Domeinnaam ongewenst opheffen = schadevergoeding betalen (maar geen idee hoe veel)

Een domeinnaam kan flink wat waarde vertegenwoordigen voor een bedrijf. Als je domeinnaam dus per abuis wordt opgeheven door je provider terwijl je deze wilde verhuizen, dan kan dat een aardige schadepost zijn. Wat die schade precies bedraagt, is niet in het algemeen te zeggen maar dat die er is, is toch logisch. Dat oordeelde het Gerechtshof Den Haag in een recent arrest (via).

De domeinnaamhouder had een website voor een fitnessapparaat en wilde deze verhuizen. De hostingprovider was zijn bedrijf aan het verkopen, en had daarbij tegen zijn toeleverancier (TransIP) gemeld dat deze domeinnaam kon worden opgeheven. Naar het waarom blijft het gissen, maar gevolg was dat de domeinnaam vrij kwam en een handige Amerikaan deze snel registreerde en te koop zette voor $10.000. De houder spande een rechtszaak aan en kreeg gelijk, maar de provider ging in hoger beroep, waarbij deze in de tussentijd ook de domeinnaam (gratis) terug wist te krijgen van de handige Amerikaan.

Vervolgens ging het geschil in hoger beroep over de vraag of de domeinnaamhouder eigenlijk wel schade had geleden. Dat is op zich een terecht punt, want zonder bewijs van schade kom je nergens bij de rechter. Als blijkt dat het bepalen van die schade moeilijk is, kan de rechter vonnissen dat deze wordt opgemaakt bij staat. In de eigenlijke rechtszaak hoeft dus eigenlijk alleen te worden vastgesteld dat er schade is dankzij een onrechtmatige daad van de verliezende partij.

Hier speelde nog de complicerende factor dat de domeinnaamhouder nog meer domeinnamen had (www.fitpads.nl, .eu, .org en .biz en www.fit-pads.com en .nl) en die dus -volgens de hoster- had kunnen gebruiken ter vervanging van de kwijtgeraakte .com domeinnaam. En ja dat is een juridisch argument: wie schade heeft, moet wel zijn best doen de impact te beperken. Maar iedere SEM-specialist zal je vertellen dat een .nl niet echt equivalent is aan een .com, en dat ook het streepje aardig kan uitmaken in je zoekmachineresultaten (meelezende SEM/SEO-ers: voel je vrij hieronder uit te weiden hierover). Het argument “je had nog andere domeinnamen” is dus op zichzelf niet genoeg.

Het Gerechtshof Den Haag concludeert dan ook dat er best schade kan zijn, en dat partijen in die schadestaatprocedure mogen gaan uitvechten hoe veel en welke schade toerekenbaar is aan de hostingprovider. Wellicht dat daar ook nog gekeken kan worden naar de algemene voorwaarden van de provider, want die zullen ongetwijfeld een beperking van aansprakelijkheid bevatten.

Of die voorwaarden hier gaan helpen, vraag ik me af. Het is namelijk niet mogelijk om je aansprakelijkheid te beperken bij opzettelijk of “grof nalatig” handelen, en ik denk dat het kwijtmaken/opheffen van een domeinnaam van je klant al heel snel daar onder valt. Hoe raak je per ongeluk een domeinnaam kwijt?

Arnoud

Provider voegt eigen advertenties toe aan internet

advertentie-in-google.pngEen lezer wees me op een blogbericht dat signaleerde dat de Amerikaanse provider Mediacom is begonnen met het invoegen van advertenties op webpagina’s die je bekijkt als je via die provider online gaat. Dit doet men door aan de HTML-code van een webpagina een <SCRIPT-regel toe te voegen die een Javascript aanroept waarmee de advertenties ingeladen worden. Daarvoor moet dus echt op packetniveau in het dataverkeer worden ingegrepen.

Op DSLReport wordt opgemerkt dat deze technologie ook in 2007 al eens uitgeprobeerd werd. Toen was het een experiment (ongetwijfeld door een overactieve stagiair) maar nu lijkt het echt een serieuze activiteit te zijn. En u voelt hem al aankomen: mag dat ook in Nederland?

In januari maakte telecomtoezichthouder OPTA de regels bekend over netneutraliteit: ga je gang maar meld wel duidelijk wat je doet. OPTA meldde bij Webwereld daarover:

“De regels omtrent netneutraliteit zijn afkomstig uit Brussel”, zegt zij. “Concurrentie tussen ISPs is de beste garantie voor een open internet, maar we willen vooralsnog geen specifieke verplichtingen ten aanzien.van openheid internet.

