Waar vind ik een standaard privacyreglement?

Een lezer vroeg me:

Voor mijn bedrijfswebsite was ik op zoek naar een standaard privacyreglement. Er zijn er natuurlijk tientallen te vinden, en veel lijkt ook op elkaar, maar ik kan nergens een model vinden dat gewoon voor elke site geschikt is. Zeg maar zoals de model-algemene voorwaarden van de KVK of jullie disclaimergenerator. Waar vind ik een standaard privacyreglement?

Standaardtekstjes hebben als groot nadeel dat ze erg generiek zijn. Voor een disclaimer niet zo’n ramp: die zijn toch maar beperkt rechtsgeldig. En er zijn ook maar een paar manieren om te zeggen “Wij zijn zo min mogelijk aansprakelijk” of “Het kan zijn dat deze site het niet doet, dan heeft u pech”.

Standaardvoorwaarden en standaardprivacystatements zijn lastiger. Die documenten moeten eigenlijk veel meer afgestemd worden op de gebruiker. Die modellen van de KVK bijvoorbeeld gaan niet erg diep: ze komen neer op “ik ga mijn professionele best doen, u moet wel betalen en ik ben zo min mogelijk aansprakelijk”. Standaardvoorwaarden hebben m.i. pas zin als ze toegesneden zijn op een specifieke branche, bv. de Thuiswinkel-voorwaarden voor webwinkels of ICT~Office voor leveranciers (dat ICT~Office erg eenzijdig is, is vers 2).

Voor privacystatements ligt het nog iets moeilijker. Je moet namelijk toelichten wat jíj doet met privacy en persoonsgegevens, en zo’n standaardtekst doet dat niet. Daar staat bv. in “wij gaan zorgvuldig om met uw privacy en verstrekken gegevens alleen in gerechtvaardigde gevallen” maar zo’n zin zegt helemaal niets. Aan wie? Welke gegevens? Wat vind jij “gerechtvaardigd”? Dat moet echt letterlijk zo worden uitgelegd.

Ook is voor veel privacy-aspecten aparte toestemming nodig. Mensen op een nieuwsbrief zetten bijvoorbeeld mag alleen met hun expliciete toestemming. Een standaardzin in een privacystatement verandert daar niets aan. Wel moet er in die statement een zin over de nieuwsbrief: dat die er is, wanneer je erop komt en hoe je er vanaf komt. Maar zo’n zin vereist dus nader onderzoek want er is niet één standaardmanier om op een nieuwsbrief te komen.

Een privacystatementgenerator is wel de volgende applicatie op mijn lijstje. Suggesties welkom!ondertussen neergezet bij ICTRecht, dus genereer je raak!

Arnoud

PompenGids niet aansprakelijk voor onjuiste bedrijfsinformatie

pompengids.pngEen bedrijvengids mag zich baseren op informatie van gebruikers, en hoeft niet per definitie in te grijpen als een dealer klaagt dat er onjuiste informatie staat over wie gerechtigd is een product te leveren. Dat blijkt uit een recent vonnis over de PompenGids. De rechtbank stelt de gids op één lijn met hostingpartijen en oordeelt dat deze pas aansprakelijk is als ze weet dat informatie onjuist is én dan onvoldoende doet om het probleem op te lossen.

Op de site PompenGids.net wordt informatie aangeboden over welke pompleverancier de juiste pomp voor de juiste klus heeft, en wie welk merk vertegenwoordigt in Nederland. Pompenleverancier VW&B ontdekte dat op PompenGids andere bedrijven vermeld stonden als leveranciers van de pompen waar zij het exclusieve verdeelrecht op had.

VW&B sprak de site daarop aan, waarna die snel een disclaimer toevoegde:

U mag binnen PompenGids onder uw eigen verantwoordelijkheid UITSLUITEND de door u gevoerde merken toevoegen waarvan u meent dat u daartoe gerechtigd bent. Door u niet gevoerde merken mogen niet toegevoegd worden.

Ook stuurde men een mail naar alle leveranciers die hadden gemeld de merken te leveren waarvan VW&B had gezegd de exclusieve dealer te zijn. Dat leverde voor VW&B te weinig op en zij stapte naar de rechter.

