Kun je aansprakelijk gesteld worden voor bitcoindiefstal door je kinderen?

| AE 12882 | Security | 9 reacties

Een Amerikaan heeft de dieven van 16 bitcoins (destijds 2 ton in Euro’s) gevonden en klaagt nu hun ouders aan, zo meldde Krebs on Security onlangs. De man stak veel tijd in het opsporen van de bitcoindieven, maar wist met het nodige forensisch onderzoek te achterhalen dat twee Britse -destijds- minderjarigen de cryptomunten naar zich toe hadden weten te krijgen. Omdat de ouders niet reageerden op zijn verzoek tot terugbetaling, gaat hij nu over tot een civiele rechtszaak. Wat de vader van een “crypto hackende” dochter me bezorgd deed vragen: loop ik ook dat risico?

Even voor de duidelijkheid, het gaat hier dus niet om aangifte of strafvervolging tegen minderjarigen. Dat kan (in Nederland vanaf 12 jaar) maar dat zou een beslissing van het OM zijn. Het gaat hier om een civiele of burgerlijke zaak: ik heb schade geleden door uw kind, ik wil graag even afrekenen. En nee, dit is geen verzekeringswerk.

De truc die de twee gebruikt zouden hebben, was een crypto wallet app met een achterdeur: wanneer je een bitcoinadres kopieerde naar het Klembord, werd dit vervangen door een sterk gelijkend adres dat beheerd werd door de dieven. Je plakt dat dan in het walletprogramma en alles lijkt te kloppen, maar je geld ben je dus kwijt. Dit is een van de vele vormen van malware, diefstal en oplichting waar cryptogebruikers mee te maken hebben.

De man gooide er flink wat onderzoekscapaciteit tegenaan maar wist ze te vinden;

[The claimant’s] lawsuit lays out how his investigators traced the stolen funds through cryptocurrency exchanges and on to the two youths in the United Kingdom. In addition, they found one of the defendants — just hours after [his] bitcoin was stolen — had posted a message to GitHub asking for help accessing the private key corresponding to the public key of the bitcoin address used by the clipboard-stealing malware.
De leeftijd van de twee wordt niet gegeven, maar het speelde in 2018 en de twee studeren nu aan de universiteit, dus het zal niet om copypastende tienjarigen zijn gegaan. Dat is van belang, want aansprakelijkheid van ouders voor handelen van kinderen ligt een tikje ingewikkeld.

In Nederland trekken we een grens bij veertien jaar. Als een kind van onder die leeftijd iets onrechtmatigs doet, zijn de ouders daarvoor aansprakelijk. (Met als randvoorwaarde dat de vraag wel eerst is of het kind aansprakelijk zou zijn geweest als het meerderjarig was.) Ik heb geen twijfel dat het verspreiden van bitcoinstelende malware onrechtmatig is, of je dat nou doet “voor de lolz” of omdat je nieuwe fidget spinners wilt komen. Dus als die malwarecopypastende tienjarige inderdaad twee ton aan bitcoins had gestolen, dan zijn de ouders aansprakelijk.

Het andere makkelijke geval is de leeftijd zestien tot achttien, dan is alleen het kind aansprakelijk. Het doet er dan niet toe of het kind geen geld heeft en de ouders miljonair zijn. In theorie zouden de ouders aansprakelijk gehouden kunnen worden als blijkt dat ze hun ouderlijke zorgplicht hebben geschonden, maar dat is niet hetzelfde als “je kind stal mijn bitcoins en woonde bij jou thuis”. Het moet dan op zichzelf onrechtmatig zijn geweest dat de ouders niet ingrepen.

Vanaf achttien jaar is het kind meerderjarig en dus geheel als enige aansprakelijk voor zijn of haar fouten. Ook als het kind nog thuis woont en ook als de ouders alles betalen. Er is natuurlijk een ouderlijke zorgplicht tot 21 jaar, maar die betreft levensonderhoud en zorg en niet onrechtmatig handelen.

