Kun je aansprakelijk gesteld worden voor bitcoindiefstal door je kinderen?

| AE 12882 | Security | 9 reacties

Een Amerikaan heeft de dieven van 16 bitcoins (destijds 2 ton in Euro’s) gevonden en klaagt nu hun ouders aan, zo meldde Krebs on Security onlangs. De man stak veel tijd in het opsporen van de bitcoindieven, maar wist met het nodige forensisch onderzoek te achterhalen dat twee Britse -destijds- minderjarigen de cryptomunten naar zich toe hadden weten te krijgen. Omdat de ouders niet reageerden op zijn verzoek tot terugbetaling, gaat hij nu over tot een civiele rechtszaak. Wat de vader van een “crypto hackende” dochter me bezorgd deed vragen: loop ik ook dat risico?

Even voor de duidelijkheid, het gaat hier dus niet om aangifte of strafvervolging tegen minderjarigen. Dat kan (in Nederland vanaf 12 jaar) maar dat zou een beslissing van het OM zijn. Het gaat hier om een civiele of burgerlijke zaak: ik heb schade geleden door uw kind, ik wil graag even afrekenen. En nee, dit is geen verzekeringswerk.

De truc die de twee gebruikt zouden hebben, was een crypto wallet app met een achterdeur: wanneer je een bitcoinadres kopieerde naar het Klembord, werd dit vervangen door een sterk gelijkend adres dat beheerd werd door de dieven. Je plakt dat dan in het walletprogramma en alles lijkt te kloppen, maar je geld ben je dus kwijt. Dit is een van de vele vormen van malware, diefstal en oplichting waar cryptogebruikers mee te maken hebben.

De man gooide er flink wat onderzoekscapaciteit tegenaan maar wist ze te vinden;

[The claimant’s] lawsuit lays out how his investigators traced the stolen funds through cryptocurrency exchanges and on to the two youths in the United Kingdom. In addition, they found one of the defendants — just hours after [his] bitcoin was stolen — had posted a message to GitHub asking for help accessing the private key corresponding to the public key of the bitcoin address used by the clipboard-stealing malware.
De leeftijd van de twee wordt niet gegeven, maar het speelde in 2018 en de twee studeren nu aan de universiteit, dus het zal niet om copypastende tienjarigen zijn gegaan. Dat is van belang, want aansprakelijkheid van ouders voor handelen van kinderen ligt een tikje ingewikkeld.

In Nederland trekken we een grens bij veertien jaar. Als een kind van onder die leeftijd iets onrechtmatigs doet, zijn de ouders daarvoor aansprakelijk. (Met als randvoorwaarde dat de vraag wel eerst is of het kind aansprakelijk zou zijn geweest als het meerderjarig was.) Ik heb geen twijfel dat het verspreiden van bitcoinstelende malware onrechtmatig is, of je dat nou doet “voor de lolz” of omdat je nieuwe fidget spinners wilt komen. Dus als die malwarecopypastende tienjarige inderdaad twee ton aan bitcoins had gestolen, dan zijn de ouders aansprakelijk.

Het andere makkelijke geval is de leeftijd zestien tot achttien, dan is alleen het kind aansprakelijk. Het doet er dan niet toe of het kind geen geld heeft en de ouders miljonair zijn. In theorie zouden de ouders aansprakelijk gehouden kunnen worden als blijkt dat ze hun ouderlijke zorgplicht hebben geschonden, maar dat is niet hetzelfde als “je kind stal mijn bitcoins en woonde bij jou thuis”. Het moet dan op zichzelf onrechtmatig zijn geweest dat de ouders niet ingrepen.

Vanaf achttien jaar is het kind meerderjarig en dus geheel als enige aansprakelijk voor zijn of haar fouten. Ook als het kind nog thuis woont en ook als de ouders alles betalen. Er is natuurlijk een ouderlijke zorgplicht tot 21 jaar, maar die betreft levensonderhoud en zorg en niet onrechtmatig handelen.

