Internetrecht door Arnoud Engelfriet

Voormalig hoofd beveiliging van Twitter en klokkenluider Peiter Zatko is door Elon Musk gedagvaard, meldde Tweakers vorige week. Een week eerder had Zaitko bij CNN en de Washington Post de alarmklok geluid: Twitter zou ‘een abnormaal hoog aantal beveiligingsincidenten kennen’, de software is hopeloos verouderd en het management heeft geen idéé hoe veel bots er eigenlijk zijn, en het boeit ze ook in het geheel niet. Dat laatste kwam Musk natuurlijk heel goed uit, aangezien die al een tijd op zoek is naar een argument om van zijn aankoop van het socialemediabedrijf af te komen. Vandaar de hoorzitting. Maar maakt het enige kans?

Zoals ik van de zomer schreef, Musk ging Twitter kopen om het spambot-probleem van Twitter te gaan aanpakken. Na de aankoop – zonder due diligence – viel het toch tegen, waarna Musk overal rondtoeterde dat Twitter hem had voorgelogen over het werkelijke aantal bots en dat hij daarom van de koop af wilde. Geen enkel van zijn argumenten heeft tot dusver enig effect bij de rechter gehad. Twitter heeft heel vage en ingekapselde statements gedaan, en daar zit niets leugenachtigs aan.

De signalen van Zatko zijn serieus. Specifiek over bots schetst hij een zeer negatief beeld. Twitter rapporteert naar de SEC toe alleen over de zogeheten mDAU, de monetizable daily active users, oftewel de gebruikers die elke dag inloggen en waar advertenties aan te vertonen zijn. Daarvan is aldus Twitter waarschijnlijk ongeveer min of meer zegge en schrijve maar met een flinke korrel zout en wie het anders ziet heeft wellicht ook gelijk vijf procent een bot (disclaimer: mogelijk klopt die vijf niet / disclaimer^2: niemand weet hoe je fatsoenlijk bots telt). En zan zegt Zatko:

However there are many millions of active accounts that are not considered “mDAU,” either because they are spam spam bots, or because Twitter does not believe it can monetize them. These millions of non-mDAU accounts are part of the median user’s experience on the platform. And for this vast set of non-mDAU active accounts, Musk is correct: Twitter executives have little or no personal incentive to accurately “detect” or measure the prevalence of spam bots.

Voor de lopende discussie is dit volkomen irrelevant. Twitter hééft tegen de SEC gezegd dat ongeveer 5% van de mDAU bots lijken te zijn (met al die disclaimers hierboven). Dat ze met vijf minuten meer moeite een beter getal hadden kunnen produceren is leuk, maar daartoe zijn ze niet verplicht. Er is geen erkende metric om het aantal bots op je dienst te tellen, dus als jij de term mDAU introduceert en uitlegt en dan zegt “hier is het 5% en verder weten we het niet, sorry” dan is dat in een SEC filing helemaal in orde. Zatko toont dus niets aan dat onjuist is in de SEC filings.

De verklaringen van Zatko zóuden een beschuldiging van fraude kunnen dekken, en dat kán een grond zijn om het contract op te zeggen. Maar dan moet Zatko wel bewijs hebben dat het bestuur van Twitter verklaringen zoals bij de SEC gedeponeerd bewust valselijk heeft opgesteld. Enkel er een prutswerk van hebben gemaakt, of zelfs bewust de ogen sluiten voor enorme spamproblemen, is niet hetzelfde als fraude. Dit is dan ook hoe Twitters advocaten nee zeggen op Musks laatste poging tot opzegging.

Arnoud

Free-Photos / Pixabay

Stel je bestelt bij een klein IT-bedrijf een tweedehands laptop met het verzoek er software voor “tekeningen voor metaalconstructies” op te zetten, zodat je als zzp’er direct kunt gaan werken. Oh ja, en het mag 150 euro kosten. Zou je dan gek opkijken als er op zeker moment claims van de rechthebbende op die software komen, mede omdat de echte versie 6000 euro kost en een phone-home functie heeft? Afgaande op dit arrest komt dat voor, met daarbij dus de vraag of er geleverd is wat er besteld was.

De discussie bij de rechter spitste zich toe op wat er nu besteld was: een laptop geschikt voor AutoCAD Solidworks, een laptop met een trial zodat je kon zien dat die software erop zou werken, een laptop met een illegale (gekraakte) full versie of een geheel legale full versie? Het bedrag van 150 euro maakt dat laatste een tikje onwaarschijnlijk, maar het idee van een trial versie is misschien zo gek gedacht nog niet. Hoewel, de Nederlandse distributeur in de mail:

De enigen die ene trialversie kunnen regelen bij [softwarebedrijf] in NL zijn: [licentiebedrijf] , [naam 1] en [naam 2]. Dit is niet bedoeld voor doorverkoop, maar om te kijken of de software aansluit bij de wensen van de potentiële  klant. (…) Daarnaast zijn wij vanuit [licentiebedrijf] niet op de hoogte dat er een trialversie door [handelsnaam appellant] is geregeld. Dit kan het beste bij [softwarebedrijf] zelf worden gecheckt.

