Internetrecht door Arnoud Engelfriet

Een lezer vroeg me:

Bij een webwinkel heb ik gevraagd mijn account te verwijderen, omdat ik er al tijden niets meer koop. Zij weigeren dit met het argument dat de gegevens nodig zijn voor de fiscale bewaarplicht. Klopt dat?

Iedere ondernemer is wettelijk verplicht zijn administratie 7 jaar te bewaren, zo omschrijft de Belastingdienst de fiscale bewaarplicht. Doel van deze wettelijke plicht is dat men daarmee je financiële positie en je transactiegeschiedenis als bedrijf kan achterhalen bij een boekencontrole. Daarom moet je onder meer je facturen en bijbehorende contracten bewaren, net als tussentijdse rekeningen en het kasboek.

Een webwinkel heeft vaak geen aparte stapel getekende aankoopbonnen en facturen, maar registreert dat in het account van de klant. Ook handig voor de klant, die kan dan zijn bestellingen terugzoeken en eventueel de factuur downloaden, bijvoorbeeld om een garantieclaim mee te onderbouwen.

Wanneer een onderneming elektronisch de aan- en verkopen registreert, vallen dergelijke gegevens onder die fiscale bewaarplicht. Die factuur in dat account van die klant moet dus bewaard worden, net als de ‘overeenkomst’, de registratie van de bestelling. Die informatie zit in het klantaccount maar valt nog steeds onder die fiscale bewaarplicht. Vanuit dat standpunt is het bewaren daarvan dus begrijpelijk.

Alleen, in een account kun je nog meer handige dingen doen, zoals je in- of uitschrijven voor de nieuwsbrief of dingen op je verlanglijstje zetten. Die informatie valt buiten de bewaarplicht, maar is persoonsgebonden en moet dus weg zodra deze niet meer van belang is.

Ook is het vaak mogelijk vanuit het account snel nieuwe bestellingen te doen, bijvoorbeeld met bewaarde betaalgegevens zoals een automatische incasso, een opgebouwd tegoed of een gekoppelde creditcard. Ook die mogelijkheid moet uit te schakelen zijn.

Voor webwinkeliers is het vanuit de software soms alles of niets: het hele account met alle gegevens kan weg, maar het is vaak niet mogelijk om te zeggen dat aankoophistorie en facturen wél maar interesseprofielen, betaalmogelijkheden en verlanglijstjes niét moeten worden bewaard. Die software is dan niet privacy by design, en dat maakt het problematisch deze verplichting goed na te komen.

Dit geldt natuurlijk ook voor andere diensten met accounts, maar je moet per dienst dan kijken wat er onder het account bewaard wordt en of dat fiscaal relevant is (of vanuit een andere wettelijke bewaarplicht). Bij een hoster zou ik bijvoorbeeld weinig meer verwachten dan facturen en dergelijke administratie, dus daar zou ik eerder het gehele account onder de bewaarplicht rekenen. Maar bij bijvoorbeeld een chatdienst of forum worden dingen gepubliceerd, en dat is natuurlijk totaal niet fiscaal van belang.

Meelezende webwinkeliers, hoe makkelijk is het in jullie software om accounts bijvoorbeeld onzichtbaar te maken maar wel de aankoophistorie met betaalinformatie te bewaren?

Arnoud

Een lezer vroeg me:

Wij zijn een clouddienstverlener voor bedrijven. Met enige regelmaat krijgen wij vragen van klanten over logingedrag. Wie logde er na 18 uur nog in, vanaf welk IP-adres is gistermiddag toegang tot de database gezocht en ga zo maar door. Omdat dit persoonsgegevens zijn, wil ik graag weten hoe dat zit onder de wet (en natuurlijk de AVG). Mogen wij deze informatie geven?

Logingedrag is inderdaad te classificeren als persoonsgegevens. Het gaat over een persoon – de gebruiker van het account – en zegt iets over zijn gedrag, zoals wanneer hij in- en uitlogde of wat hij deed in de tussentijd. En die data aan anderen geven mag niet zomaar, dus wat dat betreft is de zorg van de vraagsteller terecht.

