Rechtbank: SURFnet geen openbaar elektronisch communicatienetwerk

surfnet.pngWeet u nog, die keiharde botsing tussen OPTA en SURFnet? Ik was het ook helemaal vergeten, maar gelukkig meldde ISPam het. SURFnet heeft bij de rechter gelijk gekregen: zij zijn geen openbare internetaanbieder en hoeven zich dus niet bij de OPTA aan te melden.

Wie internet-toegang aanbiedt aan “het publiek”, moet zich registreren bij de OPTA en heeft allerlei plichten zoals het aftapbaar maken van hun netwerken. Een besloten netwerkaanbieder hoeft dat niet. Denk aan een bedrijfsnetwerk. Maar hoe zit het met SURFnet, dat toch een vrij groot netwerk heeft en daarmee alle universiteiten en andere onderwijsinstellingen van internettoegang voorziet?

De OPTA vond de doelgroep zo groot dat deze neerkwam op “het publiek” zoals de Telecommunicatiewet dat bedoelde. De uitleg van de telecomtoezichthouder was dat het ging om de vraag of de groep vooral onderling wil communiceren, zoals bij een bedrijfsnetwerk, of dat de groep vooral naar buiten wil, het grote boze internet op. Maar dat criterium neemt de rechter niet over: dat het “ook om communicatie met een ieder die gebruiker is van internet” gaat, “acht de rechtbank geen omstandigheid om te kunnen spreken van een openbare dienst dan wel openbaar netwerk.”

In het vonnis wordt de doelgroep van SURFnet als “beperkt” aangemerkt:

De rechtbank [is] van oordeel dat de kring aan wie [SURFnet] haar diensten aanbiedt, wel degelijk beperkt is te achten. Die kring is immers onder één (doel)groep te scharen, namelijk instellingen die zich richten op wetenschappelijk onderzoek en hoger onderwijs. Naar het oordeel van de rechtbank is dit een voldoende afgebakende groep. Die groep is niet toegankelijk voor het algemene publiek.

Mooi voor SURFnet dus, maar ik zit me nu wel af te vragen of meer ISPs hier gebruik van kunnen maken. Als je dus kennelijk een mooie geformuleerde doelgroep kunt aanwijzen en je alleen daarop richt, dan ben je geen openbare internetaanbieder? Is “KPN Zakelijk Draadloos Internet” dan een private aanbieder omdat alleen bedrijven erop mogen? Hm.

Arnoud

Forum Internetoplichting.nl aansprakelijk voor berichten

internet-oplichting-webhost-aansprakelijk.pngAls forumbeheerder kun je in principe aanspraak maken op de wettelijke regeling over aansprakelijkheid van providers. In principe, want dit is recht en er zijn altijd uitzonderingen. En één van die uitzonderingen is als je moderators actief informatie verzamelen en redigeren, zo blijkt uit het vonnis (PDF, via Boek9.nl) inzake een geschil tussen webwinkel Trendylaarzen.nl en het forum Internetoplichting.nl. De forum-exploitant werd aansprakelijk gehouden voor uitlatingen van gebruikers, en kon geen gebruik maken van de wettelijke bescherming van providers. Een dode mus voor stichting Brein.

Update (6 juli): het vonnis is verworpen, in een nieuwe uitspraak acht de rechter de uitingen van “oplichting” gerechtvaardigd omdat “Trendylaarzen tenminste de schijn van oplichting tegen had”.

Internetoplichting.nl is één van die vele plekken waar mensen hun ontevredenheid over webwinkels en anderen kunnen uiten. Daar wordt helaas vaak misbruik van gemaakt. Iets wat ook Trendylaarzen overkwam: na eerdere klachten over haar bedrijf op Hyves wist zij het IP-adres van de klagers te achterhalen. Dit adres bleek te herleiden tot een concurrent. Toen vervolgens hetzelfde soort klachten op Internetoplichting.nl opdoken, zette de site meteen haar advocaat erop. Dat had geen succes, waarna men de hoster voor de de kortgedingrechter sleepte met de eis tot afgifte van persoonsgegevens van de plaatsers.