Die concludeert in het vonnis dat een partij als PompenGids niet automatisch aansprakelijk is voor foute informatie geplaatst door gebruikers:

Van onrechtmatig handelen door [PompenGids] is pas sprake als hij daadwerkelijk weet of redelijkerwijs moet weten dat de informatie in het register onwettig is en hij dan niet prompt handelt om de informatie te verwijderen of de toegang daartoe onmogelijk te maken.

Dit is natuurlijk precies de formulering uit de wet voor hostingpartijen (art. 6:196c BW) en het verheugt me dat de rechter deze van toepassing acht op deze bedrijvengids.

De vraag is dan: als een dealer klaagt dat hij de exclusieve dealer is, moet de bedrijvengids dan ingrijpen? Moet hij dan weten dat de informatie van andere verkopers onjuist is? Nee, aldus de rechter: het is goed denkbaar dat een ander tóch ook die merkproducten mag verkopen. Hij kan ze legaal via parallelimport hebben verkregen of als subdealer optreden.

Dit betekent dat de enkele kennisgeving over de aanwezigheid van onrechtmatige informatie niet voldoende is voor de conclusie dat [gedaagde] wist of redelijkerwijs behoorde te weten dat de informatie een onrechtmatig karakter heeft.

Wel moet de PompenGids een onderzoek starten als ze een onderbouwde klacht als die van VW&B binnenkrijgt. Alleen maar een disclaimer toevoegen is niet genoeg: gezien het kleine aantal bedrijven waarover werd geklaagd (23 stuks) had hij ze meteen moeten navragen hoe het zit. De formulering in het vonnis (overweging 5.6) loopt wat raar, maar het komt er op neer dat hoewel de gids wat traag was, de rechter daar geen onzuivere motieven achter ziet en de handelwijze van de gids dus toch als correct bestempelt.

Komt er geen reactie van de bedrijven, dan zal de PompenGids toch zelf iets moeten doen. De korte tijd tussen dagvaarding, mails en zitting was te kort om daar nu iets over te zeggen. Een beetje jammer, want nu hebben we geen antwoord op de vraag of je uit stilzwijgen mag concluderen dat de klacht terecht is?

Alles bij elkaar een mooi vonnis, dat keurig weergeeft hoe de praktijk rond notice en takedown moet verlopen. Treed op bij serieus uitziende klachten en benader de klant: klopt dit, wat vindt u hiervan en graag binnen redelijke termijn uw reactie. Komt er geen reactie, dan zul je zelf moeten optreden. Ik dénk dat dat dan betekent dat je het bericht toch maar moet verwijderen, maar wel niet-destructief zodat het terug kan als er een verlate reactie binnenkomt.

Arnoud

Verwijdering eisen uit de banmanager van een forum

Een lezer vroeg me:

Op een forum waar ik zit, gebruikt men een zogenaamde banmanager. In de banmanager slaat het beheer twijfelachtige posts op van leden die ze vervolgens van het forum zelf verwijderen. Tevens worden waarschuwingen en bans hierin opgeslagen. Tot slot worden ook ip-adressen en andere usernames (‘undercover’s’) hier aan een user verbonden. In hoeverre is het eigenlijk toegestaan om zomaar forumposts van users op te slaan in een database waarin users ze zelf niet meer kunnen zien, editten of verwijderen?

Het lijkt me op zich toegestaan om een database op te bouwen met bewijsmateriaal van uitgedeelde bans. Je hebt als forumbeheerder het recht om bewijs te verzamelen voor je acties. Dat moet je dan ook ergens bewaren, en zo’n database als hier wordt beschreven, lijkt me een prima manier om dat te doen.

Auteursrechtelijk kun je daar niets aan doen, dit valt binnen de licentie die je geeft wanneer je iets plaatst.

De wet bescherming persoonsgegevens zegt dat je het recht hebt om te vragen welke gegevens men van je bewaart (artikel 35 Wbp). Het beheer moet je dus desgevraagd toelichten wanneer je in de bandatabase komt, wat men dan opslaat en wat er met die gegevens gebeurt. Dat zou niet zo’n probleem moeten zijn voor het beheer.

Eisen tot wijzigen of verwijderen kan echter alleen als de gegevens niet meer “ter zake dienend zijn”. In dit geval dient de database als bewijs, en het is niet handig als jij het bewijs over jezelf kunt aanpassen. Die eis gaat dus niet op.

