het wetsvoorstel-Van Dam dat stilzwijgende verlenging aan banden legt, bevat namelijk ook een verbod op stilzwijgende verlenging van proefabonnementen. Op de zwarte lijst van algemene voorwaarden zal dan komen te staan

[een beding] dat in geval van een overeenkomst met beperkte duur tot het geregeld ter kennismaking afleveren van dag-, nieuws-, weekbladen en tijdschriften leidt tot voortzetting van de overeenkomst.

Bovendien zou áls er al verlengd mocht worden, die verlenging per maand opgezegd mogen worden.

Arnoud

Nieuw boek: Hosting: Deskundig en praktisch juridisch advies

Geplaatst op in Iusmentis, 4 reacties

In januari aangekondigd, nu verkrijgbaar: Hosting: Deskundig en praktisch juridisch advies van mijn adviesbureau ICTRecht. Op een praktische manier leggen we uit aan welke eisen een hoster moet voldoen en met welke wetgeving hij te maken krijgt.

Bent u bijvoorbeeld aansprakelijk voor downtime, en tot welk bedrag? Kunt u verantwoordelijk worden gehouden als uw klanten iets onrechtmatigs publiceren? Moet u contactgegevens van klanten afstaan als deze beschuldigd worden van illegaal P2P-gebruik? Bent u überhaupt verplicht de privacy van uw klanten te beschermen en in welke mate dan? En geldt die gekke bewaarplicht voor telecomgegevens eigenlijk ook voor u?

Lees ook de recensie van Rashid Niamat.

Het boek is te koop bij ICTRecht zelf maar ook bij Managementboek en Computer Collectief. 19,95 inclusief BTW, vraag naar de verzendkosten.

Arnoud

Wanneer heb je recht op toegang tot de media?

Geplaatst op in Uitingsvrijheid, 12 reacties

Nee, op andermans blog of site heb je géén recht om je mening te uiten. Je kunt niet zomaar eisen dat een site jouw ingezonden opiniestuk publiceert. Dat maak ik op uit de recente uitspraak van het EHRM in de zaak-Saliyev (35016/03, via) over een ingezonden artikel dat de krant eerst zou plaatsen en uiteindelijk terugtrok (al dan niet onder kennelijke druk van de lokale overheid).

Voor website-eigenaren relevant is de overweging waar het Hof mee opent:

[A]s a general rule, privately owned newspapers must be free to exercise editorial discretion in deciding whether to publish articles, comments and letters submitted by private individuals or even by their own staff reporters and journalists. The State’s obligation to ensure the individual’s freedom of expression does not give private citizens or organisations an unfettered right of access to the media in order to put forward opinions

Wat voor een krantenuitgever geldt, geldt natuurlijk ook voor de eigenaar van een website. Het censuurverbod betekent dat de Staat mensen niets in de weg mag leggen om te publiceren, maar niet dat andere private partijen zich actief moeten inspannen om een mening door te geven. Persvrijheid bestaat alleen voor wie een pers heeft, zeg maar.

Op zich acht ik dat terecht. Het zou ook wel een grote uitholling van het eigendomsrecht zijn als een ieder al te gemakkelijk met een beroep op vrije meningsuiting zich onbeperkt toegang tot en gebruik van andermans eigendom kon verschaffen. Een winnend beroep op de uitingsvrijheid dient dan ook de uitzondering te zijn: het kán wel maar alleen onder zéér bijzondere omstandigheden. Zo werd in de jaren zeventig het recht bevochten om andermans eigendom te mogen gebruiken ten behoeve van een eigen meningsuiting, namelijk door posters met meningen te mogen plakken op muren of gebouwen. Als de staat totaal géén mogelijkheid gaf om legaal aan te plakken, dan moesten de burgers maar tolereren dat er op hun muur werd geplakt. Vandaar dus dat er allerlei openbare aanplakborden in vrijwel elke gemeente staan.