De hoster van Internetoplichting maakte aanspraak op de wettelijke bescherming voor internetdienstverleners. Die zijn niet aansprakelijk voor wat gebruikers van de dienst doen, mits zij maar optreden bij klachten en (als de klacht onmiskenbaar juist is) de berichten blokkeren of verwijderen. Maar daarbij mogen ze geen voorafgaande controle of invloed op de berichten uitoefenen. Men moet passief blijven en alleen achteraf ingrijpen bij klachten. Hier gingen de modjes heel wat verder:

Voor het beheer van de website wordt gebruik gemaakt van vrijwilligers, zogeheten moderators. Deze moderators communiceren met en reageren op uitingen van bezoekers van de website. Tevens worden bezoekers door de moderators, aan de hand van een stappenplan, opgeroepen om informatie over de vermeende oplichter op de website te plaatsen, zoals de door de vermeende oplichter gebruikte bankrekeningen, e-mailadressen en IP-adressen. … Vervolgens wordt door de moderators een overzicht op de website geplaatst van de informatie die zij aldus over de vermeende oplichter aan de hand van het stappenplan hebben ontvangen. … Vastgesteld wordt dat 2dehands.nl aldus door middel van de moderators de zeggenschap heeft over de inhoud van de website en dat zij kan bepalen wat daarop wel of niet wordt gepubliceerd.

En tsja, als je zelf berichten gaat compileren, dan word je aansprakelijk voor wat je compilatieberichten bevatten. Dit bevestigt de lijn die ook uit het ShowBizNewz-vonnis en eerder het Go2Web-vonnis al bleek. Omdat de inhoud van de berichten oncontroleerbaar waren (omdat de bronnen anoniem waren) en de site had moeten weten dat haar context van “internet oplichting” al snel nodeloos beschadigend voor sites als Trendylaarzen kan zijn, kon de uiting niet door de beugel. De forumbeheerder werd dan ook veroordeeld om de berichten te verwijderen en de e-mail- en IP-adressen van de plaatsers af te geven.

Bij stichting BREIN pakken ze maar gelijk lekker door:

De voorzieningenrechter in Amsterdam bepaalde gisteren dat een websitehouder in principe ten volle verantwoordelijk is voor wat er op zijn website wordt gepubliceerd.

Die conclusie gaat mij te ver. De rechter woog in dit vonnis zwaar mee dat de modjes actief om informatie vroegen en berichten compileerden en plaatsten. Dat is onvergelijkbaar met de sites waar BREIN op mikt, zoals Mininova en The Pirate Bay, waar gebruikers zelf de berichten plaatsen en de moderatie niet of nauwelijks gebeurt.

Sterker nog, juist bij inbreuken op auteursrecht hebben we jurisprudentie genoeg die bevestigt dat beheerders niet aansprakelijk zijn voor wat gebruikers plaatsen. Zie bijvoorbeeld het CU2-vonnis of recenter het vonnis in Maroc.nl, waarbij de rechters een “actieve houding” bij klachten voldoende vonden. Ook in de Garagetest- en Go2Web-zaken werd geoordeeld dat forumbeheerders niet kunnen worden geacht te weten wat er op hun forum gebeurt.

De wens is de vader van de gedachte bij BREIN, zo blijkt maar weer.

Arnoud

Informatieplichten over beveiliging voor providers

opta-logo.jpgInternetproviders en met name aanbieders van mobiel internet dienen volgens telecomwaakhond OPTA hun klanten beter te informeren over de gevaren op het web, meldde Nu.nl eergisteren. De OPTA, die ook toezicht uitoefent over internetaanbieders, heeft beleidsregels uitgegeven over de informatieplichten van internetaanbieders. Op grond van art. 11.3 Telecommunicatiewet is de OPTA bevoegd deze regels op te leggen en met boetes naleving af te dwingen.

De OPTA noemt in de beleidsregels (die als niet-kopieerbare PDF aangeboden worden, argh!) informatie over deze onderwerpen als minimum:

  • Het binnenkrijgen van spam, phishing-mails, spyware en andere malware.
  • <li>Het ongewenst door anderen laten gebruiken van een (draadloze) internetverbinding of van de eigen computer.</li>
    
    <li>Het bereikbaar zijn(!) van ongewenste websites.</li>
    
    <li>Het laten kapen van de eigen computer zodat daarmee spam, phishingmails of malware verstuurd kan worden (door deelname aan een botnet).</li>
    

De informatie moet duidelijk, ondubbelzinnig, actueel en relevant zijn. Een tekst als “Om veilig te internetten zou u een virusscanner moeten installeren” is bijvoorbeeld onvoldoende volgens de OPTA, omdat je daarmee mensen niet informeert over de risico’s als je die niet installeert. “Onveilig” is niet duidelijk genoeg.

Providers moeten een aparte pagina op hun website maken waarin ze deze informatie opnemen. Deze moet met één klik vanaf de homepage of landing page te bereiken zijn waar men het abonnement kan afsluiten.

De OPTA is al sinds 2007 bezig met het formuleren van passende regels. Dat gaf nog aardig wat ophef onder de ISP-community. Het zou bemoeizucht van de OPTA zijn of zelfs “gezochte werkgelegenheid“. Dit omdat “de maatregelen zodanig standaard zijn, dat ze allang door elke welopererende ISP in Nederland genomen zijn”, aldus Simon Hania van (destijds) XS4All.