Als het kind veertien is (maar nog geen zestien) dan ligt het ingewikkelder, en dat komt met name omdat de wet een draak van een taalconstructie hanteert hiervoor:

Voor schade, aan een derde toegebracht door een fout van een kind dat de leeftijd van veertien jaren al wel maar die van zestien jaren nog niet heeft bereikt, is degene die het ouderlijk gezag of de voogdij over het kind uitoefent, aansprakelijk, tenzij hem niet kan worden verweten dat hij de gedraging van het kind niet heeft belet.
Het gaat hier dus om de vraag of je als ouder had moeten ingrijpen. Als je dat niet deed, en dat kan jou worden verweten (de “kom op nou”-toets) dan ben je dus aansprakelijk voor de fouten van je kind. Natuurlijk wederom met de voorvraag of het überhaupt een fout was, wat je kind deed.

In 2009 blogde ik over de ouders van een vijftienjarige die aansprakelijk werden gehouden voor een auteursrechtclaim: de jongen had een fotootje van Cruijff op zijn website gezet en de ouders moesten daarvoor betalen, aldus de fotograaf.  De rechter zag geen reden om aan te nemen dat de ouders hadden moeten ingrijpen:

Het gaat kennelijk om een handige jongen – zoals zoveel kinderen tegenwoordig zeer handig zijn in het omgaan met internet en alles wat met computers te maken heeft – die op deze wijze zijn liefhebberij mede vorm geeft. Dat is tegenwoordig niets bijzonders. Er zijn veel kinderen van (ongeveer) deze leeftijd die een website hebben. Het onderwerp van de site -voetbal- is onschuldig: volstrekt normaal voor een jongen van 15 jaar.
Een verschil met deze zaak zou dus zijn dat het onderwerp van de online activiteit iets minder onschuldig was. Je zou bij rare dingen van je puber eerder geacht worden een en ander te controleren: wat voor rare apps bouw jij, wat zit jij op dat giethub en hoe kom je aan al dat geld voor je nieuwe sneakers?

Met name het moment dat er bizar veel geld in bezit blijkt, zou voor mij het moment zijn dat je als ouders in moet gaan grijpen. De bestolen man uit het Krebs-artikel hanteert als primair argument dat hij de ouders had geïnformeerd en dat ze daarom aansprakelijk zijn omdat ze niets deden om het ongedaan te maken. Dat is in Nederland geen rechtsgeldig argument – het gaat immers om informeren over een reeds gepleegde onrechtmatige daad.

Een slachtoffer van na die brief zou er wellicht wel wat mee kunnen: je wist dat meneer A bestolen was door je zoon, je deed niets en daarna werd ik óók bestolen, dat kan jou dus worden verweten. Blijf je zitten met het feit dat de kinderen in het Verenigd Koninkrijk zitten en de bestolene in Colorado, USA, maar dat thema hebben we al een paar keer recent gehad op deze blog.

Arnoud

Jonge Skype- en Outlook-gebruikers in de problemen door privacywet

| AE 10569 | Informatiemaatschappij, Privacy | 28 reacties

Kinderen onder de 16 jaar met een Outlook- of Skype-account hebben een probleem: ze kunnen opeens niet meer inloggen. Dat meldde de NOS vorige week op basis van een PR-meelbal van Microsoft die het afsluiten van minderjarigen in het belang van hun veiligheid noemt. De geciteerde reden – dat moet van de AVG – is de grootste onzin die ik over deze wet in tijden heb gelezen. En ik héb wat onzin over de AVG gelezen.

Het klopt dat er voor kinderen (zestienminnners dus) speciale regels in de AVG staan. Wanneer je namelijk een kind onder de zestien rechtstreeks een internetdienst aanbiedt, en je wilt daarbij toestemming voor gebruik van diens persoonsgegevens, dan moet je die bij de ouders gaan halen. Dat staat in artikel 8 lid 1. En in lid 2 staat dat de aanbieder van zo’n dienst een inspanningsplicht heeft om daadwerkelijk te controleren dat die toestemming er is.

Alleen: het moet gaan om een “rechtstreeks aanbod”, staat er letterlijk. Ik kan dat maar op één manier lezen en dat is dat de dienst zich specifiek op kinderen richt. Een dienst die toevallig ook kinderen toelaat, doet die kinderen weliswaar een aanbod maar geen rechtstreeks aanbod. Als je zegt van wel, dan doet iedere internetdienst te allen tijde een “rechtstreeks” aanbod door een signup formulier te bieden, en dan heeft de frase “rechtstreeks aanbod” geen betekenis. En dat is juridisch een gevalletje delen door nul, dat kan niet waar zijn dat een zinsnede niets betekent. Een wetgever schrijft het niet voor niet zo op.

