Kun je aansprakelijk gesteld worden voor bitcoindiefstal door je kinderen?

| AE 12882 | Security | 9 reacties

Een Amerikaan heeft de dieven van 16 bitcoins (destijds 2 ton in Euro’s) gevonden en klaagt nu hun ouders aan, zo meldde Krebs on Security onlangs. De man stak veel tijd in het opsporen van de bitcoindieven, maar wist met het nodige forensisch onderzoek te achterhalen dat twee Britse -destijds- minderjarigen de cryptomunten naar zich toe hadden weten te krijgen. Omdat de ouders niet reageerden op zijn verzoek tot terugbetaling, gaat hij nu over tot een civiele rechtszaak. Wat de vader van een “crypto hackende” dochter me bezorgd deed vragen: loop ik ook dat risico?

Even voor de duidelijkheid, het gaat hier dus niet om aangifte of strafvervolging tegen minderjarigen. Dat kan (in Nederland vanaf 12 jaar) maar dat zou een beslissing van het OM zijn. Het gaat hier om een civiele of burgerlijke zaak: ik heb schade geleden door uw kind, ik wil graag even afrekenen. En nee, dit is geen verzekeringswerk.

De truc die de twee gebruikt zouden hebben, was een crypto wallet app met een achterdeur: wanneer je een bitcoinadres kopieerde naar het Klembord, werd dit vervangen door een sterk gelijkend adres dat beheerd werd door de dieven. Je plakt dat dan in het walletprogramma en alles lijkt te kloppen, maar je geld ben je dus kwijt. Dit is een van de vele vormen van malware, diefstal en oplichting waar cryptogebruikers mee te maken hebben.

De man gooide er flink wat onderzoekscapaciteit tegenaan maar wist ze te vinden;

[The claimant’s] lawsuit lays out how his investigators traced the stolen funds through cryptocurrency exchanges and on to the two youths in the United Kingdom. In addition, they found one of the defendants — just hours after [his] bitcoin was stolen — had posted a message to GitHub asking for help accessing the private key corresponding to the public key of the bitcoin address used by the clipboard-stealing malware.
De leeftijd van de twee wordt niet gegeven, maar het speelde in 2018 en de twee studeren nu aan de universiteit, dus het zal niet om copypastende tienjarigen zijn gegaan. Dat is van belang, want aansprakelijkheid van ouders voor handelen van kinderen ligt een tikje ingewikkeld.

In Nederland trekken we een grens bij veertien jaar. Als een kind van onder die leeftijd iets onrechtmatigs doet, zijn de ouders daarvoor aansprakelijk. (Met als randvoorwaarde dat de vraag wel eerst is of het kind aansprakelijk zou zijn geweest als het meerderjarig was.) Ik heb geen twijfel dat het verspreiden van bitcoinstelende malware onrechtmatig is, of je dat nou doet “voor de lolz” of omdat je nieuwe fidget spinners wilt komen. Dus als die malwarecopypastende tienjarige inderdaad twee ton aan bitcoins had gestolen, dan zijn de ouders aansprakelijk.

Het andere makkelijke geval is de leeftijd zestien tot achttien, dan is alleen het kind aansprakelijk. Het doet er dan niet toe of het kind geen geld heeft en de ouders miljonair zijn. In theorie zouden de ouders aansprakelijk gehouden kunnen worden als blijkt dat ze hun ouderlijke zorgplicht hebben geschonden, maar dat is niet hetzelfde als “je kind stal mijn bitcoins en woonde bij jou thuis”. Het moet dan op zichzelf onrechtmatig zijn geweest dat de ouders niet ingrepen.

Vanaf achttien jaar is het kind meerderjarig en dus geheel als enige aansprakelijk voor zijn of haar fouten. Ook als het kind nog thuis woont en ook als de ouders alles betalen. Er is natuurlijk een ouderlijke zorgplicht tot 21 jaar, maar die betreft levensonderhoud en zorg en niet onrechtmatig handelen.

Als het kind veertien is (maar nog geen zestien) dan ligt het ingewikkelder, en dat komt met name omdat de wet een draak van een taalconstructie hanteert hiervoor:

Voor schade, aan een derde toegebracht door een fout van een kind dat de leeftijd van veertien jaren al wel maar die van zestien jaren nog niet heeft bereikt, is degene die het ouderlijk gezag of de voogdij over het kind uitoefent, aansprakelijk, tenzij hem niet kan worden verweten dat hij de gedraging van het kind niet heeft belet.
Het gaat hier dus om de vraag of je als ouder had moeten ingrijpen. Als je dat niet deed, en dat kan jou worden verweten (de “kom op nou”-toets) dan ben je dus aansprakelijk voor de fouten van je kind. Natuurlijk wederom met de voorvraag of het überhaupt een fout was, wat je kind deed.