Provider UPC kreeg in 2009 nog een boze blikbrief van de toezichthouder omdat zij verkeer afkneep van klanten zonder dit duidelijk te melden. Daarbij gooide de OPTA het over de boeg van de contractswijziging: door ineens te gaan afknijpen werd het contract met de klant aangepast, want UPC deed niet meer wat oorspronkelijk was afgesproken. Op grond van artikel 7.2 Telecommunicatiewet mag dat alleen als het van tevoren is gemeld en de klant de gelegenheid is geboden op te zeggen.

Het lijkt me dat ook het invoegen van eigen advertenties binnen dat kader legaal is, hoewel natuurlijk buitengewoon hinderlijk (tot je een advertentieblokker hebt geïnstalleerd). Het moet dus vooraf worden gemeld en je moet je contract kunnen opzeggen voordat de maatregel in werking treedt.

Of je als website iets kunt doen aan deze aangepaste presentatie van je informatie, vraag ik me af. Je zou het dan moeten gooien op ‘verminking’ van je werk, wat verboden is op grond van de Auteurswet (artikel 25). Maar dat gaat me wel wat ver; als de eigen advertentie bij de presentatie duidelijk gescheiden is van de webpagina dan zie ik werkelijk niet wat daar de verminking zou kunnen zijn. Ook al ziet de Google-homepage uit het screenshot rechtsboven er wel heel tacky uit zo.

Een leuke op het gebied van vergelijkende reclame wordt nog als bij de bedrijfswebsite een advertentie voor de concurrent getoond wordt. Je mag aannemen dat de provider de reclames afstemt op de bezochte sites, en dan kan er zomaar een Blackberry aangeprezen worden bij de homepage van Apple.

Arnoud

“You wouldn’t download a server” – maar Brein wel

youwouldntdownloadaserversmall.pngStichting Brein handelde in strijd met de wet door servers zonder gerechtelijk bevel in beslag te nemen, meldde Tweakers gisteren op gezag van onder meer hoogleraar executie- en beslagrecht Ton Jongbloed. De stichting had de servers meegenomen bij hostingprovider Worldstream omdat deze een grote topsite zouden hosten. “Ik heb de indruk dat Worldstream wat makkelijk heeft gezegd: neem maar mee”, zei ik voorzichtig bij Webwereld. “Al kan ik me wel voorstellen dat partijen snel overdonderd en geïntimideerd zijn door de manier waarop Brein werkt.” Minder voorzichtigheid bij ITenRecht.nl: daar spreken ze van eigenrichting (art. 284 Strafrecht).

Brein beroept zich op de Auteurswet, en inderdaad staat er in artikel 28 van die wet dat een rechthebbende roerende zaken (zoals harde schijven dus) die een inbreuk opleveren kan opeisen als zijn eigendom dan wel onttrekking aan het verkeer, vernietiging of onbruikbaarmaking daarvan kan vorderen. Doel hiervan is dat illegale kopieën zo van de markt gehaald kunnen worden. Maar om van dit recht gebruik te kunnen maken, moet een rechter daar wel toestemming voor hebben gegeven. Zie de Memorie van Toelichting en artikel 10 van de Europese Richtlijn waar dit uit komt.

De rechter moet daarbij (zie achtste lid) zoeken naar “evenredigheid tussen de ernst van de inbreuk en de gevorderde maatregelen en met de belangen van derden.” Het lijkt me bijvoorbeeld wel redelijk dat de rechter inbeslagname en vernietiging van een stapel illegaal gekopieerde dvd’s vordert, maar niet dat een boek wordt teruggehaald omdat er één inbreukmakende foto in staat. Hoe dat bij servers moet uitpakken, is een lastige vraag want dit is nog niet eerder aan de orde geweest. Belangrijk lijkt me in ieder geval wel dat zo’n server ook de nodige niet-inbreukmakende data zal bevatten, zodat opeisen als eigendom me niet redelijk lijkt. Dat zou een onevenredige privacyschending zijn. Vernietiging van de server lijkt me dan meer voor de hand liggen – als vaststaat dat dit een zaak is die inbreuk op het auteursrecht oplevert.