In de jaren tachtig speelde deze kwestie bij de vraag of verslaggevers toegang moesten krijgen tot voetbalstadions, dit op grond van het recht van vrije nieuwsgaring. De gebouwen zijn eigendom van de voetbalclubs, maar in principe kan iedereen (tegen betaling) naar binnen gaan. Mag de voetbalclub dan de voorwaarde stellen dat men alleen naar binnen mag indien men niet filmt? De Hoge Raad oordeelde van wel. Ook in situaties als deze behoort het eigendomsrecht boven de vrije meningsuiting te gaan. De stadions waren opgesteld voor publiek, maar nog steeds privé-eigendom.

In de Europese Appleby-zaak wilde een groep demonstranten in een winkelcentrum ” ook een semi-openbare ruimte ” haar mening uiten. De (private) eigenaar verbood dit op grond van zijn eigendomsrecht. Het EHRM oordeelde dat dit in beginsel inderdaad toegelaten was. Het eigendomsrecht woog zeer zwaar en kon in beginsel slechts opzij gezet worden wanneer sprake was van

preventing any effectieve exercise of freedom of expression or [if] it can be said that the essence of the right has been destroyed (r.o. 47).

Bij wijze van analogie: als het gehele stadscentrum privaat eigendom is, dan mag de eigenaar van het stadscentrum niet categorisch iedere demonstratie of flyeractie weigeren. Maar als het alleen gaat om één koopgoot, dan mag dat wel want je hoeft dan niet per se daar te demonstreren of flyeren.

Als ik dat doortrek naar internet, dan zou ik niet snel een site of dienst weten waar je zou moeten kunnen eisen dat men je mening doorgeeft. Heel misschien bij een zeer zeer machtige partij zoals Google. Als Google jou categorisch blokkeert, ongeacht site of dienst waarmee je communiceert, dan heb je wellicht een kans bij de rechter. Ja, ook in Californië: Robins v. Pruneyard Shopping Center (1979, 23 Cal. 3d 899, 910).

Maar het wordt al snel heel gezocht: zou je Facebook kunnen verplichten je profiel intact te laten, omdat je anders je vrienden niet meer kunt bereiken? Kun je van WordPress.com (of de Volkskrant) eisen dat ze je blog online laten staan, met als argument dat een privé opgezette blog lang niet zo goed vindbaar is als een bij hen gehost blog? Ik twijfel.

Arnoud

Toxbot-verspreider pleegde computervredebreuk en “gemeen gevaar” voor financiële dienstverlening

Geplaatst op in Security, 11 reacties

De uitspraak van het Gerechtshof tegen de Nederlandse hacker die enkele jaren geleden werd veroordeeld voor het verspreiden van het W32.Toxbot-virus om zo een botnet te bouwen, is door de Hoge Raad vernietigd. Dat meldde ISPam.nl gisteren. Het Gerechtshof had de verkeerde toets aangelegd om te bepalen of sprake was van “gemeen gevaar” voor het verlenen van diensten. Maar het binnendringen in een ongepatchte Windows XP Servicepack 0-computer is wel degelijk computervredebreuk, want “[de Hoge Raad] heeft geoordeeld dat elke consumentenversie van het computerbesturingssysteem Windows XP is voorzien van enige beveiliging in de zin van art. 138a, eerste lid aanhef en onder a, (oud) Sr.”

In 2005 rolde de Nationale Recherche een botnet op van meer dan 100.000 gehackte computers dat opgebouwd was uit Toxbotbesmette computer. Het netwerk werd gebruikt als springplank voor computervredebreuk maar ook voor het kapen van Ebay- en Paypalaccounts. Dankzij onder meer een oplettende SARA-systeembeheerder kon een onderzoek gestart worden, waar onder meer uit bleek dat meneer flink de pé in had omdat hij het virus “codbot” wilde noemen en “stomme av’s” hadden gekozen voor “toxbot”. Maar, iets relevanter: dat hij updates van Toxbot verstuurde naar een medeverdachte en dat beiden commando’s gaven aan het botnetwerk dat zij beheerden om nieuwe versies van het virus te verspreiden.