In 2009 blogde ik over de ouders van een vijftienjarige die aansprakelijk werden gehouden voor een auteursrechtclaim: de jongen had een fotootje van Cruijff op zijn website gezet en de ouders moesten daarvoor betalen, aldus de fotograaf.  De rechter zag geen reden om aan te nemen dat de ouders hadden moeten ingrijpen:

Het gaat kennelijk om een handige jongen – zoals zoveel kinderen tegenwoordig zeer handig zijn in het omgaan met internet en alles wat met computers te maken heeft – die op deze wijze zijn liefhebberij mede vorm geeft. Dat is tegenwoordig niets bijzonders. Er zijn veel kinderen van (ongeveer) deze leeftijd die een website hebben. Het onderwerp van de site -voetbal- is onschuldig: volstrekt normaal voor een jongen van 15 jaar.
Een verschil met deze zaak zou dus zijn dat het onderwerp van de online activiteit iets minder onschuldig was. Je zou bij rare dingen van je puber eerder geacht worden een en ander te controleren: wat voor rare apps bouw jij, wat zit jij op dat giethub en hoe kom je aan al dat geld voor je nieuwe sneakers?

Met name het moment dat er bizar veel geld in bezit blijkt, zou voor mij het moment zijn dat je als ouders in moet gaan grijpen. De bestolen man uit het Krebs-artikel hanteert als primair argument dat hij de ouders had geïnformeerd en dat ze daarom aansprakelijk zijn omdat ze niets deden om het ongedaan te maken. Dat is in Nederland geen rechtsgeldig argument – het gaat immers om informeren over een reeds gepleegde onrechtmatige daad.

Een slachtoffer van na die brief zou er wellicht wel wat mee kunnen: je wist dat meneer A bestolen was door je zoon, je deed niets en daarna werd ik óók bestolen, dat kan jou dus worden verweten. Blijf je zitten met het feit dat de kinderen in het Verenigd Koninkrijk zitten en de bestolene in Colorado, USA, maar dat thema hebben we al een paar keer recent gehad op deze blog.

Arnoud

Foto’s van je kinderen op internet plaatsen versus de AVG

| AE 12616 | Privacy | 15 reacties

Gedaagde heeft beeldmateriaal (foto’s en filmpjes) op social media geplaatst van het minderjarige zoontje van eiseres, zo opende een recent vonnis van de rechtbank Overijssel. Dat mocht niet van de ex-partner. Want voor het plaatsen van foto’s van minderjarigen die de leeftijd van zestien jaren nog niet hebben bereikt, is toestemming van de wettelijk vertegenwoordiger vereist. Althans, ongeveer. En over die ongeveer wilde ik het even hebben.

Heel kort: de vrouw in de relatie had met een andere man een kind gekregen, waar de gedaagde (ik denk ook een man) later ouderlijk gezag over kreeg. Dit gezag bleef gezamenlijk toen de relatie uitging. En op enig moment daarna plaatste de gedaagde foto’s van het kind op Facebook. De eiseres was het daarmee oneens en stapte naar de rechter.

De rechter is er werkelijk in één alinea mee klaar: er is toestemming nodig van de ouders voor publicatie van foto’s van kinderen, die toestemming moet van beide ouders komen en die is er niet, dus die foto’s moeten weg. Dwangsom 50 euro per dag, maximum 2.500 euro, boem u kunt gaan.

Inhoudelijk denk ik weinig mis mee, het is al vaker bepaald dat foto’s van minderjarigen niet tegen de wil van (een van) de ouder(s) door de andere ouder mogen worden gepubliceerd. Maar ik zie hier een veel voorkomend misverstand, namelijk dat de AVG (en UAVG) zeggen dat je áltijd toestemming van de ouders nodig hebt voor publicatie. Dat is namelijk niet waar.