Brein blijkt volgens Webwereld en in de server rondgekeken te hebben:

Brein schrijft tevens: “Van het Gmail-adres dat uw klant gebruikt werden geen bestanden teruggevonden op de in beslag genomen servers.” Dit impliceert dat Brein de inhoud van de servers heeft onderzocht. Bovendien klaagt de eigenaar dat er wachtwoorden van verschillende accounts zijn veranderd.

Nog even afgezien van de opmerking in hun eigen persbericht dat “Er zijn geen aanwijzingen dat er iets anders dan de inbreuken en daarmee verband houdende gegevens op de servers staan.” Hoe weet je dat als er niet gekeken is op de harde schijven?

De advocaat van de provider heeft beslag laten leggen bij Brein zodat deze de servers niet meer mag kwijtmaken of daar nog langer iets mee doen. Of en wanneer de provider een rechtszaak gaat beginnen tegen Brein is nog niet duidelijk.

Tijd in ieder geval voor een nieuw shirt (bedankt eth0 voor de tip): You wouldn’t download a server!

Update (14:46) bij Webwereld meldt de hoster dat “Als wij lucht krijgen van illegale content dan halen we dat meteen offline. Dat is ons goed recht. We willen gewoon geen rommel in ons netwerk.” Het meegeven aan Brein zou in overleg met een jurist zijn geaccordeerd.

Arnoud

Niet aansprakelijk voor forumdraden of voorgelezen smsjes

Afgelopen week twee leuke uitspraken over de aansprakelijkheid van tussenpersonen. De publieke omroep TROS hoeft niet te controleren of berichten van gebruikers op het Radar-forum ‘lasterlijke’ berichten over Pretium Telecom bevatten, meldde Tweakers vrijdag. En woensdag publiceerde Media Report over een arrest uit Amsterdam over een voorgelezen SMS-bericht bij de Wereldomroep.

Eerst maar de Pretiumzaak. Dat telecombedrijf is berucht om haar wijze van klantenwerving, en op forums zoals die van Radar en Kassa stroomt het dan ook over van de klachten. En wat doe je dan als bedrijf? Inderdaad, dan ga je iedereen aanklagen (net als in 2009 een ‘boevenbende’.)

Pretium had honderden berichten gesignaleerd die volgens haar “lasterlijk en/of onrechtmatig” waren, maar afgezien van een arcering in screenshots geen toelichting gegeven. En dat keurt de rechter af: dat zou véél te tijdrovend zijn in het kader van dit kort geding. Bovendien mag je van een eiser verwachten dat hij kan onderbouwen waarom een bericht lasterlijk of anderszins onrechtmatig is.

Ook Pretiums eis dat Radar haar eigen huisregels strakker zou handhaven (omdat persoonsgegevens van derden, oftewel van Pretiummedewerkers) gepost zouden worden, wordt afgewezen. Een schending van de huisregels is iets tussen Radar en forumleden en betekent nog niet dat Pretium verwijdering kan eisen.

Pas indien deze inhoud onrechtmatig zou zijn jegens Pretium, en dit onrechtmatig karakter ook voor Tros kenbaar is, kan aan de orde zijn of Tros onrechtmatig handelt jegens Pretium indien zij deze berichten laat plaatsen of niet verwijdert.

Ook in de Wereldomroepzaak werd een dergelijke overweging gebruikt. In die zaak ging het niet om forumberichten maar om voorgelezen SMS-berichten. Meer in het bijzonder:

“En dan wat het gisteravond nog heel gezellig met Johnny Walker en de zes chauffeurs van Edgard Vermaas, die door inkrimping op straat zijn gekomen. Welkom bij Van Doesburg.”

Hartstikke leuk toch van dat Van Doesburg? Dat vond de presentator inderdaad ook. Maar aan het einde van de uitzending ontving men een e-mail die met koeienletters, “dikke koeienletters zelfs” meldde dat Vermaas helemaal niet ingekrompen had of failliet zou zijn. Bovendien was Van Doesburg de grote concurrent, dus men voelde zich belachelijk gemaakt. En Vermaas hield vervolgens de Wereldomroep aansprakelijk voor de reputatieschade; je kunt toch niet zomaar een SMS op de radio voorlezen zonder hoor en wederhoor?

Nou, dat kan wel zo blijkt uit het arrest. De Wereldomroep hoefde gezien de formulering van de sms redelijkerwijs niet te beseffen dat de mededeling in de sms onjuist was of dat er wellicht een smadelijke bedoeling achter zat. Ook de aard van het programma speelde mee: dit was geen journaal maar een duidelijk user generated content-momentje, oftewel de luisteraars snappen heus wel dat de Wereldomroep hier niet noodzakelijkerwijs achter staat. En dat wordt niet anders omdat de presentator op het bericht reageert met “hartstikke leuk”.

