Laptop vervangen, maar data terug kost geld (2) (gastpost)

ddr-backup-cartridge.jpgIn ‘Laptop vervangen, maar data terug kost geld’ vroeg Arnoud zich af of de fabrikant ASUS aansprakelijk kon worden gesteld voor het verloren raken van gegevens bij de reparatie van een laptop. Volgens de fabrikant was reparatie niet mogelijk, maar de koper hoefde zich geen zorgen te maken: de laptop werd vervangen. Maar er zat wel een addertje onder het gras: het overzetten van de gegevens kosten 110 euro!

Vele van jullie vonden dat de koper van een computer de verantwoordelijkheid heeft om voor een goede backup te zorgen en dat ASUS daarom gelijk heeft. Daarin merkte anderen op dat ASUS een goed product moeten leveren en dat de koper daarom gelijk heeft. Het geluk wil dat over dit onderwerp twee arresten beschikbaar zijn.

In het arrest tussen PC-International / Pro 3 (LJN: AA6236, Rechtbank Arnhem , 1999/148) verklaarde de rechter:

Vooropgesteld wordt dat het in het algemeen bij het in reparatie geven van een computer nog onduidelijk is welke technische problemen er zijn en hoe deze verholpen kunnen worden. Op dat moment is het ook nog onduidelijk of alle data tot aan de reparatie ongeschonden op de harde schijf opgeslagen waren en of deze tijdens de reparatie behouden kunnen blijven. Dat kan pas tijdens die reparatie worden vastgesteld. Daarom geldt als uitgangspunt dat het maken en bewaren van een back-up behoort tot de verantwoordelijkheid van de gebruiker van een computersysteem, in casu Pro 3.

Pro 3 had een backup gemaakt voordat zij de computer ter reparatie hadden aangeboden. De reparateur had een backup gemaakt van de gegevens naar de harde schijf en dit gecommuniceerd met Pro 3. Die laatste heeft daarop de eigen backup verwijderd en daarna bleek dat de harde schijf die als backup diende voor de reparateur, defect was. De rechter heeft onder deze omstandigheden de reparateur in het gelijk gesteld en Pro 3 veroordeeld.

Hierbij heb ik een paar opmerkingen:

  1. De reparateur kan de gegevens niet van de harde schrijf afhalen als deze in een dergelijke slechte staat is dat dit technisch niet mogelijk is, dus dat deze dan niet aansprakelijk is te houden lijkt mij logisch. Het is voor mij echter niet vanzelf sprekend als het wel wel mogelijk was voor de reparateur om een backup te maken. Dat er tijdens de reparatie misschien iets kan gebeuren waardoor de gegevens verloren raken, lijkt mij eerder een argument dat pleit tegen de reparateur. Tijdens de reparatie van je auto kan ook wat misgaan, maar dat lijkt me geen reden om dit risico voor rekening van de eigenaar te laten komen. Het is mij niet duidelijk waarom dat in het geval van gegevens op een harde schrijf wel het geval zou moeten zijn.
  2. De reparateur is tevens de verkoper, wat ook tot een andere uitkomst zou kunnen leiden, maar die benaderingshoek wordt onderzocht in het arrest.
  3. Pro 3 heeft als software bedrijf een zekere deskundigheid en dat kan zeker meespelen; ik heb problemen met de algemene formulering.

Een arrest tussen een zakelijke particulier en een klein computerbedrijfje (LJN: AZ1228, Rechtbank Roermond , 72666 / HA ZA 06 – 210). Het computerbedrijfje was eerder al veroordeeld wegens wanprestatie, maar ging kort daarna failliet. De zakelijke particulier heeft vervolgens een arrest aangespannen tegen de werknemer omdat hij meende dat de werknemer met het wissen van de gegevens een onrechtmatige daad had geplaagd. De rechter gaf in deze zaak aan:

Vast staat daarnaast dat [gedaagde] niet aan [eiser] heeft meegedeeld dat het formatteren van de harde schijven een standaardonderdeel is van de reparatieprocedure; niet heeft gevraagd of er gegevens op de harde schijven stonden of dat daarvan kopieën waren gemaakt; niet heeft gewaarschuwd voor de gevolgen van de formattering en dat hij [eiser] niet de gelegenheid heeft gegeven om voorzorgsmaatregelen te nemen om het wissen van de bestanden te voorkomen terwijl hij evenmin zelf maatregelen heeft genomen om de bestanden te behouden. (…)