Als het kind veertien is (maar nog geen zestien) dan ligt het ingewikkelder, en dat komt met name omdat de wet een draak van een taalconstructie hanteert hiervoor:

Voor schade, aan een derde toegebracht door een fout van een kind dat de leeftijd van veertien jaren al wel maar die van zestien jaren nog niet heeft bereikt, is degene die het ouderlijk gezag of de voogdij over het kind uitoefent, aansprakelijk, tenzij hem niet kan worden verweten dat hij de gedraging van het kind niet heeft belet.
Het gaat hier dus om de vraag of je als ouder had moeten ingrijpen. Als je dat niet deed, en dat kan jou worden verweten (de “kom op nou”-toets) dan ben je dus aansprakelijk voor de fouten van je kind. Natuurlijk wederom met de voorvraag of het überhaupt een fout was, wat je kind deed.

In 2009 blogde ik over de ouders van een vijftienjarige die aansprakelijk werden gehouden voor een auteursrechtclaim: de jongen had een fotootje van Cruijff op zijn website gezet en de ouders moesten daarvoor betalen, aldus de fotograaf.  De rechter zag geen reden om aan te nemen dat de ouders hadden moeten ingrijpen:

Het gaat kennelijk om een handige jongen – zoals zoveel kinderen tegenwoordig zeer handig zijn in het omgaan met internet en alles wat met computers te maken heeft – die op deze wijze zijn liefhebberij mede vorm geeft. Dat is tegenwoordig niets bijzonders. Er zijn veel kinderen van (ongeveer) deze leeftijd die een website hebben. Het onderwerp van de site -voetbal- is onschuldig: volstrekt normaal voor een jongen van 15 jaar.
Een verschil met deze zaak zou dus zijn dat het onderwerp van de online activiteit iets minder onschuldig was. Je zou bij rare dingen van je puber eerder geacht worden een en ander te controleren: wat voor rare apps bouw jij, wat zit jij op dat giethub en hoe kom je aan al dat geld voor je nieuwe sneakers?

Met name het moment dat er bizar veel geld in bezit blijkt, zou voor mij het moment zijn dat je als ouders in moet gaan grijpen. De bestolen man uit het Krebs-artikel hanteert als primair argument dat hij de ouders had geïnformeerd en dat ze daarom aansprakelijk zijn omdat ze niets deden om het ongedaan te maken. Dat is in Nederland geen rechtsgeldig argument – het gaat immers om informeren over een reeds gepleegde onrechtmatige daad.

Een slachtoffer van na die brief zou er wellicht wel wat mee kunnen: je wist dat meneer A bestolen was door je zoon, je deed niets en daarna werd ik óók bestolen, dat kan jou dus worden verweten. Blijf je zitten met het feit dat de kinderen in het Verenigd Koninkrijk zitten en de bestolene in Colorado, USA, maar dat thema hebben we al een paar keer recent gehad op deze blog.

Arnoud

Illegale handel in privégegevens miljoenen Nederlanders uit coronasystemen GGD

| AE 12476 | Privacy, Regulering | 19 reacties

Er wordt grootschalig gehandeld in miljoenen adresgegevens, telefoon- en burgerservicenummers, afkomstig uit de twee belangrijkste coronasystemen van de GGD. Dat ontdekte RTL Nieuws onlangs. De politie heeft twee personen gearresteerd die worden verdacht van deze illegale datahandel. Het gaat om handel in data uit twee coronasystemen van de GGD: CoronIT, waar de privégegevens van Nederlanders die een coronatest hebben gedaan in staan, en HPzone Light, het systeem voor het bron- en contactonderzoek van de GGD.

Op vrijdag 22 januari kregen politie en OM meldingen van de GGD dat er op Telegram persoonsgegevens uit een GGD-systemen te koop zouden worden aangeboden. Dat lees ik dan weer in het persbericht van de politie, met een overigens wel érg stoere foto van een arrestatie. “Het stelen en verkopen of doorverkopen van persoonsgegevens is een ernstig misdrijf”, zo meldt men.

En dat is het zeker, maar vroegen diverse lezers, waar staat dat dan? De AVG kent geen bepalingen van strafrecht, en data is niets zeg ik altijd. Maar specifiek bij strafrecht ligt dat anders. Daar kun je dingen stelen die in het handelsverkeer niets zijn. Alleen moet het dan wel gaan om dingen die uniek zijn, niet-kopieerbaar. En daar voldoen persoonsgegevens niet aan: de ‘gestolen’ gegevens staan nog steeds in de database van de GGD. Er is “alleen maar” een kopie gemaakt.