Beide uitspraken zijn leuke opstekers voor forumbeheerders. Langzaam maar zeker wordt duidelijk dat je niet zonder meer voor alles aansprakelijk bent, maar het is wel elke keer een zeer feitenafhankelijke analyse. Ik zou het prettig vinden als er nu toch eens een duidelijke grens getrokken wordt waar je je in abstracto aan kunt houden om zeker te weten dat je niet aansprakelijk wordt voor je comments.

Arnoud

Zweedse provider zet VPN in tegen bewaarplicht

vpn-private-network-tunnel-bewaarplicht.pngDe Zweedse isp Bahnhof gaat het internetverkeer van alle klanten leiden over een vpn-verbinding, meldde Tweakers afgelopen vrijdag. Door het netwerkverkeer over zo’n versleutelde verbinding te leiden kan de provider niet meer zien wat voor sites en diensten klanten gebruiken, zodat ze die informatie ook niet kan doorgeven aan de overheid in het kader van de Zweedse bewaarplicht (dataretentie).

In Zweden lopen ze kennelijk een beetje achter, want de Richtlijn dataretentie is uit 2006 en had dus volgens mij allang in de Zweedse wet moeten staan. (En in andere landen is hier en daar al geoordeeld dat de bewaarplicht ongrondwettig is.) In ieder geval, in Zweden geldt dus nu ook een Wet bewaarplicht op grond waarvan providers bepaalde informatie moeten bewaren over hun klanten, zoals de MAC- en IP-adressen van klanten, de logon- en logoff-tijden van elke internetsessie en de mailadressen van alle mails die via de provider worden verzonden of ontvangen. Niet verplicht is het bijhouden van elke website die wordt bezocht.

De Richtlijn bewaarplicht verplicht echter niet tot het actief genereren van die informatie. De eis is dat je bewaart wat je verzamelt, meer niet. Artikel 3 van de Richtlijn zegt expliciet:

[De wet bewaarplicht eist dat] gegevens, voorzover deze in het kader van de aanbieding van de bedoelde communicatiediensten worden gegenereerd of verwerkt … worden bewaard overeenkomstig de bepalingen van deze richtlijn

Wie dus die gegevens niet nodig meent te hebben als provider, logt die gegevens simpelweg niet en hoeft ze dan ook niet te bewaren.

Wat echter de meerwaarde is van zo’n VPN, ontgaat me volledig. Ten eerste omdat je dus niet hoeft bij te houden welke websites men bezoekt, dus waarom zou je dat dan afschermen? Ten tweede omdat ik gewoon niet snap hoe dat VPN gaat werken. Bij Torrentfreak lees ik:

“Technically, this is a stealth section, we will store all data up to this point of invisibility,” adds Karlung, referring to the first-hop connection the customer makes with the company’s servers when going online.
“What happens after that is not our responsibility and is outside Bahnhof. So the only thing we are going to store is very little information, which in practice will be irrelevant.”

Als ik dit goed begrijp, dan gaat de VPN-verbinding dus vanaf mijn thuisnetwerk naar de eerste hop bij Bahnhof. Vanaf daar gaat het onversleuteld verder. Maar dan kan de provider toch nog steeds zien welke klant (die is en blijft identificeerbaar via de inkomende poort) naar welke website gaat?

Volgens mij kan dit alleen werken als het VPN-eindpunt buiten het netwerk van Bahnhof staat. Zouden ze dat bedoelen met “outside Bahnhof”? Maar bij welke dienstverlener wordt dan het eindpunt van de verbinding gelegd?

Arnoud

OM eist IP-adressen van website Crimesite, mag dat?

bevel-crimesite.pngDe Amsterdamse recherche en het Openbaar Ministerie dreigen de hoofdredacteur van Crimesite op te pakken, meldde de site gisteren. Hij wil geen gehoor geven aan een vordering om IP-nummers van bezoekers van de website te verstrekken. Het OM had die geëist in verband met een mishandelingszaak waarover Crimesite had bericht (via GeenStijl). In de reacties verklaarden twee getuigen iets over de gebeurtenissen, en de politie wil die graag eens op het bureau spreken. Kan dat zomaar?