De rechtbank is van oordeel dat het niet geven van deze waarschuwingen in onderhavig geval als onzorgvuldig moet worden beschouwd. Immers, vast staat dat bij het formatteren van de harddisk de data die daarop aanwezig waren, verloren zouden gaan. Vast staat voorts dat het formatteren een onderdeel is geweest van de reparatie. (…)
Vast staat voorts dat het maken van een back-up zou hebben voorkomen dat de data die op de harddisk aanwezig waren, verloren zouden zijn gegaan. Bovendien staat vast dat [gedaagde] [eiser] niet als deskundig heeft ingeschat en dacht van doen te hebben met iemand die aan het “knutselen en rommelen” was. Gelet op deze feiten en omstandigheden had [gedaagde] [eiser] dienen te waarschuwen met voornoemde waarschuwingen. Het nalaten daarvan is te aan te merken als onzorgvuldig handelen van [gedaagde].

En daarmee achten de rechter dat de werknemer een onrechtmatige daad (6:162 BW) was begaan en daardoor de gevolgschade moest vergoeden.

Ik neig er toch erg naar om mijn oren te laten naar het tweede arrest. Het bevat verwijzingen naar wetsartikels en het er-kan-wat-fout-gaan argument vind ik erg zwak.

Alex de Kruijff
Alex is een ingenieur die elektronica en informatica heeft gestudeerd en juridische interesse heeft. Op zijn website kun je artikels over het besturingssysteem FreeBSD vinden, die je helpen bij het configureren er van.

Delen 2.0: balanceren in het tijdperk van informatie en conversatie

Mijn boek mocht een prominente rol spelen in de presentatie Delen 2.0 van Liesbeth en Marina, gemaakt voor de OCN 2008 conferentie. Bekijk de slides en maak uw volgende Powerpoint presentatie ook zo!

delen 2.0
View SlideShare presentation or Upload your own. (tags: copyright auteursrecht)

Marina en Liesbeth leggen uit:

Het is een verhaal over de manier waarop wij informatie 2.0 – die WIJ maken en gebruiken – móeten delen volgens de wet. Niet om het heffende vingertje op te heffen maar om internetgebruikers een steuntje in de rug te geven om ook daadwerkelijk actie te ondernemen als hun rechten met voeten getreden worden. Naast een vogelvlucht langs onze rechten en plichten wilden wij met deze presentatie vooral de geest prikkelen. Wat voor rol spelen jij en ik eigenlijk in de vorm die het internet nu heeft en vooral ook: welke rol kúnnen we spelen?

Arnoud

De zin en vooral onzin van e-mail disclaimers

wij-stellen-ons-niet-aansprakelijk.jpgGisteren kreeg ik een e-mail van iemand die mijn boek wilde bestellen. De e-mail bevatte zes regels informatie en 25 regels disclaimer. De e-mail was informeel bedoeld, bevatte mogelijk vertrouwelijke informatie die ik dan niet mocht doorgeven, kon virussen bevatten hoewel deze gescand was, mocht niet worden opgevat als een juridische toezegging(!) en vertegenwoordigde niet noodzakelijkerwijs de mening van de werkgever van de afzender.

Waarom doen mensen dit? Juridisch stelt het namelijk bizar weinig voor. Een echte disclaimer, een uitsluiting van aansprakelijkheid dus, is alleen geldig als dat vooraf zo afgesproken is. Hetzelfde geldt voor vertrouwelijkheid van een e-mail. Briefgeheim voor e-mail bestaat niet. Wie een mededeling per e-mail dan ook vertrouwelijk wil laten zijn, moet dat afspreken met de ontvanger.

De informatiedichtheid van de overige mededelingen is ook vrijwel nul. Omdat de tekst bij elke mail moet passen, moet men wel algemeen zijn: “bevat MOGELIJK vertrouwelijke informatie”, “KAN virussen bevatten” en is “niet NOODZAKELIJKERWIJS” de mening van de werkgever. Die teksten zijn altijd waar en vertellen dus niets.

Ik stel voor dat we vanaf nu de disclaimer op e-mails afschaffen en alleen nog zinnen toevoegen als dat werkelijk zinnig is. Zet er alleen een confidentiality notice onder als de mail echt vertrouwelijk is, en stuur mails die niet de mening van uw werkgever bevatten niet vanaf een zakelijk adres. Doet u mee?

Arnoud<br/> Plaatje via Eric’s blog

Een zwarte lijst beginnen voor webwinkels, mag dat?

blacklist-blackboard-bord-lijst.jpgEen lezer mailde me:

Als internetondernemer loop ik al een tijdje tegen het probleem aan dat er via mijn website met regelmaat ‘valse’ bestellingen gedaan worden. Klanten betalen niet, zendingen onder rembours worden nooit afgehaald op het postkantoor, er worden duidelijk foutieve gegevens ingevoerd, en ga zo maar door. Nu heb ik samen met een paar collega-ondernemers het plan om een zwarte lijst op te zetten. We zetten een website op waar we wanbetalers en oplichters kunnen aanmelden, zodat we die van elkaar kunnen zien. Maar mag dat eigenlijk wel? En moeten we de site dan achter een wachtwoord zetten, of mag het ook gewoon openbaar zijn?