Desondanks is dit wel degelijk strafbaar. Je kunt diverse insteken kiezen. Zo is er artikel 139c Strafrecht, dat meestal de “diefstal van gegevens” strafbaar stelt:

Met gevangenisstraf van ten hoogste twee jaren of geldboete van de vierde categorie wordt gestraft hij die opzettelijk en wederrechtelijk met een technisch hulpmiddel gegevens aftapt of opneemt die niet voor hem bestemd zijn en die worden verwerkt of overgedragen door middel van telecommunicatie of door middel van een geautomatiseerd werk.
Weliswaar mochten de medewerkers in kwestie in de databases, de kopie die ze downloadden hoorde niet tot hun werk en die is dus opzettelijk én wederrechtelijk gemaakt. En artikel 139e stelt dan ook het bezit en publiceren van die gegevens strafbaar (tot zes maanden cel)

Strenger is artikel 139g Strafrecht, dat in lid 1 bepaalt:

1. Met gevangenisstraf van ten hoogste een jaar of geldboete van de vierde categorie wordt gestraft degene die niet-openbare gegevens:

  • a.verwerft of voorhanden heeft, terwijl hij ten tijde van de verwerving of het voorhanden krijgen van deze gegevens wist of redelijkerwijs had moeten vermoeden dat deze door misdrijf zijn verkregen;

  • b.ter beschikking van een ander stelt, aan een ander bekend maakt of uit winstbejag voorhanden heeft of gebruikt, terwijl hij weet of redelijkerwijs moet vermoeden dat het door misdrijf verkregen gegevens betreft.

Dit artikel ziet dus op de heling of doorverkoop van die gegevens.

Dan is er ook nog een wetsartikel tegen identiteitsfraude, artikel 231b Strafrecht:

Hij die opzettelijk en wederrechtelijk identificerende persoonsgegevens () van een ander gebruikt met het oogmerk om zijn identiteit te verhelen of de identiteit van de ander te verhelen of misbruiken, waardoor uit dat gebruik enig nadeel kan ontstaan, wordt gestraft met een gevangenisstraf van ten hoogste vijf jaren of geldboete van de vijfde categorie.

Het enige punt is dat ik hierbij geen voorbereidings-artikel kan vinden, oftewel een artikel waarin staat dat het verwerven van persoonsgegevens met het oogmerk dit misdrijf te plegen apart strafbaar is. Ik denk dus dat dit het niet gaat worden.

Dat gezegd hebbende, dit is een uniek geval en vooral dat de politie zo streng en voortvarend optreedt. Ik hoop dat het veel consequenties heeft, dan zit de schrik er straks goed in.

Arnoud

Wat kan ik als mijn werkgever mijn bsn en medisch dossier lekt?

| AE 12299 | Privacy, Security | 19 reacties

Een lezer vroeg me:

De laptop van mijn leidinggevende is recent gestolen. Helaas was het systeem niet versleuteld, waardoor gevoelige persoonsgegevens (zoals mijn naam, geboortedatum, BSN, handtekening en medische gegevens) door de dief te lezen zouden kunnen zijn. Ik ben netjes geïnformeerd en het lek wordt gemeld, maar ik vind dit niet genoeg. Wat kan ik juridisch doen tegen mijn werkgever?
Allereerst: erg jammer en vervelend dat er anno 2020 nog steeds werkgevers zijn die dus dit soort gevoelige gegevens rondsjouwen zonder zelfs maar full-disk encryptie. Het is erg pijnlijk om daar via een datalekmelding achter te moeten komen.

De procedure is zo te lezen netjes gevolgd: de werknemer moet worden geïnformeerd en de AP ook, want de gegevens zijn zeer gevoelig en misbruik daarvan kan zeker tot schade bij de werknemer(s) leiden. Ook als het maar een handjevol mensen was – BSN en medische gegevens tellen als zeer gevoelig ook bij kleine hoeveelheden.

Dat wil niet zeggen dat de kous daarmee af is. De werknemer kan desondanks immers schade lijden door het lek, en volgens de AVG is de werkgever daar gewoon voor aansprakelijk stellen.