Wat vinden jullie van deze regels? Heeft het nut om ISP’s te verplichten hierover informatie te verschaffen? Of wat zou men beter kunnen doen?

Je kunt je bijvoorbeeld afvragen of het nu juist de ISP’s moeten zijn die deze informatie gaan verspreiden. Zelf zou ik verder meer zien in verplichte maatregelen om deze beveiligingsrisico’s tegen te gaan. Internetrechtexpert Gerrit-Jan Zwenne (Leiden, Bird & Bird) zegt bijvoorbeeld terecht:

Ook als ik wordt geinformeerd over de risico’s van spam en botnets, blijf ik daarvan last hebben. Om echt iets te doen aan internetveiligheid moet meer gebeuren. Ik maak mij sterk dat OPTA heel wel in staat is om aanbieders te verplichten botnets op te sporen en te verwijderen. En als het moet zou OPTA dat ook zelf kunnen doen.

Denk aan scanners die bergen uitgaande spam of phishingmails detecteren en dan de betreffende poort sluiten of het internetverkeer van die computer beperken. Volgens mij werkt dat beter dan een folder met “pas op met het openen van bijlagen bij e-mail”.

Arnoud

“Providers moeten gaan optreden tegen inbreuk”

De tijd van graduated response tegen inbreuk op auteursrecht is gekomen, zo citeert Ars Technica de IFPI. Graduated response, in de VS ook wel bekend als three-strikes beleid, is een aanpak waarbij een provider bij gemelde inbreuk op rechten zelfstandig optreedt tegen de verantwoordelijke klant. Eerst met een waarschuwing, dan met een sommatie en dan met afsluiting van (een deel van) de internetdienstverlening. Zo’n systeem van waarschuwingen is in juli in Engeland ingevoerd.

Nu zie ik niet zo veel problemen met de klanten verplicht waarschuwen. Dat maakt de provider een doorgeefluik tussen klager en klant. In plaats van persoonsgegevens te moeten afgeven (met alle privacyimplicaties en -risico’s van dien) stuurt de provider langs de bekende weg de berichten door. De klant kan er dan zelf voor kiezen om direct te reageren. In de door Remy Chavannes voorgestelde Nomen Nescio-procedure zou de provider uiteindelijk ook de dagvaarding door moeten sturen, waarna de klant zelf gedaagd wordt.

Wat me wel zorgen baart, is het vervolg op “three strikes”, namelijk “you’re OUT”. Afsluiten van internet, of zelfs maar een deel daarvan, is een ingrijpende maatregel die alleen na een gerechtelijk vonnis opgelegd zou mogen worden. Recht op toegang is tenslotte een grondrecht, en daarin zijn inbreuken alleen toegelaten als die bij wet geregeld zijn. Ik zou zelfs zeggen in de strafwet, zodat je als internetter de hoogstemogelijke bescherming krijgt.

Arnoud

Website exploitant vervolgd voor ‘websmaad’ (gastpost)

mr. StaringVandaag weer een gastbijdrage van strafrechtadvocaat mr. A.H. (Bert) Staring. Mooi inhakend op de discussie van dinsdag over Fok!.

Een recent voorbeeld van strafrechtelijke vervolging van een website exploitant is de zaak van Budget Webhosting en diens directeur uit Beverwijk. Deze exploitant weigerde op bevel van de Officier van Justitie op te treden tegen de smadelijke uitlatingen op de website van ene Ruud R., destijds woonachtig in Emmen, die zijn gal spuwde over een advocaat. Zo had deze Ruud R. een advocaat ondermeer uitgemaakt voor “psychopaat, rechter bedriegend advocatentuig die schuldig is aan dood door schuld” etc..

De Officier Justitie is tot vervolging van deze exploitant overgegaan en de zaak is in juli van dit jaar voorgekomen bij de Rechtbank Assen. De Rechtbank heeft de Officier van Justitie niet-ontvankelijk verklaard in de vervolging van Budget Webhosting. Tegen deze beslissing van de Rechtbank is door de Officier van Justitie hoger beroep ingesteld. De vragen die in dit verband rijzen zijn: In hoeverre een website exploitant of een andere tussenpersoon, die van een ander afkomstige gegevens die strafbare informatie bevatten doorgeeft of opslaat, het risico loopt zelf te worden vervolgd? Over welk soort delicten hebben we het dan en hoe kan vervolging worden voorkomen?

Het gaat hier dus om tussenpersonen die elektronische communicatiediensten verlenen bestaande in de doorgifte of opslag van gegevens die van een ander afkomstig zijn. Er zijn in dit verband drie vormen van dienstverlening te onderscheiden.