Het aanleggen van zwarte lijsten is juridisch een moeilijk punt. Het belang voor winkeliers is duidelijk, maar het kan voor betrokken personen bijzonder vervelende gevolgen hebben. Zeker omdat mensen er onterecht op kunnen belanden. Wat nu als ik verhuis naar een plek waar een wanbetaler woonde? Dan krijg ik niets bij jou besteld. Of ik heb ruzie met een klant over iets ongerelateerds en zet hem op de zwarte lijst.

De Wet Bescherming Persoonsgegevens stelt strenge eisen aan zwarte lijsten. Het College heeft een checklist Zwarte lijsten opgesteld om te kunnen nagaan of een lijst binnen de wet blijft.

Voor een zwarte lijst gelden dezelfde regels als voor andere verwerkingen en registraties van persoonsgegevens. Zo moet vooraf aangekondigd zijn dat deze gegevens verwerkt worden. Een winkel moet dus op een of andere manier kenbaar maken dat men een zwarte lijst beheert. Ook moeten mensen in staat zijn om na te gaan dat zij op deze lijst staan, en hebben zij het recht om eraf gehaald te worden als blijkt dat hun vermelding onterecht was.

Verder moet een bedrijf of belangenorganisatie antwoord geven op de volgende vragen:

  1. Met welke gedragingen komt iemand op de zwarte lijst?
  2. Welk belang heeft het bedrijf bij de zwarte lijst?
  3. Hoe belangrijk is de dienst of het product voor de betrokken personen? Hoe belangrijker, hoe lastiger het is een zwarte lijst te hanteren.
  4. Is het gebruik van een zwarte lijst proportioneel? Met andere woorden, wegen de belangen van de winkelier op tegen de belangen van de betrokken personen?
  5. Is er geen andere mogelijkheid om de schade voor de winkelier te beperken (subsidiariteit)?
  6. Hoe en wanneer wordt iemand gemeld dat hij op de zwarte lijst staat?
  7. Hoe lang blijf je daarop staan, en wanneer ga je er weer af?

Er zijn nog meer eisen, zie daarvoor de checklist.

Voor de meelezende ondernemers: zou een zwarte lijst die je deelt met collega-bedrijven nuttig zijn in jullie branche?

Arnoud

Weer misleidende reclame van TG-Online Telefoongids

geen-factuur-aanbod-tg-online.pngHet is bijna ouderwets: een fax met een misleidende reclame-uiting. Leest er iemand nog reclamefaxen? Het beruchte bedrijf TG-Online stuurde een fax met aangehechte acceptgiro, met daarbij een klantnummer en de mededeling “Betaling gaarne binnen 14 dagen”. Dit in verband met een vermelding in een online telefoongids/bedrijvengids.

De fax ziet er uit als een factuur, en wekt dus de indruk dat er gewoon betaald moet worden. Zie het voorbeeld dat Molblog online zette. Maar het is stiekem gewoon een aanbod, wat er ook in hele kleine lettertjes tussen staat. In 2006 oordeelde de Reclame Code Commissie al dat dit misleidende reclame was.

Is hier iets tegen te doen? Niet zo veel, ben ik bang. Een misleidend aanbod is op dit moment niet verboden. Wel staat hier iets over in de binnenkort in werking tredende regels over oneerlijke handelspraktijken:

De volgende handelspraktijken zijn onder alle omstandigheden misleidend:<br/> u. marketingmateriaal voorzien van een factuur of een soortgelijk document waarin om betaling wordt gevraagd, waardoor bij de consument de indruk wordt gewekt dat hij het aangeprezen product al heeft besteld terwijl dat niet het geval is;
Wie deze handelspraktijk voert, handelt onrechtmatig – tegen consumenten. Niet tegen bedrijven die met deze praktijken te maken krijgen. En dat is precies de doelgroep die men hier op het oog heeft.

Een klein bedrijf zou kunnen betogen dat zij vergelijkbaar zijn met een consument en dus ook de bescherming van deze regels moet krijgen. Maar of dat lukt, is op dit moment nog een open vraag.

Ik moet zeggen, het verbaast me wel een beetje dat oneerlijke handelspraktijken tegen bedrijven gewoon toegestaan zijn.

Arnoud

Recht op DNS?