Daarnaast geldt het alleen voor gebruik van persoonsgegevens met als grondslag toestemming. Ik zou denken dat bij Microsoft die persoonsgegevens (je account, de daaraan gekoppelde gegevens die je opslaat et cetera) onder de grondslag overeenkomst verwerkt worden. Ook daarom zou dit dus gewoon niet van toepassing moeten zijn. Je vraagt niet om toestemming om een dienst te mogen leveren, je sluit een online contract waaronder je een dienst gaat leveren. Dat is wezenlijk wat anders.

Ik snap dus werkelijk niet hoe Microsoft hierbij komt. Je zou kunnen denken dat het een voorzichtige interpretatie is, maar als ik dan “We zijn er ons van bewust dat de vereisten die de AVG met zich meebrengt tijdelijk vervelend kunnen zijn.” lees in dat persbericht dan is mijn eerste gedachte, wordt hier subtiel gelobbyd tegen de werkelijke doelen van de AVG? Is er werkelijk geen andere manier dan een creditcardbetaling?

Het grappige vind ik dan nog dat onder de Wbp (en dus in heel Europa) er wel categorisch altijd toestemming nodig was van ouders om zestienminners internetdiensten te laten gebruiken. De huidige wet kent namelijk géén beperking tot “direct aanbod” of zelfs maar tot internetdiensten. Toestemming geven voor een schoolfoto moet nu dus via de ouders, vanaf 25 mei kan een kind die toestemming zelf geven (tenzij volgens de algemene regel van artikel 1:234 BW die toestemming niet gebruikelijk is voor iemand van die leeftijd). Dus eigenlijk erkent Microsoft dat het al die jaren het fout heeft gedaan?

Arnoud

Mag je onder de AVG nog foto’s van kinderen publiceren?

| AE 10563 | Privacy | 12 reacties

Een lezer vroeg me:

Klopt het dat je onder de AVG geen foto’s van personen onder de 18 jaar meer herkenbaar op internet mag plaatsen? Daarvoor zou te allen tijde ouderlijke toestemming nodig zijn namelijk.

Nee, dat klopt niet. De regels rond fotogebruik zijn in principe onveranderd onder de AVG, behalve als je foto’s gaat gebruiken op toegangspasjes en dergelijke situaties waarin ze voor identificatie bestemd zijn.

Een foto met een herkenbaar persoon daarop is een persoonsgegeven, en gebruik daarvan valt onder de AVG. Er is een uitzondering voor strikt huishoudelijk en particulier gebruik, maar die gaat niet op als je de foto publiceert of in meer dan familie- en vriendenkring verspreidt. De fotograaf/publicist van zo’n foto moet dus aan de regels voordoen.

Eén van de regels uit de AVG is dat je een grondslag moet hebben. Dat kan toestemming zijn, maar dat is niet de enige grondslag. Ook het uitvoeren van een contract is een grondslag, en hier belangrijker is het eigen gerechtvaardigd belang, namelijk de vrijheid van meningsuiting. Onder dat belang mag je dingen publiceren over mensen, zolang je maar netjes rekening houdt met hun privacy.

Rekening houden met privacy doe je door bij de foto na te gaan of er vervelende, gênante of intieme details op staan en die eventueel te blurren als dat irrelevant is. Je moet daar in ieder geval over nagedacht hebben en kunnen rechtvaardigen waarom je vond dat je die details niet hoefde weg te halen. “Het was op de openbare weg” is daarbij te mager, ik zeg het maar vast.

Het maakt in principe niet uit of de persoon op de foto meerder- of minderjarig is. Dat speelt onder de AVG alleen bij toestemming; als iemand nog geen zestien (dus niet achttien) is, dan is ouderlijke toestemming nodig in plaats van toestemming van hem- of haarzelf. Maar als je een andere grondslag hebt, dan is dit niet relevant. Wel is het zo dat hoe jonger een persoon is, hoe zwaarder zijn of haar privacy zal wegen bij de belangenafweging. Kinderfoto’s zijn zelden nieuwswaardig, dus daar zul je eerder moeten blurren, weglaten of bijsnijden.