  • Bij ‘mere conduit’ fungeert de dienstverlener slechts als doorgeefluik: hij geeft informatie door of verschaft toegang tot een communicatienetwerk. Onder ‘mere conduit’ vallen ook de automatische, tussentijdse en tijdelijke opslag van doorgegeven informatie, voor zover deze uitsluitend dient voor de doorgifte en niet langer duurt dan daarvoor redelijkerwijs noodzakelijk is.

  • Bij ‘caching’ gaat het om het automatisch, tussentijds en tijdelijk opslaan van informatie om latere doorgifte daarvan aan andere gebruikers van de dienst doeltreffender te maken.

  • Bij ‘hosting’ gaat het (tevens) om de langer durende opslag van verstrekte informatie, hetgeen een minder passieve rol van de tussenpersoon impliceert dan bij ‘mere conduit’ en ‘caching’.
Zoals gezegd gaat het om gegevens met strafbare informatie, bijvoorbeeld smadelijke, discriminatoire teksten dan wel afbeeldingen waarvan de opslag en doorgifte strafbaar is. Maar het kan ook gaan om bedreigende teksten. Een recent voorbeeld hiervan is de aangifte van Geert Wilders tegen de beheerder van de bekende digitale vriendennetwerk Hyves wegens de jegens hem gedane doodsbedreigingen door bezoekers van deze site. Zo zouden tientallen bezoekers op de ‘Anti-Wilders hyves’ hebben geschreven dat ze de politicus ‘een kogel door zijn kop zullen schieten als ze hem tegenkomen op straat.’. Het is evenwel nog onduidelijk of de beheerder van Hyves hiervoor zal worden vervolgd.

Betekent dit dan dat providers en exploitanten of andere tussenpersonen rücksichtslos kunnen worden vervolgd? Neen, de wet voorziet in een vervolgingsuitsluiting voor deze groep tussenpersonen. De achterliggende gedachte hierbij is de vrijheid van meningsuiting in een digitale omgeving zoveel mogelijk te ondersteunen door de neiging tot preventieve censuur door de tussenpersonen, uit angst voor vervolging, weg te nemen. Er moet evenwel aan bepaalde voorwaarden zijn voldaan wil vervolging kunnen worden voorkomen.

Zo moet de tussenpersoon wel ‘als zodanig’ hebben gehandeld om gevrijwaard te kunnen zijn van vervolging. Dat betekent dat zijn optreden niet verder mag reiken dan ‘mere conduit’, ‘caching’ en/of ‘hosting’. Hij mag zich niet bemoeien met ontstaan, bestemming en/of inhoud van de doorgegeven of opgeslagen gegevens noch mag hij de opslag van gegevens onder zijn gezag of toezicht doen plaatsvinden. Bij ‘mere conduit’ en louter ‘caching’, die vooral passief van aard zijn, zal deze voorwaarde weinig problemen opleveren. Bij ‘hosting’, dat een actievere betrokkenheid bij de gegevens behelst, kan het lastiger zijn vast te stellen of aan de voorwaarde is voldaan. Indien de ‘hoster’ weet dat hij onwettige informatie opslaat, kan sprake zijn van zo’n nauwe betrokkenheid bij de gegevens dat hij niet meer een uitsluitend faciliterende rol speelt; hij treedt dan niet meer ‘als zodanig’ als tussenpersoon op. Ook samenwerking met een afnemer van de dienst om onwettige handelingen te verrichten, gaat het karakter van ‘als zodanig’ optreden te buiten. Kennis van het strafbare karakter van de informatie is evenwel geen onderdeel van de vervolgingsuitsluiting.

Daarnaast moet de tussenpersoon voldoen aan een bevel van de Officier van Justitie om alle maatregelen te nemen die redelijkerwijs van hem kunnen worden gevergd om gegevens ontoegankelijk te maken. Maar dit bevel kan de Officier Justitie alleen geven als hij hiervoor toestemming heeft gekregen van de rechter.

Welnu, in de hier bovengenoemde zaak van Bugdget Webhosting had de Officier van Justitie weliswaar toestemming gevraagd aan de rechter maar deze niet gekregen. Toch heeft de Officier Justitie Budget Webhosting bevolen om op te treden tegen de smadelijke uitlatingen op de website van Ruud R.. Daar Budget Webosting dit bleef weigeren is de Officier Justitie tot vervolging overgegaan en is de zaak voorgekomen bij de Rechtbank Assen. Volgens de rechter te Assen is het Officier van Justitie hiermee over de schreef gegaan aangezien de vereiste toestemming voor een bevel ontbrak. Budget Webhosting is daardoor een beroep op een vervolgingsuitsluitingsgrond onthouden. Het OM had volgens de rechter dan ook niet tot vervolging mogen overgegaan. Het Openbaar Ministerie is daarom niet-ontvankelijk verklaard in de vervolging van Budget Webhosting. Tegen deze beslissing is de Officier van Justitie vervolgens in hoger beroep gegaan. Deze zaak krijgt dus nog een staartje.

mr. A.H. (Bert) Staring is advocaat in Arnhem, gespecialiseerd in strafrecht.