Collega-jurist Stefan Kulk had internetproblemen. Tsja, Ziggo. Enig speurwerk leidde hem tot de conclusie dat deze veroorzaakt werden door slecht werkende DNS-servers.

Stefan wist een mooie oplossing: gebruik gewoon alternatieve DNS-servers, zoals bijvoorbeeld OpenDNS die aanbiedt. Maar als echte jurist las hij eerst de kleine lettertjes van Ziggo, en die lijken hem dat te verbieden. We lezen even mee in Ziggo’s algemene voorwaarden:

Behalve wanneer de Klant kiest voor een volledige installatie, zal de Klant alle voor de toegang tot Ziggo Internet benodigde installatiewerkzaamheden zelf (laten) verrichten. De Klant houdt zich daarbij aan de door Ziggo verstrekte handleidingen en instructies.

Vervolgens slaat Stefan de handleiding erop na. Daarin staat aangegeven dat de router moet worden ingesteld op DHCP. DHCP is handig om automatisch een IP-adres te krijgen, maar heeft tot gevolg dat ook de DNS-servers automatisch worden ingesteld. Je kunt daar wel van afwijken en handmatig eigen DNS-servers instellen, maar dan houdt de Klant zich niet meer aan de door Ziggo verstrekte handleidingen en instructies. Oeps?

De wet biedt hier niet echt een oplossing. Natuurlijk, je kunt vervangende schadevergoeding eisen of betaling van het abonnementsgeld opschorten totdat Ziggo volledig en conform afspraak nakomt, maar kun je een contractueel verbod op alternatieve diensten opzij zetten?

Arnoud

[Powerpoint zondag] Maak een billboard, geen bolletjeslijst

Powerpoint zondag: een serie artikelen over hoe je op een effectieve manier van Powerpoint gebruik kunt maken.

Deze keer een wat kortere Powerpoint zondag. Op het fantastische presenteerblog Presentation Zen verscheen onlangs de prachtige observatie dat IKEA billboards eigenlijk hele goede slides voor een presentatie zijn. Een mooi voorbeeld:

ikea-kassett.jpg

Weinig tekst, een grote afbeelding en vooral veel ruimte om alles tot zijn recht te laten komen. Het is meteen duidelijk wat hier de boodschap is. En datzelfde principe is ook erg nuttig bij presentaties. Vraag je bij elke sheet af, wat is de boodschap voor mijn publiek en hoe visualiseer ik dat met weinig tekst?

En doe het vooral niet zo:

garr-variatie-ikea.jpg

(Deze is natuurlijk nep.)

Arnoud

Poetic License

Zonder verder commentaar:

This work ‘as-is’ we provide.<br/> No warranty express or implied.<br/> We’ve done our best,<br/> to debug and test.<br/> Liability for damages denied.<br/> <br/> Permission is granted hereby,<br/> to copy, share, and modify.<br/> Use as is fit,<br/> free or for profit.<br/> These rights, on this notice, rely.

Poetic License.

Het gedicht is (c) 2005 Alexander E Genaud maar is zelf onder een zeer liberale licentie aangeboden:

Work and notice are one and the same.
This paradox makes a poem less lame.
Moral right I trust,
if change you must,
is attribution toward glory and fame.

Leuke varianten mag u hieronder kwijt!

Arnoud

Laptop vervangen, maar data terug kost geld

ddr-backup-cartridge.jpgEen lezer had een ASUS laptop gekocht, die echter na enkele maanden defect bleek. Na opsturen van de laptop meldde ASUS dat reparatie niet meer mogelijk was en dat men een gelijkwaardige laptop zou opsturen ter vervanging. Maar de lezer wilde ook de data op de harde schijf terug, en dat zou 110 euro moeten kosten. Kan ASUS dat zomaar doen?

In haar reparatievoorwaarden meldt ASUS:

b. De Klant is ervoor verantwoordelijk zijn/haar data op een veilige manier op te slaan en een kopie te bewaren van belangrijke bestanden. ASUS is nooit aansprakelijk of verantwoordelijk voor enig verlies van data of bestanden tijdens het reparatie- of verzendingsproces.

Maar is deze voorwaarde redelijk? En volgt hier eigenlijk wel uit dat ASUS geen data terug hoeft te sturen? Ik zie eigenlijk alleen maar staan dat ASUS niet aansprakelijk is als er dingen kwijtraken. Twijfelachtig dus.

Op grond van artikel 7:21 BW is ASUS verplicht de laptop te repareren of te vervangen als deze niet voldoet aan wat bij de koop was beloofd. Daar was geen discussie over, en kennelijk was de laptop niet meer te repareren. Op zich prima dus dat ASUS een nieuwe laptop stuurt. Maar valt onder deze verplichtingen ook een plicht om de data op de nieuwe harde schijf te plaatsen?