Arnoud

Mag ik een bot voor een online spel maken?

botcraft-wow-spel-online-mmo.jpgEen lezer vroeg me:

Voor een massive multiplayer online strategy game heb ik een nieuwe userinterface ontwikkeld die inlogt (met je normale naam en wachtwoord) op de officiele servers en bepaalde taken in het spel automatiseert. Ik heb deze gemaakt door het netwerkverkeer te observeren, en heb geen code uit de officiële client gebruikt. Nu zie ik dat in de EULA van deze game staat dat je geen bots mag gebruiken, maar is het ook verboden voor mij om bots te verspreiden?

Ik denk niet dat het strafbaar is in de zin dat de politie je arresteert en je de cel in gaat. Wel zou het kunnen zijn dat de dienstaanbieder zegt dat je hen schade berokkent en dat jij die moet vergoeden.

Op zich is het niet verboden software te maken die samenwerkt met andermans software, zolang je geen code overneemt (copypaste of door reverse engineering). Je mag een protocol reverse engineeren en daar dan je eigen client of server voor schrijven, maar niet de client reverse engineeren en klonen. (In de Amerikaanse Glider-zaak ging het erom dat de bot de clientsoftware aanpaste als die in RAM geladen was. Ik vind dat hoogst dubieus als juridisch argument, maar goed dat geldt voor wel meer Amerikaanse zaken.)

Als je software beveiligingsmaatregelen omzeilt, met name als mensen gratis iets kunnen doen dat normaal geld kost, dan ben je mogelijk wel strafbaar. Er zijn regels in de Auteurswet over het omzeilen van kopieerbeveiligingen en ook strafwetten over het omzeilen van een beveiliging voor een betaaldienst.

De aanbieder zou kunnen zeggen dat jouw UI in feite een bot is waarmee mensen valsspelen. Dan kunnen ze je bot bannen. Als dat moeilijk blijkt (omdat jij cloakingtechnieken gaat inbouwen) dan zouden ze kunnen zeggen dat ze nu op kosten gejaagd worden om jouw bot te blokkeren en dat ze die op jou verhalen. Dat kan onrechtmatig zijn immers.

In de praktijk denk ik dat het in Nederland wel meevalt; men blokkeert de bot en gaat over tot de orde van de dag.

Arnoud

Hoe moeilijk mag uitschrijven zijn?

account-opheffen-sluiten-annuleren-verwijderen.pngHet is jullie vast wel eens overkomen: je wil eens wat rondkijken op een site, maar je moet je eerst registreren, en dan kom je er nooit meer vanaf. Want inschrijven is vaak een kwestie van je naam en e-mailadres invullen, al dan niet met wat profielgegevens, maar uitschrijven moet aangetekend en schriftelijk of vereist dat je eerst een enquete van 3 pagina’s doorworstelt. Of de knop “Account opheffen” zit diep verstopt achter tien levels helptekst.

Mag dat zomaar? Je hebt het recht om accounts op te heffen, want die accounts zijn verzamelingen persoonsgegevens. De Wet Bescherming Persoonsgegevens geeft je het recht om te eisen dat zulke verzamelingen over jou verwijderd worden als ze niet meer nodig zijn. Een webwinkel bijvoorbeeld mag je gegevens bewaren tot de bestelling is afgehandeld, maar moet ze daarna verwijderen op jouw verzoek. Ze hoeven echter niet zelf meteen na dat afhandelen je account op te heffen of je van de verzendlijsten te verwijderen.

Bij betaalde diensten zoals datingsites kun je je account pas opheffen als de betaalde periode verstreken is. Wel kun je vaak je account op inactief zetten als je het niet meer gebruikt maar er nog wel betaald is voor een bepaalde periode.

Nu kan zo’n site zeggen dat je een soort van gratis abonnement bij ze afsluit, en aan abonnementen mogen minimumperiodes worden gekoppeld. Net zo goed als je de Donald Duck niet per maand kunt opzeggen, zou dat dan ook niet hoeven kunnen bij een registratie van een site. Maar dan zou ik wel in de voorwaarden verwachten dat er zo’n periode genoemd staat.