‘Europees wetsvoorstel maakt van isp’s politieagenten’

three-strikes.jpgHelp, de EU gaat een three-strikes beleid invoeren: wie drie keer een auteursrecht schendt op internet, raakt zijn of haar internettoegang kwijt. En dit terwijl dat beleid in april nog afgekeurd was. Die enigszins paniekerige boodschap was de aanleiding voor een uitgebreide PR-campagne (die me doet terugdenken aan het begin van het het software-patentendebat, maar dat terzijde).

Maar waar staat dat? In een voorstel tot hervorming van telecomwetgeving stond één ietwat bevoogdende maar verder relatief onschuldige bepaling:

De lidstaten zien erop toe dat wanneer contracten worden gesloten tussen abonnees en aanbieders van elektronische-communicatiediensten en/of -netwerken, bedoelde abonnees alvorens een contract wordt gesloten en op gezette tijden daarna duidelijk worden geïnformeerd over hun verplichting auteursrechten en verwante rechten in acht te nemen. Onverlet het bepaalde in Richtlijn 2000/31/EG betreffende elektronische handel, omvat dit de verplichting om de abonnees te informeren over de meest gebruikelijke inbreuken en de juridische gevolgen daarvan.

In een voorgesteld amendement wordt dit artikel uitgebreid naar een verplichting voor ISP’s om “distribute public interest information to existing and new subscribers when appropriate”. Waarbij “infringement of copyright and related rights” een onderdeel is van “public interest information.” Ik haal daar nog steeds niet meer uit dan voorlichting, maar je zou het ook kunnen lezen als een verplichting om blafbrieven te sturen bij een gedetecteerde vermeende inbreuk door een klant.

Frankrijk is bezig met een wetsvoorstel voor een three strikes-beleid: bij gedetecteerde inbreuk eerst twee waarschuwingen van je ISP, en daarna afsluiting van je internettoegang gedurende een jaar. Het is niet duidelijk of ISP’s daarbij verplicht zullen worden om actief te monitoren (iets dat niet mag onder de huidige Europese wetgeving) of slechts brieven van instanties als BREIN door moeten geven aan klanten.

Inderdaad, dit voorstel kun je lezen als de eerste van die drie stappen. Maar als het de bedoeling zou zijn om iets dergelijks op Europees niveau te introduceren, zou het dan niet handig zijn als de andere twee stappen er ook in staan?

Update (8 juli): bij Nu.nl maakt Toine Manders zich boos over het mailbombardement door mensen die tegen dit voorstel waren. Manders legt uit:

De verzenders menen dat het parlement een voorstel aanneemt waarbij een provider hen afsluit als ze illegale muziek of een film downloaden. “Klopt niet”, zegt Manders. “Het rapport is er juist op gericht consumenten méér rechten en bescherming te geven, zoals het recht op meer informatie over tarieven en leveringsvoorwaarden.”

Via EDRI.

Arnoud

Wat moet Marketingfacts met klachten over mijn haar?

Voor Marketingfacts schreef ik een column over aansprakelijkheid van hosters en forumbeheerders:

“Die Engelfriet heeft raar haar.” Als iemand dat op Marketingfacts zou schrijven, zou ik hem of haar een proces aan kunnen doen wegens smaad. Het is tenslotte een aantasting van mijn eer en goede naam, ook al is het misschien wel waar. Maar ja, vind die anonieme reaguurder maar eens. Een e-mailadres kun je niet dagvaarden. Marketingfacts zelf is makkelijker te vinden, en ze hebben nog geld ook. Dan pak ik die wel, zij zijn tenslotte medeplichtig door die reactie openbaar te maken.

Heel ver zal ik daarmee niet komen, want M! geniet wettelijke bescherming. Zij zijn niet aansprakelijk voor opmerkingen over raar haar van haar gebruikers, of voor schendingen van privacy, inbreuken op auteursrecht of andere rare dingen die die gebruikers uithalen. Tenminste, wanneer de redactie ingrijpt als er een klacht komt over zo’n opmerking, en die klacht blijkt “onmiskenbaar onrechtmatig” (juridisch voor “wanneer die reactie echt niet kan”). Maar wanneer kan iets nou echt niet? Hoe raar ís mijn haar?

Lees verder in Wat moet Marketingfacts met klachten over mijn haar?.