Het Gerechtshof kwam tot de tussenconclusie dat de klant maar moest bewijzen wat er precies besteld was. Als dat een legale versie van Solidworks was, dan zou de leverancier tekort geschoten zijn. Echter, zou dat niet de afspraak zijn geweest, dan waren alle gevolgen voor rekening en risico van de klant. De klant kwam daarop met een getuige, een van zijn werknemers:

Tegen [de leverancier] heb ik gezegd dat ik een laptop zocht met SolidWorks. Ik heb uitdrukkelijk gezegd dat het om SolidWorks ging. [De leverancier] zou gaan kijken of hij dat voor mij kon regelen. Er is op dat moment niet specifiek gesproken over een legale of illegale versie. Er is ook niets gezegd over een trialversie, alleen dat het om SolidWorks ging. [De leverancier] zei dat hij ervoor kon zorgen. Hij zou in eerste instantie kijken of hij aan mijn wensen kon voldoen om een laptop met die software te leveren. Er is bij de aflevering van de laptop nog gesproken over SolidWorks. Hij heeft aan de keukentafel bij mijn schoonouders gedemonstreerd dat er SolidWorks op de laptop zat. Hij heeft laten zien dat het programma er op zat door het programma te openen maar niet laten zien hoe het werkte. Er is niet gesproken over de versie van SolidWorks op het moment van aflevering.

Meer bewijs was er dus niet. Het Gerechtshof trekt vervolgens zelf de conclusie dat een bedrijf dat vraagt om een laptop met zakelijke software, normaal de bedoeling heeft om daarmee te werken. Dan heb je een legale, volledige versie nodig. Als je zonder nader overleg dus dit bestelt bij een leverancier, dan moet die begrijpen dat de volledige, legaal gekochte software erop moet. Geen trials en al helemaal geen gekraakte/illegale versies.

Natuurlijk kan dat wel eens te duur zijn – de standaardlicentie is 6000 euro. Maar zoiets even uitzoeken is toch echt deel van je zorgplicht als IT-leverancier. Je moet dus even doorvragen, en het is dan prima als je zegt “dit kan niet voor jouw budget want die licentie is zes keer wat jij hebt”. Of “dit gaat niet maar ik kan de open source FreeCAD er wel op zetten”. Of “ik heb een trial erop gezet, want die software kost 6000 euro en ik weet niet of je dat wel wil”. Of “wil je even bijbetalen dan koop ik die licentie voor je”. Maar niet leveren en achteraf zeggen:

Midden September 2017 heb ik een 2e hands laptop voor jou geregeld en geleverd, met daarop de trialversie van [softwareprogramma] . (…) Vanaf begin November 2017 is het gebruik van een niet legitieme software op een IP-adres gelokaliseerd van de gebruiker van de laptop. Dit is ruim anderhalf maand later, ik weet niet wat er in de tussentijd met de laptop is gebeurt en als het daadwerkelijk om de desbetreffende laptop gaat. Ik heb de laptop sinds midden September 2017 niet meer in mijn bezit en ik ben niet verantwoordelijk voor wat er in de tussentijd op de laptop gezet is en ermee gedaan word.

De klant had de volledige € 7.500 in rekening gebracht, en het Hof erkent dat dat nu eenmaal de schade is. Dat men voor een echte licentie ook dik 6000 euro had moeten neerleggen, is dan niet relevant: bij een correcte nakoming had de klant niets aan Solidworks of haar distributeur hoeven te betalen. (Hetzij omdat de IT-leverancier de kosten in rekening had gebracht, hetzij omdat deze magischerwijs een licentie voor 1000k had kunnen kopn, hetzij omdat de klant had gezegd “ben je betoeterd, 6000 euro, doe maar FreeCAD”.) Bijgevolg komt die volledige 7500 ook echt voor rekening van de leverancier.

Het bevestigt het beeld van die zorgplicht: niet zelf bedenken wat de klant wil (of niet), maar onderzoeken en navragen. En natuurlijk op papier zetten (al is het maar de e-mail) wat de klant heeft gezegd.

Arnoud

Een lezer vroeg me:

Als opdrachtgever zijn we erg ontevreden met een ICT-leverancier. We zeggen op (conform contract), en verzoeken ze de wachtwoorden van alle diensten over te dragen zodat we alles in eigen beheer kunnen nemen. Dit wordt geweigerd omdat er volgens hen nog facturen open staan en een afkoopsom betaald zou moeten worden. Wij betwisten dat. Kunnen wij de wachtwoorden opeisen?