Onder de toenmalige Wet Computercriminaliteit kon slechts sprake zijn van computervredebreuk als een beveiliging werd doorbroken. En dat stond hier ter discussie, omdat Windows van vóór SP2 naar deskundige meningen zo lek als een mandje (zonder onderkant) geacht wordt. Maar dat maakt niet uit. Zodra het slachtoffer van computervredebreuk kan aantonen dat er sprake is van enige reële beveiliging dan is dat voldoende. Omdat Microsoft de optie van administratortoegang van buitenaf bij de introductie van XP bewust geblokkeerd had, en Toxbot toch met adminprivileges kon draaien, was daarmee sprake van doorbreken van een beveiliging.

In haar arrest had het Gerechtshof daarbij geconstateerd

Zoals uit de wetsgeschiedenis blijkt kan daarbij worden gedacht aan het plaatsen van een tekst op het beeldscherm dat toegang voor onbevoegden verboden is. Maar omdat deze woorden een per ongeluk tot stand gekomen toegang niet uitsluiten, bevat voornoemd artikel 138a onder meer ook het aanvullende vereiste dat sprake moet zijn van enige beveiliging, ofwel een kenbare drempel zodat onbevoegden zich niet simpelweg de toegang kunnen verschaffen.

De Hoge Raad stemt daarmee in en voegt daaraan toe:

dat onder het doorbreken van enige beveiliging, zoals bedoeld in art. 138a, eerste lid onder a, (oud) Sr, mede dient te worden verstaan het tegen de wil van de rechthebbende binnendringen in een computer langs een weg die de aanwezige beveiliging niet of onvoldoende afsluit. Daarbij is, anders dan de steller van het middel betoogt, niet van belang of die opening inherent is aan het systeem of is veroorzaakt door andere ‘aanvallers’.

Onder het huidige recht geldt een nóg lagere standaard: je hoeft niet eens een beveiliging te doorbreken, genoeg is “het tegen de wil van de rechthebbende binnendringen in een computer”. (Hoewel in april 2010 binnendringen op een draadloos netwerk niet strafbaar werd geacht.)

Het Gerechtshof had bij de gekaapte Ebay- en Paypalaccounts geoordeeld dat geen sprake was van het veroorzaken van “gemeen gevaar” voor dienstverlening. Dat artikel (ook ingezet bij DDoS-aanvallen) was niet van toepassing volgens het Hof omdat alleen de computers van de eindgebruikers waren verstoord, en niet de servers die de dienst leveren. Zolang die servers gewoon draaien, is er geen “gemeen gevaar”, zeg maar.

Dat onderscheid is echter irrelevant volgens de Hoge Raad. Het gaat er niet om of servers dan wel clients verstoord worden, maar of er sprake is van “gevaar voor een ongestoorde dienstverlening aan een onbestemd doch aanmerkelijk aantal afnemers.” Het gaat erom of van de opzettelijk veroorzaakte stoornis gemeen gevaar te duchten was voor een ongestoorde dienstverlening. En dat kan ik wel billijken: als je een groot deel van de clients weet te compromitteren dan breng je toch de dienstverlening in gevaar, zelfs als de servers ongestoord doordraaien. De dienst wordt op die manier onbetrouwbaar omdat mensen hun vertrouwen erin verliezen – en dat is eigenlijk erger dan dat de servers er om de haverklap uitliggen.

Arnoud

“You wouldn’t download a server” – maar Brein wel

Geplaatst op in Intellectuele rechten, 116 reacties

youwouldntdownloadaserversmall.pngStichting Brein handelde in strijd met de wet door servers zonder gerechtelijk bevel in beslag te nemen, meldde Tweakers gisteren op gezag van onder meer hoogleraar executie- en beslagrecht Ton Jongbloed. De stichting had de servers meegenomen bij hostingprovider Worldstream omdat deze een grote topsite zouden hosten. “Ik heb de indruk dat Worldstream wat makkelijk heeft gezegd: neem maar mee”, zei ik voorzichtig bij Webwereld. “Al kan ik me wel voorstellen dat partijen snel overdonderd en geïntimideerd zijn door de manier waarop Brein werkt.” Minder voorzichtigheid bij ITenRecht.nl: daar spreken ze van eigenrichting (art. 284 Strafrecht).