Het gaat hier alleen om een bijzondere situatie, namelijk de afnemer van de dienst waar de accounts bij horen. In die specifieke situatie vind ik het eerder gerechtvaardigd dat die afnemer informatie krijgt over het daadwerkelijk gebruik. Je mag gevoeglijk aannemen dat de gebruikers van de accounts werknemers of andere hulppersonen van die afnemer zijn, en dat geeft dan een redelijk belang om in beginsel bij die gegevens te kunnen.

Ik zou hooguit twijfelen als de actie specifiek privacygevoelig is, denk aan een online agenda waar iemand een afgeschermde privéafspraak naar de tandarts in noteert. Maar dat zou de uitzondering zijn en niet de regel.

De clouddienstverlener zou natuurlijk kunnen zeggen, het is niet mijn taak hierop te letten, want ik ben slechts bewerker / verwerker in opdracht. Dat klopt natuurlijk, maar een verwerker heeft onder de AVG wel degelijk een zorgplicht om na te gaan of hij wel binnen de wet handelt. Hoewel de verwerkingsverantwoordelijke de doelen en middelen van de verwerking bepaalt en daarbij instructies geeft ontslaat dit de verwerker niet van de plicht het te melden wanneer naar zijn mening de instructie in strijd is met de AVG of andere wetgeving over persoonsgegevens. Hij mag dus weigeren de gegevens te geven als het verzoek daarom duidelijk niet door de beugel kan.

Arnoud

Stichting Brein heeft een schikking van 10.000 euro getroffen met een 26-jarige man uit Zwolle, die op zijn website logins verkocht voor verschillende streamingdiensten. Dat meldde Tweakers maandag. De man haalde de data uit uitgelekte databases en verkocht de logins voor een fractie van de prijs van een abonnement. Nu is het natuurlijk computervredebreuk om andermans account te gebruiken, maar daar gaat Brein niet over. Dus is dit nu auteursrechtinbreuk of wat gebeurt hier?

De truc van deze man is op zich vrij simpel. Met de regelmaat van de klok worden accounts of wachtwoorden gelekt, en die blijken dan ook te werken bij streamingdiensten zoals Netflix. Niet iedereen heeft dat door, onder meer omdat je bij dergelijke diensten vaak vanaf meerdere IP-adressen tegelijk ingelogd mag zijn. Een handige jongen kan dan dus op andermans account video’s streamen.

Uit het Tweakersartikel haal ik dat Brein deze aanpak ziet als inbreuk op auteursrecht. Ik dacht eerst het faciliteren of aanzetten van, omdat die mensen die de streams bekijken aan te merken zijn als illegale downloader (downloaden is hetzelfde als streamen, juridisch gezien). Maar dat lijkt het niet te zijn.

In 2014 bepaalde het Hof van Justitie in het Svensson-arrest dat hyperlinken legaal is. Maar ze maakten daarbij een voorbehoud:

Indien daarentegen een aanklikbare link de gebruikers van de website waarop deze link zich bevindt, in staat stelt om beperkingsmaatregelen te omzeilen die op de website waar het beschermde werk zich bevindt zijn getroffen teneinde de toegang van het publiek te beperken tot de abonnees ervan, en aldus een interventie vormt zonder welke die gebruikers niet zouden kunnen beschikken over de verspreide werken, dienen al deze gebruikers te worden beschouwd als een nieuw publiek dat door de houders van het auteursrecht niet in aanmerking werd genomen toen deze toestemming verleenden voor de oorspronkelijke mededeling, zodat de toestemming van de houders vereist is voor een dergelijke mededeling aan het publiek.

Bij het lezen van deze uitleg denk ik in eerste instantie aan het delen van sessie-URLs of iets dergelijks, zodat een ander direct in mijn account terecht komt. Of een deeplink die tevens authenticatie-elementen bevat zodat de aanklikker meteen ingelogd wordt en de beperkte toegang krijgt. Dat is ergens nog wel te begrijpen, als kleine nuance op de hoofdregel “het staat legaal online dus je mag er naar linken”.