Er is in de wet niets bijzonders geregeld over toegang tot diensten. Die worden geen eigendom van de klant bijvoorbeeld, in tegenstelling tot zeg de producten die voor je worden gemaakt. Zulke producten zou je nog kunnen opeisen (hoewel eigendomsvoorbehoud et cetera daar het ingewikkeld kan maken) maar het wachtwoord voor een dienst die beheerd wordt door de dienstverlener, dat valt daar zeker niet onder.

Natuurlijk kun je zeggen, het contract met die dienst staat op mijn naam, dus ik wil de toegang tot mijn dienst. Maar dan moet je bij de eigenlijke dienstverlener zijn, de derde partij wiens dienst door jouw ICT-leverancier wordt beheerd. Die zou jou dan een nieuw wachtwoord moeten geven. Of die dat doet, is de vraag; vaak werken die met resellers of dit soort ICT-partners omdat ze niet zelf met de eindklant bezig willen zijn.

Dit is dus waarom je het contractueel moet regelen met die leverancier. Daarbij zit er nog wel één grote angel: als er ruzie ontstaat over het contract, dan kan de leverancier het contract besluiten op te schorten. Dan hoeven ze niets te doen, dus ook niet de afspraak nakomen dat ze je wachtwoord moeten geven. Natuurlijk moet de reden voor die ruzie dan wel kloppen, maar hoe dan ook ben je vele weken verder totdat de rechter in kort geding oordeelt dat de wachtwoorden toch moeten worden gegeven.

Met wachtwoorden is het dus net als met data in het algemeen: vertrouw niet op juridische constructies om erbij te kunnen. Zorg dat je ze gewoon hebt.

Arnoud

Elektronische handtekening niet voldoende betrouwbaar, kopte ITenRecht onlangs. In een recent vonnis verwees de rechtbank Zeeland-West-Brabant een borgtochtovereenkomst naar de prullenbak, omdat de digitaal geplaatste handtekening niet betrouwbaar was. Daarmee kon niet worden bewezen dat de wederpartij daadwerkelijk deze had getekend, zodat de borgtocht niet kon worden opgeëist. Opmerkelijk, want het hele punt van digitale handtekeningen was nu… Lees verder

Opmerkelijk nieuws uit de technologiewereld: de Engelse krant The Guardian had een column gepubliceerd die geheel door een robot geschreven was. Die robot heet GPT-3, en hoewel bleek dat de column wel gewoon eindredactie had ondergaan was de tekst behoorlijk lastig te herkennen als van een robot afkomstig. GPT-3 is geschreven als algemene tekstschrijfdienst, en… Lees verder

Een lezer vroeg me: Ik werk als zzp’er voor een verzekeraar. Tijdens mijn klus (waarbij ik een hoop gegevens moest verzamelen en verwerken) ging mijn laptop stuk, en vanwege de deadline kreeg ik toen een laptop van de opdrachtgever te leen. Daarop mocht ik ook privédata opslaan, dit staat expliciet in de leenovereenkomst. Echter, daarna… Lees verder

Een lezer vroeg me: Ik heb een innovatief idee uitgewerkt om contactloos pinbetalen tegen afluisteren en dergelijke te beveiligen. Ik wil dat nu aan een paar banken voor gaan stellen, maar ik wil natuurlijk niet dat ze er met mijn idee vandoor gaan zonder mij te betalen. Hoe doe ik dat het veiligste? Is een… Lees verder

Leuk als je via internet contracten sluit en mensen kopie identiteitsbewijs laat opsturen, maar het bewijst niets. Dat vonniste de rechtbank Rotterdam onlangs. Telecombedrijf Tele2 dacht zo’n 1800 euro te krijgen van een internetklant wegens niet-betaalde abonnementskosten en restprijs telefoon, maar liep tegen het bekende probleem aan dat iedereen wel via internet een contract kan… Lees verder

Een lezer vroeg me: Al een tijdje onderhandel ik met vijf partijen om tot een samenwerking te komen, waarbij we een opensourcepakket gaan exploiteren onder gezamenlijke winstdeling. Het contract ondertekenen is blijven liggen vanwege de crisis, maar we zijn wel al soort van begonnen. Nu stelt een van de partijen dat hij het eigenlijk toch… Lees verder

Menig ondernemer worstelt hoe verder te werken nu het coronavirus de hele maatschappij opschudt. Thuiswerken is het devies, maar lang niet bij alle vormen van ict-dienstverlening is dat een werkbare oplossing. Daardoor komen deadlines in gevaar, komen projecten niet af zoals gewenst of wordt bestelde apparatuur niet geleverd. En dan gaan mensen, alle verhalen over… Lees verder