Tag: dataverlies

About dataverlies

Subscribe Feeds

Ex-werknemer Nederlandse vps-provider wist alle server- en klantgegevens

Geplaatst op in Ondernemingsvrijheid, 12 reacties

Auw. Een medewerker van hostingprovider Verelox uit Den Haag heeft alle servergegevens verwijderd, las ik bij Tweakers. Dat betekent dat ook alle klantgegevens zijn gewist, en mogelijk ook niet allemaal meer terug te halen zijn. Buitengewoon pijnlijk voor het bedrijf, want hierdoor moet Verelox druk aan de bak om alle servers weer te herstellen. Wat te doen?

Natuurlijk is deze medewerker persoonlijk aansprakelijk voor de schade. Een werknemer is normaal nooit aansprakelijk, maar dit is vrij evident de uitzondering voor opzettelijk of bewust roekeloos handelen. Zo lees ik dat hij backdoors had aangebracht om deze schade aan te kunnen richten. Dat doe je echt niet per ongeluk. In theorie is zelfs aangifte van het strafbare feit vernieling van gegevens (art. 350a Strafrecht, twee jaar cel) mogelijk.

Daarnaast zal dit moeten worden behandeld als een datalek: als persoonsgegevens worden gewist zonder dat er backups zijn (of als de backups óók worden gewist) dan is dat hetzelfde als bij ongeautoriseerde toegang. Zeker omdat het denkbaar is dat die admin een kopie van de data heeft meegenomen om te publiceren of te verkopen. Ook die schade kan worden verhaald.

Dit is wel een geval waarin het recht in theorie duidelijk is, maar in de praktijk niets oplevert. Want of er wat te halen valt, is natuurlijk vers twee. En de strafrechtelijke route levert je ook niet perse meer op. Je kunt je daar voegen voor een schadevergoeding, maar dat komt op hetzelfde neer als een eigen civiele schadeprocedure.

Het toont voor mij maar weer duidelijk aan hoe afhankelijk we zijn van digitale data en bijbehorende diensten, en hoe makkelijk we daarin machtsposities laten ontstaan. Onmisbare mensen moet je meteen ontslaan, vertelde een HR-manager me ooit. Dat geldt ook voor systeembeheerders. Alleen, hoe borg je je dataveiligheid tegen de persoon die de dataveiligheid moet borgen?

Arnoud

KPN aansprakelijk voor verloren clouddata, ondanks algemene voorwaarden

Geplaatst op in Informatiemaatschappij, 20 reacties

kpn-online-backupCloudprovider KPN moet een schadevergoeding betalen voor in de cloud (online backup) opgeslagen gegevens die bij een accountmigratie verloren zijn gegaan. Hun algemene voorwaarden die hun aansprakelijkheid beperken, zijn onredelijk bewarend. Dat bepaalde de rechtbank Den Haag in een onlangs gepubliceerd vonnis (via).

De eiser uit deze zaak had een eenmanszaak gericht op fysiotherapie, sportmassage en blessurepreventie. Voor dat werk had zij de nodige documenten, foto’s en video’s ontwikkeld en om die netjes te bewaren had ze bij KPN de dienst Back-up Online afgenomen.

Toen kwam er een harddiskcrash bij haar bedrijf, maar gelukkig had ze de online backup nog. Helaas geen logingegevens meer. KPN heeft dan het beleid dat ze een nieuw account aanmaken en de bestanden overzetten.

Alleen bleken in dit geval de bestanden niet te zijn overgezet. Er “was iets niet goed gegaan”, aldus een KPN-medewerker tijdens de rechtszaak. De rechtbank vindt dat terecht een toerekenbare tekortkoming en volgens de wet moet KPN dan de schade van het benadeelde bedrijf vergoeden.

KPN had -natuurlijk- algemene voorwaarden, die haar aansprakelijkheid beperkten tot dood en letselschade, fysieke schade aan spullen en redelijke kosten ter beperking van verdere schade. (Nee, ik weet ook niet wanneer dat zich kan voordoen bij een online backupdienst.) Voor verlies van gegevens was men dus per definitie nooit aansprakelijk.

Het beperken van je aansprakelijkheid staat op de zogeheten grijze lijst van algemene voorwaarden – je moet als bedrijf kunnen aantonen dat het wél redelijk is je aansprakelijkheid uit te sloten. Dit geldt bij consumenten maar de rechtbank oordeelt dat deze eenmanszaak reflexwerking mag verwachten, omdat online backupdiensten niets te maken hebben met haar eigen kernactiviteiten (fysiotherapie en dergelijke) en het hier gaat om een kleine eenmanszaak tegenover een grote multinational.

Die uitsluiting gaat dus van tafel en KPN moet de schade vergoeden. Maar wat is de schade? De kosten van het opnieuw maken van de betreffende bestanden lijkt het meest logisch aanknopingspunt, waardoor de rechtbank kiest voor uurtarief maal aantal uren voor herstelwerk. Hiervoor krijgen de partijen een gelegenheid om nadere gegevens aan te dragen.

Had mevrouw de schade kunnen voorkomen? Ja, aldus KPN: had die inloggegevens ergens anders bewaard dan had je gewoon bij je backup gekund. Oftewel je had dit kunnen voorkomen. Nee, zegt de rechtbank: de fout van KPN is véél groter en het bedrijf kon gewoon bij de gegevens met die escalatieprocedure voor verloren logins. Dan is het “eigen schuld” noemen net iets te gortig.

Dit vonnis betekent niet dat élke cloudprovider nu automatisch onbeperkt aansprakelijk is voor alle schade. Er moet nog steeds wel een fout zijn gemaakt bij de dienstverlener. En niet elke fout zal zo ernstig zijn als wat KPN hier voor elkaar kreeg. Maar op zich vind ik de uitkomst zeer verteerbaar: bij een online backupdienst is de kern “bewaar de gegevens”. Dus dan mág het niet gebeuren dat gegevens kwijt raken – en in je voorwaarden “verlies van gegevens” uitsluiten van aansprakelijkheid is natuurlijk een tikje zot.

Arnoud