De politie heeft de vordering ingediend op grond van artikel 126n Strafvordering. Daarmee mag men bepaalde gegevens vorderen “over een gebruiker van een communicatiedienst en het communicatieverkeer met betrekking tot die gebruiker”, zoals het IP-adres vanaf waar het communicatieverkeer is gedaan of de NAW-gegevens indien beschikbaar. Deze mag men vorderen van “aanbieders van een communicatiedienst”, en dat zijn dan weer bedrijven die (art. 126la Strafvordering):

aan de gebruikers van zijn dienst de mogelijkheid biedt te communiceren met behulp van een geautomatiseerd werk, of gegevens verwerkt of opslaat ten behoeve van een zodanige dienst of de gebruikers van die dienst;

Het gaat hier dus niet alleen om internetproviders die signalen doorgeven, maar óók om bedrijven die bijvoorbeeld pure hostingdiensten aanbieden. Die slaan immers gegevens op ten behoeve van de communicatiedienst “WWW” (ok ok technisch gesproken de dienst “http”). Je kunt discussiëren of Crimesite onder “bedrijven die communicatiediensten leveren” valt. Crimesite lijkt me wel een bedrijf in de zin van de wet – ze verkopen advertenties. Maar is hun core business de dienst opslag/doorgifte/http? Ik betwijfel het.

Crimesite heeft echter een veel sterker argument: zij doet aan journalistiek en heeft daarmee recht op bronbescherming (zoals bevestigd in de Voskuil– en Autoweek-arresten). Het OM heeft speciale richtlijnen opgesteld over hoe om te gaan met vorderingen richting journalisten. Die zegt in artikel 6a onder meer:

In ieder geval lijkt het toepassen van dwangmiddelen gerechtvaardigd als dat het enige effectieve middel is om een zeer ernstig delict op te helderen. Het moet dan gaan om die misdrijven waarbij het leven, de veiligheid of de gezondheid van personen ernstig is geschaad of in gevaar kan worden gebracht. Daarvan zal in beginsel sprake zijn bij het opsporen van de verdachte van bijvoorbeeld een reeks van ernstige zedenmisdrijven, het traceren van een hoeveelheid explosieven of het inrekenen van een voortvluchtige moordenaar.

Verdedigbaar is dat hier sprake is van een dergelijk misdrijf. Immers het ging om zware mishandeling van een portier. En als zich dan een getuige meldt dat hij gezien heeft wie het werkelijk was, en daarbij zelfs de politie aanspreekt (“Politie: maak even een praatje met het personeel en de DJ van die avond….dan weet je genoeg.”) dan kan ik het wel billijken dat je die meneer even wilt spreken. Er is geen anonimiteit bedongen, en heel hard nodig lijkt die ook niet bij een dergelijke verklaring. Dus ik denk dat uiteindelijk de rechter het OM toch gelijk zal geven, maar het tegendeel is ook goed verdedigbaar.

Essentieel is wél dat een rechter er naar moet kijken, en dat is niet het geval bij dit type vorderingen – iedere officier van justitie mag deze vordering instellen. En daarover zegt het Europese Hof in de Autoweek-zaak:

Although the public prosecutor, like any public official, is bound by requirements of basic integrity, in terms of procedure he or she is a “party” defending interests potentially incompatible with journalistic source protection and can hardly be seen as objective and impartial so as to make the necessary assessment of the various competing interests.

Daardoor was er geen “independent assessment as to whether the interest of the criminal investigation overrode the public interest in the protection of journalistic sources.” Een officier is (een beetje) partijdig en kan daarom niet beslissen of het opsporingsbelang zwaarder weegt dan het belang van de persvrijheid. Alleen een rechter(-commissaris) kan dat.

Arnoud

Videosite 123video aansprakelijk voor uploads door gebruikers

Kim Holland heeft aan het langste eind getrokken in een rechtszaak tegen de videowebsite 123video, meldde DePers.nl gisteren. Op de videowebsite waren filmpjes van de pornoster geupload, en de rechtbank Amsterdam oordeelt nu dat de site-exploitanten daarmee het auteursrecht van Holland geschonden hebben. Dat het gebruikers waren die de filmpjes uploadden, acht de rechtbank irrelevant: omdat 123video de filmpjes bekeek en zo nodig verplaatste naar de juiste categorie, kan ze niet meer claimen slechts een dienstverlener te zijn.