Het lastige hierbij is natuurlijk aan te tonen wat je schade is, zeker als er nog geen kwaadwillend gebruik van je gegevens is gemaakt. En bij diefstal van een laptop is de kans reëel dat dat ook niet gaat gebeuren; waarschijnlijk herinstalleert de dief Windows en verkoopt hij het ding tweedehands. Je kunt dan natuurlijk gaan monitoren op misbruik maar je zult waarschijnlijk niets tegenkomen.

Het gaat me wat ver om te zeggen dat een werkgever maar gewoon een bedrag moet geven bij wijze van forfaitaire schadevergoeding. Maar zonder concreet aangetoonde schade kan de werknemer verder niet zo veel. Bij financiële gegevens zou je nog kunnen eisen dat de werkgever een monitoringdienst betaalt om op het ahem “dark web” te kijken of je creditcard daar opduikt, maar voor bsn’s of medische dossiers is er niet echt zo’n markt.

Arnoud

Data is niets maar een man uit Spijkenisse kon ze wel stelen?

| AE 12187 | Regulering, Security | 15 reacties

Met de aanhouding van een 53-jarige man uit Spijkenisse is voorkomen dat mogelijk vele honderdduizenden persoonsgegevens op straat kwamen te liggen. Dat las ik bij Politie.nl vorige week (via). Een bedrijf in Utrecht ontdekte dat persoonsgegevens in strijd met de wet werden gebruikt (mooi stukje beveiliging/organisatorisch de AVG op orde hebben!) en deed aangifte, waarna… Lees verder

Politie test koppelen cameradata tegen dieven in Roermond

| AE 10843 | Informatiemaatschappij | 41 reacties

De politie en de TU Eindhoven testen een systeem om data uit verschillende bronnen, met name camera’s, te koppelen en te analyseren, om winkeldieven uit Oost-Europa in een vroeg stadium te herkennen. Dat meldde Tweakers afgelopen maandag. De camera’s zijn die uit de anpr-nummerplaatherkenning, gekoppeld aan een database die de politie heeft over voertuigen die… Lees verder

Heb ik onder de AVG recht op beelden van de diefstal van mijn motorfiets?

| AE 10802 | Privacy | 21 reacties

Een lezer vroeg me: Enkele dagen geleden is mijn motor gestolen die voor mijn huis geparkeerd stond. De plaatselijke supermarkt heeft dit feit opgenomen met één van hun beveiligingscamera’s. Heb ik recht op inzage? Het recht op inzage in camerabeelden komt uit de Algemene Verordening Gegevensbescherming, en geldt dus alleen voor camerabeelden waar jouw persoonsgegevens… Lees verder

Licentiecodes meenemen van je werk is geen diefstal

Een licentiecode meenemen van je werk als je ontslag neemt, is geen diefstal of heling. Dat vonniste de rechtbank Den Haag onlangs. De verdachte in deze strafzaak had ontslag genomen en wilde kennelijk met die licentiecode goede sier maken bij de nieuwe werkgever, iets dat de oude werkgever zó ernstig vond dat men aangifte deed,… Lees verder

Mag de eigenaar van een gestolen laptop deze opsnuffelen bij een legitieme koper?

| AE 9571 | Regulering, Security | 32 reacties

Een lezer vroeg me: Onlangs kreeg ik de politie aan de deur: ik zou in het bezit zijn van een gestolen laptop! Bij navraag bleek het te gaan om een tweedehands die ik keurig in een computerwinkel had gekocht (met bon, reële prijs, semi-bekende keten wiens naam ik even niet noem) dus niets aan de… Lees verder

Jaar cel voor hacken en phishing, maar creditcardgegevens kun je niet stelen

| AE 9128 | Regulering | 20 reacties

Een man uit Amsterdam heeft vrijdag een celstraf van één jaar gekregen omdat hij verschillende websites heeft gehackt, e-mailadressen heeft gestolen en zich in phishing-e-mails heeft voorgedaan als een creditcardbedrijf. Dat meldde Nu.nl onlangs. Hij had ook creditcardgegevens te pakken gekregen, maar deze heeft hij niet gestolen want dat kan juridisch niet, zo blijkt uit… Lees verder