Het misverstand komt door artikel 8 lid 1 AVG, dat begint met

Wanneer artikel 6, lid 1, punt a), van toepassing is in verband met een rechtstreeks aanbod van diensten van de informatiemaatschappij aan een kind, is de verwerking van persoonsgegevens van een kind rechtmatig wanneer het kind ten minste 16 jaar is. Wanneer het kind jonger is dan 16 jaar is zulke verwerking slechts rechtmatig indien en voor zover de toestemming of machtiging tot toestemming in dit verband wordt verleend door de persoon die de ouderlijke verantwoordelijkheid voor het kind draagt.
En daarbij is dan artikel 6 lid 1 sub a AVG de grondslag toestemming. Snel lezend staat hier inderdaad dat toestemming bij internetdiensten door minderjarigen niet kan, dat moeten de ouders of verzorgers geven. Maar lees het nog eens: er staat niet dat verwerken alleen mag met zulke toestemming, er staat dat als je met toestemming werkt, die toestemming moet worden verleend door de ouders.

Niets houdt je dus tegen om te verwerken met een andere grondslag, zoals uitvoering overeenkomst of een eigen gerechtvaardigd belang. Een kind van dertien dat zijn naam invoert in een chatdienst, hoeft geen ouderlijke toestemming. Die naam (een persoonsgegeven) is nodig voor de dienst, je moet aangesproken kunnen worden door medechatters en daar is je naam het logische element voor.

In dit geval had de mede-ouder het wellicht kunnen gooien op dat gerechtvaardigd belang, kort door de bocht zijn uitingsvrijheid. Of dat was gelukt, weet ik niet – je moet als publicerende ouder rekening houden met de privacy van je kind, en hoe je dat doet bij Facebookpublicaties is mij nog niet duidelijk. Maar het is dus zeker geen geval “geen toestemming = mag niet”.

Arnoud

Juridisch de hand lichten voor een YouTuber/influencer, het kan

| AE 11131 | Ondernemingsvrijheid | 5 reacties

Verzoeker wenst de bevoegdheden te verwerven van een meerderjarige, zo begint een beschikking van de rechtbank Gelderland. Ik kreeg deze van een lezer met de vraag of dat normaal is, omdat het gaat om een zestienjarige die een eigen bedrijf runt als Youtuber/influencer. Kun je vanwege zoiets ineens meerderjarig verklaard worden? Het korte antwoord: ja, dat is normaal en dat kan.

Een persoon van zestien kan op zich geen rechtshandelingen verrichten, zo staat in de wet (art. 1:234 BW). Behalve rechtshandelingen die normaal zijn voor iemand van zijn of haar leeftijd. Nu doen zestienjarigen veel, en zitten er ook behoorlijk wat op Youtube elkaar te influencen, maar een eigen bedrijf beginnen en daar ook nog redelijk succesvol in zijn is nog niet echt gebruikelijk te noemen.

Het voelt nogal oneerlijk -en ook wel onhandig- om bij zo’n ondernemer te zeggen, ga maar voor alles een handtekening bij je moeder halen. Daarom kent de wet het systeem van handlichting: de rechter bepaalt dan dat je “bepaalde bevoegdheden van een meerderjarige” krijgt, zodat je zelfstandig die handelingen kunt verrichten en je ouders daar geen invloed op hebben. (En er ook niet voor aansprakelijk zijn, trouwens).

In dit geval ging het verzoek redelijk soepel, omdat de ouders ermee instemden en de rechtbank ook niets raars in het dossier ziet. De jongeman wordt toegestaan om alles te doen dat nodig is voor zijn bedrijf, waaronder het aangaan van overeenkomsten tot een bedrag van € 5.000,00 en het verrichten van betalingen tot € 500,00. Hij mag geen onroerende zaken of effecten verwerven of verkopen, dat kan echt pas als hij achttien is.

Een praktisch punt is nog dat de wet zegt dat een handlichting in de Staatscourant en twee dagbladen vermeld moet worden. Dat vinden kantonrechters al een paar jaar zeer onpraktisch, vandaar dat ze er voor gekozen hebben hun beschikking via rechtspraak.nl te publiceren met (in dit geval) de verplichting om het nog wel in een regionaal dagblad te publiceren.

Arnoud

Er zitten minderjarigen in mijn spel!

| AE 2761 | Informatiemaatschappij | 15 reacties

Een lezer vroeg me: In het online spel dat ik speel, zie ik steeds vaker minderjarige deelnemers. Het spel kent volgens mij geen minimum-leeftijd maar vereist wel dat minderjarigen met toestemming van hun ouders spelen. Ik krijg niet de indruk dat die deelnemers die toestemming hebben. Welke verantwoordelijkheid heb ik als volwassen speler tegenover die… Lees verder