Arnoud

Provider IS InterNed niet aansprakelijk voor smaad door klant

Een hostingprovider hoeft bij vermeende smaad door een klant niet meteen in te grijpen. Tenminste, als hij de feiten niet kent en daarom niet kan inschatten wat er klopt aan het verhaal. Dat blijkt uit een gisteren verschenen vonnis tussen de Staat en hostingprovider IS InterNed Services. En ik heb een leuke aankondiging, helemaal onderaan. 🙂

Een klant van IS had ruzie met de Belastingdienst. Zijn tweedehands-autobedrijf had de nodige aanslagen opgelegd gekregen, en omdat de Belastingdienst bang was dat meneer terug naar zijn eigen land zou gaan, had men aangekondigd deze aanslagen ineens te komen innen. Dat zette het nodige kwaad bloed, en de klant begon op zijn bedrijfswebsite een hetze tegen de Belastingdienst. Daarbij werd de betrokken inspecteur met naam en toenaam genoemd. Zo schreef hij bijvoorbeeld “this corrupt and racist tax official decided to impose a very high tax on me.” Ook werden zowel de inspecteur als de Dienst beschuldigd van racisme, corruptie, machtsmisbruik en discriminatie.

De Staat besloot om de hoster te sommeren de informatie weg te halen. De hoster had dit echter geweigerd met een beroep op de wettelijke bescherming voor hosting providers. De wet zegt namelijk dat providers alleen materiaal van klanten offline hoeven te halen als het ‘onmiskenbaar’ is dat dat materiaal niet door de beugel kan. Je moet met andere woorden in redelijkheid niet kunnen twijfelen aan de juistheid van de sommatie.

Wanneer is het onmiskenbaar dat iets niet mag? Bij een een illegaal aangeboden film gaat dat nog wel, maar hoe schat je als provider in of een uitlating van een klant beledigend of racistisch is? Je kent de feiten en achtergronden van de ruzie niet, dus hoe weet je dan of een opmerking terechte kritiek is of smaad?

Het is dan ook een goede zaak dat de rechter hier oordeelde dat de provider niet in de discussie tussen de Staat en de klant hoeft te treden. Precies omdat je van een provider niet kunt vragen om te oordelen over het beledigende of smadelijke karakter van een publicatie. Dat zou al snel tot een chilling effect leiden: providers die alles waar een klacht over komen, meteen maar offline halen om aansprakelijkheid te voorkomen.

Wel is het jammer dat de rechter niet nader toelicht waarom deze tekst niet onmiskenbaar beledigend is. Het vonnis zegt dat het niet hoefde omdat IS “niet wist, en ook niet kon weten, waarop de uitlatingen waren gebaseerd, zodat zij zich geen oordeel omtrent de juistheid of rechtmatigheid ervan kon vormen”. Dus als IS meer van het geschil had geweten, had ze wel zo’n oordeel moeten vormen? Waar ligt dan de grens? Hoe bekend moeten de feiten zijn? En wanneer moet de provider op de stoel van de rechter gaan zitten? Zou bijvoorbeeld de provider moeten weten dat teksten waarin de Holocaust ontkend of gebagatelliseerd wordt, discriminerend en haatzaaiend zijn? Want dan is de provider verplicht deze weg te halen. Op die vragen geeft dit vonnis helaas geen duidelijk antwoord.

En als ik dan even commercieel mag worden: sinds gisteren biedt mijn nieuwe werkgever ICTRecht een speciale Notice en takedown adviesdienst. Voor webhosters, maar ook voor bloggers en forumbeheerders die dit soort klachten krijgen en zelf niet kunnen of willen inschatten of die klachten kloppen en wat ze nu moeten doen.

Arnoud

Vuistregels voor vorderen van persoonsgegevens (gastpost)

mr. StaringVandaag een gastbijdrage van strafrechtadvocaat mr. A.H. (Bert) Staring uit Arnhem

Onlangs is het rapport High-tech crime: soorten criminaliteit en hun daders van het Ministerie van Justitie verschenen. High-tech crime is een overkoepelend containerbegrip dat verwijst naar een veelheid aan criminele activiteiten waarbij gebruik wordt gemaakt van ICT. Voorbeelden hiervan zijn kinderporno (cybercrime) en hackers (computercriminaliteit).

Een van de speerpunten van dit kabinet is de aanpak van cybercrime. Onder het mom hiervan kondigt de minister Hirsch Ballin aan dat hij de bevoegdheden van politie en justitie tot onder meer het vorderen van gegevens van bedrijven en instellingen opnieuw tegen het licht wil houden. Wat mogen politie en justitie op dit moment al?