Als er geen periode staat, en registratie is gratis, dan lijkt het mij redelijk dat je ook elk moment het account weer moet kunnen verwijderen. Er is dan geen reden om je account te bewaren nadat jij als lid besloten hebt dat je weg wilt. Voor veel sites is “wij hebben $VEEL leden” echter een leuke marketingkreet, en daarom maken ze het nog wel eens moeilijk om je account te verwijderen.

Wie weet er nog leuke voorbeelden van niet of nauwelijks op te zeggen accounts?

Arnoud

Mag een online spel mij bannen?

eve-online-spel-bannen-spelregels.pngEen lezer vroeg me:

Ik speel EVE-online, een Massive multiplayer online role-playing game (MMORPG) dat zich in de ruimte afspeelt. Nu kreeg ik onlangs de melding dat ik vier dagen niet mag inloggen (tijdelijke ban) omdat ik een macro had gebruikt en zo vals zou spelen. Nou klopt dat op zich wel, maar ik had geen kwade bedoelingen. Daar hebben ze echter niets mee te maken, zeggen ze. Ik moet mijn straf maar gewoon uitzitten. Kan dat zomaar? Ik betaal toch gewoon abonnementsgeld voor het spel, en ik krijg niet waar ik voor betaal.

In principe lijkt het me zeker gerechtvaardigd dat men een of andere vorm van straf oplegt als een speler de spelregels schendt. Als iemand bij het voetbal een overtreding van de spelregels pleegt, kan hij het veld uitgestuurd worden. Bij ernstige overtredingen kan hij zelfs een paar wedstrijden op de bank zitten. Dat die speler lidmaatschap betaalt aan de club, doet daar niets aan af.

Het verbod op macros staat expliciet in de EULA van Eve Online, maar ik denk dat je ook zonder een expliciete regel wel mag ingrijpen als mensen zich een oneerlijk voordeel gunnen. Je verstoort het spelgenot van de anderen, en daar mag tegen worden opgetreden.

Een tijdelijke ban van 4 dagen is streng maar ook weer niet zó streng dat ik het meteen als evident oneerlijk zou aanmerken. Ik denk dat er dan ook weinig anders opzit dan deze ban uitzitten.

Hoe algemeen mogen onze voorwaarden zijn?

Een lezer mailde me:

Ik beheer een forum. De sfeer is over het algemeen goed, maar soms zijn er toch vervelende akkefietjes. Wij beroepen ons dan op onze huisregels, waar de regel in staat “De moderators mogen op elk moment ieder bericht aanpassen om elke reden. Evenzo mogen zij mensen bannen zonder opgaaf van reden”. Deze huisregels worden gemeld bij het registreren. Maar nu zegt er iemand dat deze huisregel veel te algemeen is en daarom niet rechtsgeldig. We zouden alleen bij overtredingen van de wet mogen ingrijpen. Klopt dat?

Nee dat klopt niet, maar de huisregel is wel erg algemeen dus daar zou ik toch wel wat aan doen.

Op zich mag je je huisregels formuleren zoals je wilt (daar zijn het huisregels voor). Het is dus niet zo dat je alleen mag verbieden wat in strijd is met de wet. Wil je geen politieke discussie, moeten gebruikersnamen met een A beginnen of is een bepaald woord verboden, dan schrijf je dat op en dan mag het niet.

Daaruit volgt alleen niet dat je ook maar te allen tijde zonder reden alles kunt doen als beheerder. Huisregels zijn algemene voorwaarden, en mogen dus niet ‘onredelijk bezwarend’ zijn voor je gebruikers. Dat betekent dat er wel iets van een grond moet zijn om die huisregel te hanteren – al was het maar “bewaren van onze unieke sfeer”. Een ban uitdelen aan een willekeurige gebruiker omdat je hoofdpijn hebt, zou m.i. niet moeten kunnen hoe generiek je huisregels ook zijn.

Ik zou dus op zijn minst die regel wat uitbreiden met een motivatie over doel en strekking van de regel. Wil je misbruik tegengaan, een bepaalde sfeer bewaren of alleen optreden bij smaad, laster en dergelijke?

Arnoud

Hoe laat ik minderjarigen lid worden van mijn site?

Een lezer vroeg me:

Ik heb een website met daarop een spel, waarbij je je moet registreren voordat je mee kunt doen. Is het verplicht dat mensen onder een bepaalde leeftijd toestemming van hun ouders vragen om akkoord te gaan met deze voorwaarden? En als dat verplicht is, is het dan voldoende om de (toekomstige) gebruikers bij registratie te laten verklaren dat ze toestemming hebben?