Uiteindelijk komt dit neer op grofweg dezelfde afweging als onder het oude portretrecht uit de Auteurswet. Wie daarmee kan werken, kan dus ook onder de AVG netjes foto’s publiceren.

Een nieuw recht onder de AVG is het recht op vergetelheid. Je kunt eisen dat gebruik van je gegevens wordt gestaakt, wanneer dat gebruik achterhaald of irrelevant is. Maar dat recht geldt niet wanneer een publicatie “nodig is voor het uitoefenen van het recht op vrijheid van meningsuiting en informatie”, zo staat in lid 3 van artikel 17 waar dat recht in staat. Als de publicatie op zich dus legitiem is en rekening houdt met privacy, dan kun je ook met het recht van vergetelheid niets daartegen doen.

Arnoud

Ouders klagen Facebook aan om extreme uitgaven kinderen

| AE 7513 | Informatiemaatschappij | 18 reacties

Facebook wordt in de Verenigde Staten aangeklaagd door ouders van kinderen die zonder toestemming hoge bedragen hebben uitgegeven in spelletjes op het sociale netwerk. Dat meldde Nu.nl vorige week. Het gaat om een massaclaim, geïnitieerd door twee ouders wier kinderen elk zo’n duizend dollar aan creditcardbestedingen hadden gedaan op Facebook. Kinderen kunnen volgens de wet… Lees verder

Waarom moet je in Nederland 16 zijn om op LinkedIn te mogen?

| AE 5968 | Privacy | 14 reacties

Linkedin wil zich meer richten op scholieren en studenten en verlaagt daarom per 12 september de leeftijdsgrens in Nederland van 18 naar 16 jaar, meldde Nu.nl vorige week. Maar die 16 jaar is specifiek voor Nederland: wie de geüpdatete algemene voorwaarden leest, ziet dat 13 jaar het uitgangspunt is en dat Nederland met China als… Lees verder

Welke leeftijdsgrens geldt er in Nederland voor internetdiensten?

| AE 5693 | Informatiemaatschappij | 12 reacties

Een lezer vroeg me Bij veel Amerikaanse sites zie je dat expliciet wordt gezegd dat je minstens dertien jaar moet zijn om de dienst te mogen gebruiken. En bepaalde natuurlijk 18 of zelfs 21. Hoe zit dat bij ons? Welke leeftijdsgrenzen gelden er voor internetdiensten? Die Amerikaanse grens van 13 jaar is gebaseerd op de… Lees verder

Er zitten minderjarigen in mijn spel!

| AE 2761 | Informatiemaatschappij | 15 reacties

Een lezer vroeg me: In het online spel dat ik speel, zie ik steeds vaker minderjarige deelnemers. Het spel kent volgens mij geen minimum-leeftijd maar vereist wel dat minderjarigen met toestemming van hun ouders spelen. Ik krijg niet de indruk dat die deelnemers die toestemming hebben. Welke verantwoordelijkheid heb ik als volwassen speler tegenover die… Lees verder

Mogen kinderen betalen in sociale games?

| AE 2708 | Informatiemaatschappij | 44 reacties

Via internetspellen als Farmville en Happy Harvest betalen kinderen soms tientallen euro’s voor zaken als het onderhouden van een digitaal tuintje, las ik bij Adformatie. Hoogleraar Jeugd en Media Patti Valkenburg wil paal en perk stellen aan deze praktijk, onder meer door een vernieuwde Kinder- en Jeugdreclamecode. Deze code bevat -voor zover ik kan zien-… Lees verder

Een minderjarige bestelt iets, wat kan ik doen?

| AE 2583 | Ondernemingsvrijheid | 99 reacties

Een lezer vroeg me: Ik bied op internet een spel aan waarbij je moet betalen voor premiumfunctionaliteit. Vorige week kreeg ik een brief van een rechtsbijstandsverzekeraar dat ik een bepaalde dienst moet annuleren, en al het betaalde geld moet teruggeven, omdat een minderjarige de creditcard van zijn vader had gebruikt zonder toestemming. Ik heb het… Lees verder