De Wet bevoegdheid vorderen gegevens geeft politie en justitie vergaande bevoegdheden om persoonsgegevens op te vragen bij maatschappelijke instellingen en bedrijven. Toepassing van deze bevoegdheden mag alleen indien dat voor de opsporing noodzakelijk is en er sprake is van een verdenking van een zwaarder misdrijf. Het gaat dan niet alleen over high-tech crime maar ook om criminele activiteiten waarbij geen gebruik wordt gemaakt van ICT zoals bijvoorbeeld moord.

Bedrijven en instellingen die een openbaar telecommunicatienetwerk of -dienst (telefonie en internet) aanbieden kunnen met de op deze wet gebaseerde vorderingsbevoegdheid worden geconfronteerd. Het gaat dan over de aanbieders van een geheel of gedeeltelijk besloten communicatienetwerk of -dienst alsmede degenen die in de uitoefening van een beroep of bedrijf gegevens verwerken of opslaan ten behoeve van een aanbieder van een communicatiedienst of diens gebruikers. Met een aanbieder van een geheel of gedeeltelijk besloten communicatienetwerk of -dienst worden private netwerken bedoeld, zoals een vorm van intranet. Met degene die in de uitoefening van een beroep of bedrijf gegevens verwerkt of opslaat ten behoeve van een communicatiedienst of diens gebruikers dient men te denken aan een aanbieder van webhostingdiensten of een beheerder van websites.

Niet alleen de gegevens van de verdachte maar ook de gegevens van die personen waarmee verdachte contact heeft gehad of in relatie kan worden gebracht, kunnen middels deze wet worden opgevraagd door politie of justitie.

De wet maakt onderscheid tussen drie categorieën gegevens:

  • identificeerbare gegevens (naam, adres);
  • andere gegevens (verkeersgegevens, logs, administratie);
  • gevoelige gegevens.

Bij ‘identificeerbare gegevens’ gaat het niet alleen om iemands naam, adres, woonplaats, postadres, geboortedatum of geslacht, maar ook om zogenoemde administratieve kenmerken, zoals een klantnummer, een nummer van een polis, een bankrekeningnummer, of een lidmaatschapsnummer. Deze gegevens kunnen door iedere agent of opsporingsambtenaar worden opgevraagd.

De categorie ‘andere gegevens’ is zeer omvangrijk. Het gaat vooral om gegevens uit de administratie van bedrijven. Om deze gegevens in te zien, is geen bevel van een rechter nodig, maar kan met een bevel van de officier van justitie worden volstaan. Alleen voor ‘gevoelige gegevens ‘, zoals godsdienst, ras, politieke gezindheid, gezondheid of seksuele leven, blijft een gerechtelijk bevel noodzakelijk.

Bedrijven en instellingen weten veelal niet hoe met een dergelijke vordering om te gaan en werken gemakshalve maar mee. Dit terwijl:

  • Het verstrekken van gegevens veelal inhoud dat de gegevens, meestal persoonsgegevens, voor een ander doel worden gebruikt dan waartoe ze door internet provider of website exploitant, als houder van de gegevens, zijn verwerkt.
  • De toepassing van deze opsporingsbevoegdheid door politie en justitie gegarandeerd tot een inbreuk van de persoonlijke levenssfeer van de klant leidt.
  • Indien het gaat om gegevens van derden die geen persoonsgegevens zijn, er nog altijd belangen van derden aan de orde zijn die verstrekking problematisch maken, bijvoorbeeld een contractuele geheimhoudingsplicht.

Naar mijn mening dienen bedrijven en instellingen zich weerbaar op te stellen tegen de toenemende houdgreep van de overheid. Zij dienen in ieder geval op de navolgende punten te letten:

  1. U hoeft niet vrijwillig gegevens aan politie of justitie te verstrekken.
  2. Toepassing van vorderingsbevoegdheid mag alleen indien dat voor de opsporing noodzakelijk is en het gaat om een verdenking van een bepaald kaliber misdrijf.
  3. Voor de vordering van gevoelige gegevens is toestemming van de rechter nodig.
  4. In beginsel dient er bij de toepassing van een van de hier bovengenoemde bevoegdheden een schriftelijk vordering van de bevoegde ambtenaar vooraf te gaan. Waarin de gegevens staan vermeld die u minimaal nodig heeft om de vordering uit te kunnen voeren. U dient dat ook te allen tijde naar de schriftelijke vordering te vragen.
  5. Bij een aantal bevoegdheden kan bij dringende noodzaak een vordering mondeling worden gegeven. Echter in dat geval dient achteraf en wel binnen drie dagen nadat de vordering is gedaan deze alsnog op schrift te worden gesteld.
  6. In beginsel dient de bevoegde ambtenaar van elke vordering een proces-verbaal op te maken. Van belang is dat hierin wordt vermeld in welk onderzoek naar welk strafbaar feit de bevoegdheid is toegepast. U dient dat ook altijd naar het proces-verbaal te vragen.
  7. De kosten die aan de nakoming van een vordering kunnen worden toegerekend in de vorm van extra personeelskosten en extra administratiekosten komen voor vergoeding in aanmerking.
  8. Belanghebbende kunnen zich tegen de vordering tot verstrekken van gegevens zelf alsook tegen het gebruik van gegevens die gevorderd zijn beklagen. Zowel de houder van de gegevens tot wie de vordering is gericht als degenen op wie de gegevens betrekking hebben, kunnen als belanghebbende worden aangemerkt.