Toestemming is niet altijd nodig, maar als die nodig is dan is het waarschijnlijk niet genoeg om zo’n verklaring op te nemen in het registratieformulier.

Als je onder de 18(!) bent, heb je toestemming nodig van je ouders voor elke juridische handeling, zoals het sluiten van een contract of het lid worden van een website of spel. Doe je dit zonder toestemming, dan kunnen de ouders op elk moment en zonder overleg die handeling terugdraaien. De wederpartij heeft dan pech.

Er is een uitzondering: als het normaal is voor mensen van die leeftijd om die soort juridische handeling te verrichten, dan wordt de toestemming geacht te zijn gegeven. Een twaalfjarige mag dus snoep kopen bij Jamin, en de ouders kunnen dat niet terugdraaien. Koopt die twaalfjarige een bromfiets, dan kunnen de ouders dat wel terugdraaien (zelfs als er al op gereden is en zelfs als de twaalfjarige een vervalst identiteitsbewijs liet zien).

Het is dus de vraag of het normaal is voor jongeren van de leeftijdscategorie bij deze site om dit soort spellen te spelen en zich daarvoor in te schrijven op de site. Bij een Habbo- of Runescape-achtig spel kun je denk ik wel zeggen dat het normaal is voor twaalfplussers om mee te doen. Ze doen het in ieder geval massaal. (Habbo lijkt er vanuit te gaan dat je onder de zestien niet zelfstandig kan/mag beslissen.)

Als je niet op die “normaal voor de leeftijd” criteria wilt vertrouwen, of denkt dat jouw deelnemers wel eens te jong kunnen zijn, dan moet je toestemming vragen. Dat gebeurt vaak met zo’n vakje “Ik ben onder de zestien en verklaar toestemming te hebben van mijn ouders”, maar ik betwijfel ten zeerste of dat genoeg is. Zo’n kruisje is snel gezet, en het bewijst m.i. absoluut niet dat er ook werkelijk toestemming is. Als wederpartij kun je daarop dan ook niet vertrouwen.

Je hebt dus een probleem als website-exploitant. Want webhosters kunnen een identiteitsbewijs opvragen en zo identiteit controleren en de ouders nabellen, maar voor een site-eigenaar is dat volstrekt onpraktisch, zeker bij een gratis dienst.

In de praktijk lijkt dit nooit te spelen (zeker bij gratis sites) maar dat is meer omdat niemand zich er druk om maakt dan omdat het juridisch in orde is.

Arnoud

Over bannen en edits: het forumlid versus het beheer

Vele lezers vroegen me zaken als:

  • Ik ben geband op een forum en nu wil ik mijn berichten verwijderen, hoe dwing ik dat af?
  • Het forumbeheer heeft mijn berichten verwijderd, kan ik eisen dat ze teruggezet worden?
  • Er is geen reglement op ons forum maar toch zegt het beheer dat mijn berichten niet passen, wat nu?

De positie van forumleden en forumbeheer is juridisch bepaald niet duidelijk. Er is wettelijk niets expliciet geregeld, dus je moet dan terugvallen op de hoofdregels uit het recht. Helaas zeggen die niet veel meer dan “je moet redelijk en billijk tegen elkaar doen” (art. 6:2 en 6:248 BW), wat ongeveer net zo praktisch bruikbaar is als “gedraag je” vroeger op de basisschool.

Om veel problemen te vermijden, of in ieder geval te reguleren, is een goed reglement erg belangrijk. Daarin kan het beheer regelen wat wel en niet toegestaan is (bv. wel of geen off-topic discussies, wanneer berichten weggehaald mogen worden, of slowchat toegelaten is, of je mag reageren op spelfouten, noem maar op).

Is er geen reglement, dan is het lastig om te zeggen waar je aan toe bent. In principe bepaalt het beheer wat er wel en niet mag: het is hun server en zij mogen dus bepalen wat de regels zijn. Mag er niet worden gepraat over politiek, dan mag dat niet en kun je geband worden als je het toch doet. Dit volgt uit het XS4All/Ab.Fab arrest, waarin de Hoge Raad bepaalde dat de eigenaar van een server kan bepalen dat hij bepaalde zaken niet wenst te ontvangen (in dit geval ging het om spam maar de regel is algemeen).