Op 123video kunnen gebruikers zelf filmpjes uploaden in diverse categorieën, waaronder “XXX – Erotiek & Sex”. Eind 2007 en begin 2008 werden er filmpjes geüpload van Kim Holland, die daarvoor de site aansprakelijk stelde. De site had de uploader in vrijwaring opgeroepen, maar dat bleek uiteindelijk geen praktisch haalbare kaart. 123video verweerde zich vervolgens zelf, met als hoofdargument dat zij niet aansprakelijk is voor auteursrechteninbreuk. 123video ziet zich als een tussenpersoon, een dienstverlener die mensen filmpjes laat uploaden maar zelf geen bemoeienis heeft met de inhoud. En volgens art. 6:196c BW is zo’n tussenpersoon niet aansprakelijk voor eventuele inbreuken door uploaders.

De rechtbank denkt daar anders over:

123 Video komt met volledige kennis van de gevolgen van haar gedrag tussen om aan bezoekers van haar site toegang tot beschermde werken te verlenen. Zij heeft op haar website een aparte categorie voor pornovideo’s aangemaakt, waardoor de op haar site geplaatste pornovideo’s voor gebruikers eenvoudig toegankelijk zijn. Video’s die in de categorie XXX niet thuishoren, maar daar desalniettemin zijn geplaatst, verplaatst 123 Video (al dan niet na een melding) naar een andere categorie.

Daarbij neemt de rechtbank voor onweersproken en dus waar aan dat:

Bijna alle andere grote online pornosites hebben hetzelfde gedaan: eerst veel materiaal naar de site laten uploaden. Dat genereert het nodige verkeer naar de site. … Zodra er voldoende verkeer naar de site is, wordt de content gelegaliseerd. … De rechtbank houdt het er daarom voor dat de aanwezigheid van illegale content binnen de categorie XXX eerder regel dan uitzondering was.

123video faciliteert dus niet slechts het uploaden van filmpjes maar publiceert ze zelf opnieuw. En daarbij mag ze géén beroep doen op de uitsluiting voor aansprakelijkheid voor tussenpersonen: 123 laat zich “wel degelijk in met de van gebruikers afkomstige informatie, alsmede dat zij controle heeft over die informatie en de gebruikers van de website van 123 Video”.

Hier schemeren de vonnissen uit de Mininova– en Stokke/Marktplaats-zaken doorheen: van een dienstverlener mag worden verwacht dat hij maatregelen neemt tegen illegale content, en als dat onvoldoende blijkt dan kan hij aansprakelijk worden gehouden voor de schade. Maar de rechtbank neemt hier wel erg makkelijk aan dat 123video te weinig heeft gedaan. Wat 123video doet is niet meer dan wat elke communitysite doet: modereren en verplaatsen van dingen zodat het overzichtelijk en netjes blijft (nou ja, voor zover een pornosite netjes is).

Ik vind dat bijzonder zorgelijk: het kan echt niet de bedoeling van de wetgever zijn geweest om alléén de puur passieve dienstverlener te beschermen, en partijen die ook maar de geringste controle uitvoeren meteen ten volle aansprakelijk te houden. Het wordt tijd voor een aparte exceptie voor dienstverleners als 123video: wie zijn best doet een site netjes te houden, mag daar niet voor worden gestraft.

Omdat niet duidelijk is of Holland de auteursrechten heeft op de gewraakte filmpjes (er is nogal wat geschoven met BV’s), houdt de rechtbank de zaak aan tot Holland met bewijs daarmee komt. Maar ik begrijp van 123video dat ze toch nu al in hoger beroep gaat tegen de conclusie dat zij aansprakelijk is voor wat gebruikers uploaden.

Update (10 maart 2011): er is geschikt dus het hoger beroep zal wel van de baan zijn.

Arnoud

Mag een serveradmin alle berichten van klanten lezen?

Een lezer vroeg me:

Mag een server-admin/eigenaar de mail van klanten op zijn server lezen? Aan de ene kant lijkt het logisch van wel: het is zijn apparatuur dus hij bepaalt wat er mag en wat er gebeurt. Aan de andere kant hebben de klanten toch recht op privacy, dus zomaar meelezen met chats of mails lijkt me dan niet de bedoeling.

Inderdaad, het is zijn apparatuur, maar dat wil nog niet zeggen dat hij dan maar alles mag met wat klanten opslaan op of verzenden met die apparatuur. Zodra je anderen toelaat op je systemen, heb je ook rekening te houden met hun belangen. Je mag niet zomaar mensen eraf gooien of zomaar meelezen met privécommunicatie.