Ik zou zeggen, nee, want ASUS is alleen verplicht om een nieuwe laptop te leveren die voldoet aan wat oorspronkelijk gekocht is. De data is er later opgezet, en valt dus buiten deze verplichting.

Bovendien: hoe zou ASUS aan dit verzoek van de klant moeten voldoen? Ze kunnen de data overzetten naar de nieuwe schijf, wat toch het nodige werk kan zijn. Of ze sturen de oude harde schijf weer mee, en dan moet de klant maar zien hoe hij die aansluit. Niet erg klantvriendelijk, en bovendien krijgt de klant dan twee harde schijven voor de prijs van één.

De oude harde schijf in de nieuwe laptop stoppen zou ook kunnen, maar het is niet gezegd dat dit altijd zal werken. Misschien moet Windows wel opnieuw worden geïnstalleerd of zijn aanvullende drivers nodig. Als de installateur dan moet werken met een al aangepast OS (of misschien wel een wachtwoord bij het opstarten), dan schiet dat ook niet bepaald op.

Wat vinden jullie dat ASUS moet doen?

Arnoud

Heel internet stukmaken, mag dat? (2)

Internet stukmaken kan op heel veel manieren. En nu hebben we er weer eentje: met een paar slim gekozen TCP/IP pakketten is het mogelijk om vrijwel elke op internet aangesloten computer plat te leggen, meldt Webwereld.

Bijzonder aan deze aanval is dat hij kennelijk al jaren bekend was bij ontdekkers Outpost24. Men komt echter nu pas naar buiten, omdat er nog steeds geen oplossing voor is en de aandacht misschien mensen stimuleert om deze te gaan zoeken. Op 17 oktober zullen de ontdekkers de aanval demonstreren, maar geen diepe technische details geven.

En dat was waar een lezer me over mailde: zouden ze die wel mogen geven eigenlijk? Met die details kan iedereen aan de slag om een exploit te maken en systemen platleggen. Niemand die dat kan stoppen, want er is dus geen oplossing bekend. Dat lijkt nogal onverantwoordelijk. Maar is het strafbaar?

Als ik de artikelen goed begrijp, dan gaat het hier om een vorm van denial of service, een aanval waarbij de toegang tot een geautomatiseerd werk wordt belemmerd door bepaalde gegevens op te sturen. Dat is strafbaar onder artikel 138b Wetboek van Strafrecht. De meeste mensen denken bij een DoS-aanval vooral aan grote hoeveelheden onzingegevens zoals bij mailbommen of pingfloods. Maar ook een enkel slim gekozen pakketje valt onder deze strafbepaling (winnuke’t u nog wel eens iemand?).

Ook strafbaar is het om technische hulpmiddelen aan te bieden die “hoofdzakelijk geschikt gemaakt of ontworpen” zijn om een DoS-aanval mee uit te voeren (art. 139d lid 2 sub a Strafrecht). Bij diefstal van diensten bepaalde de Hoge Raad in 2005 dat een tijdschrift met een stappenplan een verboden hulpmiddel was (om gratis Canal+ te mogen kijken). Maar dat ging alleen goed omdat artikel 326c van het Wetboek van Strafrecht spreekt van het aanbieden van een “voorwerp en/of gegevens”. En een tijdschrift bevat gegevens, zo oordeelde de Hoge Raad.

Artikel 139d lid 2 spreekt van een “technisch hulpmiddel”, wat mij toch een stuk beperkter lijkt dan “een voorwerp of gegevens”. Valt een proof of concept exploit, een stuk code dat laat zien dat een aanval echt mogelijk is, daar nu onder? Het is een hulpmiddel, maar is het geschikt gemaakt of ontworpen om ook werkelijk aanvallen mee uit te voeren? En dan dus niet demonstratie-aanvallen in het lab, maar echte aanvallen in het wild.

Ik vind het een erg lastige vraag. Het gaat me wat ver om code ter ondersteuning van beveiligingsonderzoek strafbaar te stellen. Aan de andere kant, als die code uitlekt hebben alle script kiddies ook weer maandenlang plezier met het platleggen van internet en dat is ook bepaald onwenselijk.

Wat vinden jullie? Mag die code worden gepubliceerd, of moeten ze daarmee wachten tot iedereen gepatcht is? En maakt het daarbij uit dat dit een fout met een heel brede impact is, in tegenstelling tot een eenvoudige buffer overflow in versie X van één bepaald stuk software?

Arnoud