Brein beroept zich op de Auteurswet, en inderdaad staat er in artikel 28 van die wet dat een rechthebbende roerende zaken (zoals harde schijven dus) die een inbreuk opleveren kan opeisen als zijn eigendom dan wel onttrekking aan het verkeer, vernietiging of onbruikbaarmaking daarvan kan vorderen. Doel hiervan is dat illegale kopieën zo van de markt gehaald kunnen worden. Maar om van dit recht gebruik te kunnen maken, moet een rechter daar wel toestemming voor hebben gegeven. Zie de Memorie van Toelichting en artikel 10 van de Europese Richtlijn waar dit uit komt.

De rechter moet daarbij (zie achtste lid) zoeken naar “evenredigheid tussen de ernst van de inbreuk en de gevorderde maatregelen en met de belangen van derden.” Het lijkt me bijvoorbeeld wel redelijk dat de rechter inbeslagname en vernietiging van een stapel illegaal gekopieerde dvd’s vordert, maar niet dat een boek wordt teruggehaald omdat er één inbreukmakende foto in staat. Hoe dat bij servers moet uitpakken, is een lastige vraag want dit is nog niet eerder aan de orde geweest. Belangrijk lijkt me in ieder geval wel dat zo’n server ook de nodige niet-inbreukmakende data zal bevatten, zodat opeisen als eigendom me niet redelijk lijkt. Dat zou een onevenredige privacyschending zijn. Vernietiging van de server lijkt me dan meer voor de hand liggen – als vaststaat dat dit een zaak is die inbreuk op het auteursrecht oplevert.

Brein blijkt volgens Webwereld en in de server rondgekeken te hebben:

Brein schrijft tevens: “Van het Gmail-adres dat uw klant gebruikt werden geen bestanden teruggevonden op de in beslag genomen servers.” Dit impliceert dat Brein de inhoud van de servers heeft onderzocht. Bovendien klaagt de eigenaar dat er wachtwoorden van verschillende accounts zijn veranderd.

Nog even afgezien van de opmerking in hun eigen persbericht dat “Er zijn geen aanwijzingen dat er iets anders dan de inbreuken en daarmee verband houdende gegevens op de servers staan.” Hoe weet je dat als er niet gekeken is op de harde schijven?

De advocaat van de provider heeft beslag laten leggen bij Brein zodat deze de servers niet meer mag kwijtmaken of daar nog langer iets mee doen. Of en wanneer de provider een rechtszaak gaat beginnen tegen Brein is nog niet duidelijk.

Tijd in ieder geval voor een nieuw shirt (bedankt eth0 voor de tip): You wouldn’t download a server!

Update (14:46) bij Webwereld meldt de hoster dat “Als wij lucht krijgen van illegale content dan halen we dat meteen offline. Dat is ons goed recht. We willen gewoon geen rommel in ons netwerk.” Het meegeven aan Brein zou in overleg met een jurist zijn geaccordeerd.

Arnoud

Een interne mail als bewijs van een overeenkomst

Geplaatst op in Intellectuele rechten, 12 reacties

exact-compact.pngAls een offerte belooft dat je “meerdere gebruikers kunt aanmaken”, hoe veel zijn dat er dan? En als je dan achteraf hoort dat je maar met 2 gebruikers tegelijk ingelogd mag zijn, ben je dan bekocht? Een klant die Exact Compact 2003 voor hun hypotheekadviesbureau had aangeschaft, vond van wel en ontbond de licentie op die gronden. Exact was het daar niet mee eens en stapte naar de rechter om betaling van een kleine tienduizend euro aan licentiekosten plus wettelijke rente te eisen. De rechter vonnist dat Exact gelijk lijkt te hebben, en baseert zich op een interne mail van de klant als bewijs (via).