Gelet op de hier bovenstaande aandachtspunten is het verstandig contact op te nemen met een strafrechtadvocaat. Deze weet namelijk alles over de bijzondere opsporingsmethode die politie en justitie in het kader van een opsporingsonderzoek kan inzetten tegen u en uw klanten. Hij kan u derhalve adviseren wat hierbij uw rechten en plichten zijn.

mr. A.H. (Bert) Staring is advocaat in Arnhem, gespecialiseerd in strafrecht.

De fair use policy (FUP) van providers als oneerlijke handelspraktijk

Onbeperkt spareribs eten, maar u moet het wel redelijk houden. Dat vind ik niet echt onbeperkt, u wel? Toch is dat feitelijk hetzelfde als wat veel internetproviders gebruiken: onbeperkt internetten, maar met een fair use policy (FUP). Deze zegt dan dat het internetverkeer “redelijk” moet zijn of “niet veel meer dan het gemiddelde van alle klanten” of iets van die aard.

Bij de aankondiging van mijn artikel Contracten met internetproviders werd in de reacties de vraag gesteld:

Als een provider een Fair Use Policy hanteert, is het dan nog redelijk dat de provider adverteert met “geen datalimiet” en “onbeperkt internettten”? Ik vermoed zelf van niet, want er is wel een datalimiet en het internetten is niet onbeperkt.

Nu komt er binnenkort verbod op oneerlijke handelspraktijken. Als deze wet er door is, is het verboden om als handelaar iets te doen waardoor

het vermogen van de gemiddelde consument om een geïnformeerd besluit te nemen aanmerkelijk wordt beperkt en de gemiddelde consument daardoor een besluit over een overeenkomst neemt of kan nemen dat hij anders niet had genomen.

Hieronder vallen bijvoorbeeld trucs als elke week opheffingsuitverkoop of een stuntaanbieding die om vijf over negen al is uitverkocht “maar we hebben nog wel veel andere mooie producten”. Maar het gaat niet alleen om dat soort malafide zaken. De regels zijn algemener. Zo mag je geen misleidende omissie hebben in je advertentie: geen essentiële informatie weglaten die de gemiddelde consument nodig heeft om een geïnformeerd besluit over een transactie te nemen.

Als voorbeelden hiervan noemt het wetsvoorstel:<BR/> a. de voornaamste kenmerken van het product, in de mate waarin dit gezien het medium en het product passend is;<BR/> d. de wijze van betaling, levering, uitvoering en het beleid inzake klachtenbehandeling, indien deze afwijken van de vereisten van professionele toewijding;

De toegestane hoeveelheid dataverkeer van een internetabonnement lijkt mij een zeer essentieel kenmerk. Dit bepaalt voor een groot deel hoe duur een abonnement is. En om abonnementen te kunnen vergelijken, moet je weten wat je bij elk abonnement mag.

Bovendien is “fair use policy” bepaald geen duidelijke omschrijving van de wijze van uitvoering de overeenkomst. Hoe weet ik zelfs maar wanneer ik meer gebruik dan mijn medegebruikers?

Een provider moet dus volgens dit wetsvoorstel aangeven wat er nu precies mag. Een vage omschrijving als “in alle redelijkheid” laat essentiële informatie weg en is daarmee misleidend.

UPDATE (7 februari 2008) omdat de Richtlijn al ingevoerd had moeten zijn, is tegenwoordig “richtlijnconforme interpretatie” van de regels uit de Richtlijn van kracht. Dat maakt het mogelijk om een bestaande wetsbepaling zo uit te leggen dat de uitkomst net is of de Richtlijn al wel ingevoerd is. Voor de FUP heb je nu al de mogelijkheid om deze algemene voorwaarde te vernietigen door te zeggen dat die onredelijk bezwarend is. Een richtijnconforme uitleg van deze eis (conform de richtlijn oneerlijke handelspraktijken dus) moet er dan toe leiden dat de FUP onredelijk bezwarend is omdat essentiële informatie weggelaten wordt. Meer hier.

Arnoud