Medewerkers van bedrijven die een telecommunicatiedienst (”dienst die geheel of gedeeltelijk bestaat in het overbrengen van signalen via een elektronisch communicatienetwerk”) aanbieden, zijn strafbaar als ze kennisnemen van de inhoud van die overgebrachte communicatie. artikel 273d Wetboek van Strafrecht. Afhankelijk van hoe je de definities leest is het verdedigbaar dat de beheerder van een forum daar ook onder valt. Het CBP vond dat in ieder geval begin vorig jaar.

Maar ook als die strafwet niet geldt, heb je als gebruiker van een systeem nog steeds enige aanspraak op privacy. Als het beheer je een faciliteit biedt die “privéberichten” heet, of e-mail waarvan iedereen die min of meer privé beschouwt, dan hoort daar de gerechtvaardigde verwachting bij dat het beheer die niet zomaar gaat lezen.

Natuurlijk kunnen er redenen zijn (spam, virussen, klachten) waarom het beheer dat wel gaat doen. Maar ze moeten er wel terughoudend mee zijn – en geheim houden wat ze lezen als ze vanwege zo’n reden gaan spitten in privéberichten.

Arnoud

PompenGids niet aansprakelijk voor onjuiste bedrijfsinformatie

pompengids.pngEen bedrijvengids mag zich baseren op informatie van gebruikers, en hoeft niet per definitie in te grijpen als een dealer klaagt dat er onjuiste informatie staat over wie gerechtigd is een product te leveren. Dat blijkt uit een recent vonnis over de PompenGids. De rechtbank stelt de gids op één lijn met hostingpartijen en oordeelt dat deze pas aansprakelijk is als ze weet dat informatie onjuist is én dan onvoldoende doet om het probleem op te lossen.

Op de site PompenGids.net wordt informatie aangeboden over welke pompleverancier de juiste pomp voor de juiste klus heeft, en wie welk merk vertegenwoordigt in Nederland. Pompenleverancier VW&B ontdekte dat op PompenGids andere bedrijven vermeld stonden als leveranciers van de pompen waar zij het exclusieve verdeelrecht op had.

VW&B sprak de site daarop aan, waarna die snel een disclaimer toevoegde:

U mag binnen PompenGids onder uw eigen verantwoordelijkheid UITSLUITEND de door u gevoerde merken toevoegen waarvan u meent dat u daartoe gerechtigd bent. Door u niet gevoerde merken mogen niet toegevoegd worden.

Ook stuurde men een mail naar alle leveranciers die hadden gemeld de merken te leveren waarvan VW&B had gezegd de exclusieve dealer te zijn. Dat leverde voor VW&B te weinig op en zij stapte naar de rechter.

Die concludeert in het vonnis dat een partij als PompenGids niet automatisch aansprakelijk is voor foute informatie geplaatst door gebruikers:

Van onrechtmatig handelen door [PompenGids] is pas sprake als hij daadwerkelijk weet of redelijkerwijs moet weten dat de informatie in het register onwettig is en hij dan niet prompt handelt om de informatie te verwijderen of de toegang daartoe onmogelijk te maken.

Dit is natuurlijk precies de formulering uit de wet voor hostingpartijen (art. 6:196c BW) en het verheugt me dat de rechter deze van toepassing acht op deze bedrijvengids.

De vraag is dan: als een dealer klaagt dat hij de exclusieve dealer is, moet de bedrijvengids dan ingrijpen? Moet hij dan weten dat de informatie van andere verkopers onjuist is? Nee, aldus de rechter: het is goed denkbaar dat een ander tóch ook die merkproducten mag verkopen. Hij kan ze legaal via parallelimport hebben verkregen of als subdealer optreden.

Dit betekent dat de enkele kennisgeving over de aanwezigheid van onrechtmatige informatie niet voldoende is voor de conclusie dat [gedaagde] wist of redelijkerwijs behoorde te weten dat de informatie een onrechtmatig karakter heeft.

Wel moet de PompenGids een onderzoek starten als ze een onderbouwde klacht als die van VW&B binnenkrijgt. Alleen maar een disclaimer toevoegen is niet genoeg: gezien het kleine aantal bedrijven waarover werd geklaagd (23 stuks) had hij ze meteen moeten navragen hoe het zit. De formulering in het vonnis (overweging 5.6) loopt wat raar, maar het komt er op neer dat hoewel de gids wat traag was, de rechter daar geen onzuivere motieven achter ziet en de handelwijze van de gids dus toch als correct bestempelt.