De klant, een hypotheekadviesbureau, had bij Exact een offerte opgevraagd voor een multi-user boekhoudpakket. De verkoper had een maatwerkofferte gestuurd, met daarop deze zinnen:

Naast de voordelen die Exact Compact 2003 Factuur biedt kunt u nu ook met meerdere gebruikers tegelijkertijd in de software werken. In Exact Compact 2003 kunt u hiervoor meerdere gebruikers aanmaken waarvan u kunt aangeven of ze al dan niet toegang tot Exact hebben.
In bijgevoegd orderformulier kunt u zelf aangeven met hoeveel extra gebruikers u tegelijkertijd in de software wilt werken.
Voor plaatsing van de order verzoeken wij u vriendelijk een ondertekende orderbevestiging tesamen met een ondertekende licentie- en onderhoudsregistratiekaart (laatste pagina van het boekje Exact-voorwaarden voor uw licentie en onderhoud) retour te sturen of te faxen naar Exact

De klant had de offerte voor akkoord getekend en geretourneerd, en ook een registratiekaart ingevuld waarop bij “Aantal gebruikers” het aantal “4” ingevuld was. Maar uiteindelijk (na onderhandelen over een korting) bleek dat maar twee gebruikers de software van het pakket gebruik konden maken, wat niet was wat de klant had verwacht. (Ik snap de licentiestructuur van Exact niet, maar dat zal wel aan de uitleg in het vonnis liggen.)

Het bedrijf had in eerste instantie gezegd dat er geen licentieovereenkomst was gesloten, omdat zij een licentie voor 4 gebruikers wilde en die niet had gekregen. Maar dat verwerpt de rechtbank. Het is misschien niet duidelijk wat er precies besteld is, maar dát er iets besteld is, staat vast. De vraag is dus: is geleverd wat er is besteld?

Exact krijgt de bewijslast: omdat zij zegt dat er keurig geleverd is en betaald moet worden, moet zij bewijzen dat het geleverde voldoet aan de wens van de klant. Dat was het geval volgens ExcelExact. Zij had een maatwerkofferte opgesteld op basis van wat de klant had aangegeven, en bij de constructie daarvan had de klant niet gezegd dat vier gebruikers tegelijkertijd de software hadden moeten kunnen gebruiken. De zinnen hierboven waren niet meer dan een standaardfrase. De klant zette daar tegenover dat mondeling herhaaldelijk was aangegeven dat vier mensen tegelijkertijd de software moesten kunnen gebruiken.

De rechtbank neemt de offerte en de registratiekaart als uitgangspunt, en constateert meteen dat deze “geen enkele duidelijkheid” opleveren over wat er nu precies afgesproken is. Maar men vond in het dossier nog een interne mail van de interim-manager van de klant die verslag doet van zijn gesprek met Exact (“lekker commercieel bij Exact””). En daar schrijft deze:

Ik heb zojuist met Exact contact gehad over het gebruik maken van Exact Compact door 2 gebruikers. Het zou zo moeten zijn dat je dan 4 x het pakket aanschaft (2 x 4 administraties en 2 x voor 2 gebruikers).

De klant had nimmer betwist dat deze mail correct zou zijn. Natuurlijk is dit een interne mail en geen toezegging aan of van Exact, maar de rechtbank gebruikt de mail heel slim: dit is bewijs van hoe de klant dacht dat het contract in elkaar zat. En deze samenvatting is precies zoals Exact het voorspiegelde. Daarmee lijkt Exact dus gelijk te hebben over dat de verkochte licenties voldeden aan de verwachtingen van de klant.

Omdat dit toch wat sneu lijkt, krijgt de klant nog de gelegenheid om tegenbewijs te leveren. Ik ben heel benieuwd waar men mee komt.

Arnoud