Er zitten natuurlijk wel grenzen aan dat recht. Zo kun je regels niet van moment tot moment wijzigen zoals het jou uitkomt als beheer. Je zult wijzigingen moeten aankondigen en mensen de tijd moeten geven om hun gedrag daarop aan te passen.

Een veelgehoorde klacht gaat over berichten verwijderen. Dat kan niet zomaar: niet door het beheer maar ook niet door het forumlid zelf. Het bericht is deel van een discussie, en verwijdering verstoort die discussie. (Als het bericht illegale zaken bevat, dan mag je het natuurlijk wel verwijderen.) Een forumlid kan wel eisen dat zijn naam van berichten wordt gehaald, of dat eventuele tot hem herleidbare informatie (persoonsgegevens) uit de berichten wordt verwijderd.

Berichten aanpassen kan op zich wel toegestaan zijn, mits het dan gaat om kleine wijzigen die de strekking niet aantasten. Bijvoorbeeld hele lappen geciteerde tekst van elders verwijderen of niet ter zake doende alinea’s er tussenuit knippen.

Overigens heeft het forumlid (en niet het beheer) het auteursrecht op die berichten. Het beheer krijgt een licentie om het bericht te publiceren op het forum, maar ook in de RSS feeds en eventuele nieuwsbrieven die aan het forum vastzitten. Die licentie is waarschijnlijk eeuwigdurend, omdat er geen termijn is afgesproken. Dat betekent dat een lid niet zomaar op grond van zijn auteursrecht kan eisen dat berichten eraf gaan, ook niet als hij van het forum verbannen is.

Een forumlid zomaar verbannen kan denk ik ook niet zonder meer. Je zult vooraf aan moeten geven wat de redenen zijn waarop je iemand mag verwijderen, en een waarschuwing vooraf is nooit verkeerd. Je hebt daarna dan immers de reden “luistert niet naar waarschuwingen” en die lijkt me in principe geldig.

Het wordt hoog tijd voor wat specifiekere wettelijke regels of op zijn minst meer jurisprudentie over de relatie beheer-forumlid.

Arnoud

Mag een site mij zomaar verbannen?

Een lezer vroeg zich af:

Welke wettelijke regels gelden er voor het ‘bannen’ of blokkeren van bepaalde bezoekers? Kun je zomaar iedereen weigeren, of zul je een geldige reden moeten aandragen voordat je een IP-adres mag blokkeren of account mag opzeggen?

Hier zijn ben ik bang geen duidelijke regels voor. Het zal afhangen van het soort site en de mate van openheid voor anderen. Hoofdregel is dat een site-eigenaar zelf mag bepalen wat hij doet met zijn site (of blog of forum of wat dan ook). Maar als je bepaalde verwachtingen wekt bij bezoekers, dan kun je daaraan gehouden worden. En als je mensen lid laat worden en een registratie met gebruiksreglement laat doorlopen, dan zit je zelf natuurlijk ook vast aan wat in dat reglement staat.

Als er een geldige reden is, dan mag je natuurlijk mensen blokkeren of verwijderen. Maar als er geen reden is, zou ik zeggen dat je zeer terughoudend moet zijn voordat je een IP-ban uitdeelt. En nee, “ik had hoofdpijn dus vette pech voor deze meneer” is geen geldige reden. Vind je iemands gedrag irritant, deel dan altijd eerst een waarschuwing uit. Je hebt daarna dan immers de reden “luistert niet naar waarschuwingen” en die lijkt me in principe geldig.

In het MultiMediaMachines-arrest werd bepaald dat je de gebruiker van een forum niet zomaar zonder reden kunt verwijderen. En belangrijker, als je iemand verwijdert en je meldt op het forum waarom, dan zal die reden wel moeten kloppen. In die zaak bleek de reden onjuist, en de gebande persoon kon dus eisen terug te mogen komen.

Stelling van de dag: hoe groter/belangrijker een site, hoe terughoudender een beheerder moet zijn met het verwijderen van personen. Die ontzeg je daarmee immers een belangrijk platform voor hun mening, en dat kun je niet zomaar maken.

Arnoud