Komt er geen reactie van de bedrijven, dan zal de PompenGids toch zelf iets moeten doen. De korte tijd tussen dagvaarding, mails en zitting was te kort om daar nu iets over te zeggen. Een beetje jammer, want nu hebben we geen antwoord op de vraag of je uit stilzwijgen mag concluderen dat de klacht terecht is?

Alles bij elkaar een mooi vonnis, dat keurig weergeeft hoe de praktijk rond notice en takedown moet verlopen. Treed op bij serieus uitziende klachten en benader de klant: klopt dit, wat vindt u hiervan en graag binnen redelijke termijn uw reactie. Komt er geen reactie, dan zul je zelf moeten optreden. Ik dénk dat dat dan betekent dat je het bericht toch maar moet verwijderen, maar wel niet-destructief zodat het terug kan als er een verlate reactie binnenkomt.

Arnoud

Provider moet verkeersgegevens afgeven bij notaris

Opmerkelijk: een ex-werknemer moet zijn internetprovider verzoeken zijn verkeersgegevens betreffende zijn privé-internetgebruik ter bewaring te geven aan notaris. Dit omdat zijn werkgever hem beschuldigt van computervredebreuk en die verkeersgegevens nodig heeft als bewijs. Dat vonniste de rechtbank Alkmaar vorige week.

De ex-werknemer was op staande voet ontslagen wegens computervredebreuk. Het lijkt te zijn gegaan om “inloggen op een plek waar je niet mocht komen”, maar het is wat lastig tussen de regels door lezen hoe dit zit. Wel valt me op dat de kantonrechter toch zo zijn twijfels had bij de klacht: de ontslagprocedure resulteerde in een ontslagvergoeding van 28.000 euro voor de ex-werknemer in eerste instantie.

Vervolgens deed de werkgever aangifte van computervredebreuk. Daarbij kreeg hij te horen:

dat onderzoek zal worden gedaan naar de mogelijkheid om tot vervolging van Gedaagde over te gaan, maar dat dit onderzoek in verband met capaciteitsgebrek niet op korte termijn zal plaats vinden.

Daarbij speelde wel één probleem: om te bewijzen dat de ex-werknemer inderdaad illegaal zou zijn binnengedrongen bij het bedrijfsnetwerk (of de privé-Hotmail van de directeur), zijn eigenlijk alleen de verkeersgegevens van de provider betrouwbaar. De werkgever had natuurlijk ook logfiles, maar de ex-werknemer stelde expliciet dat deze gemanipuleerd zouden zijn.

Die kan de officier van justitie opvragen (art. 13.2a Telecommunicatiewet) als het gaat opsporing bij ernstige misdrijven, en computervredebreuk kan daar onder vallen. Alleen, die gegevens worden na een jaar gewist, en het feit zou in mei 2010 zijn gepleegd. Als de politie dus niet in beweging komt vóór mei 2011, dan zou de provider het bewijs waarschijnlijk vernietigen. Vandaar de eis: deponeer die gegevens bij de notaris.

De werkgever was kennelijk al met de provider gaan praten, want zo lees ik:

Eiser heeft met de internetprovider van Gedaagde – die de gegevens onder zich heeft – reeds een afspraak gemaakt over het afgeven van de bedoelde verkeersgegevens. Het betreft hier echter de gegevens die zien op het internetgebruik van Gedaagde en met het oog op de privacywetgeving waaraan de internetprovider gebonden is, is het nodig dat Gedaagde instemt met de afgifte, nu het hier geen afgifte in het kader van een strafrechtelijk onderzoek betreft.

Het is niet heel duidelijk waar deze constructie op gebaseerd is. Het lijkt qua taalgebruik aan te sluiten bij de Wet Bescherming Persoonsgegevens (deze verkeersgegevens zijn immers persoonsgegevens) en afgifte vereist dan toestemming van de betrokken persoon. Maar dit lijkt wel te botsen met artikel 13.5 van de Telecomwet, dat volgens mij geen ruimte biedt voor afgifte aan wie dan ook behalve de bevoegde instanties.

Aan de andere kant, ik snap het wel: je wilt ook niet dat bewijs verloren gaat, en doordat het bij een notaris ligt, is de kans op misbruik denk ik verwaarloosbaar.

Arnoud