Maar Brein gaat verder als ik het goed begrijp: “www.netflix.com” en mijn gebruikersnaam/wachtwoord zijn als combinatie hetzelfde als die “aanklikbare link” die je “in staat stelt om beperkingsmaatregelen te omzeilen”. Daar moet ik toch even mijn wenkbrauwen juridisch van fronsen.

Misschien dat men doelde op het Sanoma-arrest, dat bepaalt dat welbewust linken naar illegaal geplaatste content illegaal is?

Wanneer daarentegen vaststaat dat een dergelijke persoon wist, of moest weten, dat de door hem geplaatste hyperlink toegang geeft tot een illegaal op internet gepubliceerd werk, bijvoorbeeld doordat hij daarover gewaarschuwd is door de auteursrechthebbenden, moet ervan uitgegaan worden dat de verstrekking van die link een „mededeling aan het publiek” in de zin van artikel 3, lid 1, van richtlijn 2001/29 vormt.

Alleen heb je hier hetzelfde probleem: is een websitenaam met login wel hetzelfde als een hyperlink? Ik betwijfel het.

Uiteindelijk is het een schikking, en daar kun je geen juridische argumenten aan ontlenen. En de vraag is wie er zin heeft om hier wél een juridisch argument van te maken. Maar iets rammelt hier. Tim, kom er maar in.

Arnoud

Een rechtbank in Duitsland besluit dat de ouders van een overleden tiener geen toegang krijgen tot haar Facebook-account. Dat las ik bij Nu.nl. Het vijftienjarige meisje van wie het account is, overleed in 2012 na aanrijding met een trein. De ouders proberen vast te stellen of het om zelfmoord ging, maar de rechtbank oordeelt nu… Lees verder

Via Twitter kreeg ik de vraag: [V]raag me af of het ook niet gewoon strafbaar is (via gekocht domein www reset en account kapen), @ictrecht? Iets meer achtergrond: het Twitteraccount voor @recensiekoning “keerde terug” met nieuwe eigenaren, waar oude eigenaar Arjan Lubach niet zo blij mee was. Hij had jarenlang een blog onder die naam,… Lees verder

Een lezer vroeg me: Veel leveranciers van mobiele telefoons en tablets verplichten gebruikers tegenwoordig om extra diensten af te nemen, ook als je daar helemaal geen behoefte aanhebt. Zo moet je voor het kunnen gebruiken van een mobiele telefoon die het door Google gemaakte Android draait een account aanmaken bij Google – ook als dat… Lees verder

Apple wilde een weduwe geen toegang geven tot het account van haar overleden echtgenoot, las ik in de AutomatiseringGids. Zij zou een “court order” naar Californisch recht nodig hebben. Zonder zo’n bevel zou haar de toegang tot alle gezamenlijk aangekochte apps en andere content worden ontzegd. Maar hela, ze waren toch getrouwd? Ik heb al… Lees verder

De Argentijnse president wil haar presidentiële socialemediaaccounts niet inleveren nu ze geen president meer is, las ik bij Vice. De accounts, allemaal iets met @CasaRosadaAR (“roze huis”, de ambtswoning van de president), zijn nu omgezet in een soort van tribute-pagina. De nieuwe president moet nu zijn eigen Twittervolgers en Facebookvrienden gaan werven. Kan dat zomaar?… Lees verder

Weer een interessante Tweakersdiscussie, ditmaal over een jongen die een Spotify premium account generator gebruikt had dat van een politie-stagiair bleek te zijn. Die wist de jongen te traceren en dreigde met aangifte wegens creditcardfraude. Hoe strafbaar is dat dan, een Spotify-account overnemen? De agent-in-opleiding noemt art. 232 Strafrecht als basis. Dat artikel stelt strafbaar… Lees verder

Een lezer vroeg me: Zijn webshops verplicht mijn account (inclusief orderhistorie) te verwijderen indien ik daar als klant om vraag? Een account bij een site of dienst is een verzameling persoonsgegevens. Ze bevatten immers gegevens die over de eigenaar gaan: contactinformatie, maar ook gegevens over bestellingen en mogelijk ook betaalinformatie. De Wet bescherming persoonsgegevens bepaalt… Lees verder