Tag: Toegang

About Toegang

Subscribe Feeds

De toegangscode van een brandmelder opeisen

Geplaatst op in Informatiemaatschappij, 26 reacties

brandmelderIets dat we steeds vaker gaan zien: je wilt van je installateur of beheerder af, maar die heeft de toegangscodes of wachtwoorden en die wil hij niet zomaar afgeven. Sta je dan in je recht om ze op te eisen? Dat is een juridisch lastige vraag, want zo’n code is niets. Het is immers niet meer dan data. Maar in een recente rechtszaak vond de rechter toch een praktische oplossing.

Uit het vonnis blijkt dat een onderhoudsbureau een onderaannemer had ingehuurd die onder meer de brandmelder had geplaatst in het Rotterdam The Hague Airport Wings Hotel (hierna: “het hotel”, sorry wat een mond vol).

Die melder functioneerde niet naar behoren volgens de klant, maar de onderaannemer was stellig dat er niets aan de hand was. Weliswaar stond permanent het storingslampje aan, maar dat bleek een spookmelding te zijn zonder daadwerkelijke gevolgen. Ook kon een extern bureau geen grote problemen vinden. De rechter ziet dan ook geen problemen met de levering door die onderaannemer, dus die moet gewoon betaald krijgen voor zijn diensten.

Tussen de regels door krijg ik het gevoel dat het bureau klachten kreeg van het hotel omdat het ding maar bleef piepen of moeilijk doen. Zo ging de melder een keer af toen het buiten 45 graden was op een extra zonnige dag, of door douchestoom. Dus dan voelt het als een logische volgende stap om toch van die onderaannemer af te willen.

Met een ander verder gaan mag, ook als er geen echte klachten zijn. Maar nu wordt het ICT-spannend: wil je dat brandmeldsysteem onderhouden, dan heb je een code nodig (hierna: “de code”) en die wilde de onderaannemer niet zomaar afgeven. Na enig aandringen toch wel, maar dan alleen onder de volgende voorwaarden:

acceptatie van de gevolgen van de overdracht van de code aan een andere installateur door [het bureau];
verval van garantie en iedere aansprakelijkheid van [gedaagde1] voor de BMI;
afstand van aansprakelijkheid, korting of verrekening als gevolg van terugzetten code;
finale kwijting ter zake de BMI.

Dit zijn op zich gebruikelijke eisen. Alleen, mág je dat wel stellen als voorwaarde om een toegangscode, hierna: “de code”, te moeten afgeven? Nou nee, want nergens in het contract staat geregeld dat je alleen dan de code hoeft af te geven.

De spanning stijgt: op welke grond houdt de onderaannemer de code nu onder zich? De rechter komt uit bij het retentierecht. Je mag spullen onder je houden die van een ander zijn zolang die ander een afspraak niet nakomt. Alleen, in het contract stond dat het retentierecht niet ingezet mag worden, dus dat kan de onderaannemer vergeten. Code afgeven, einde oefening.

Echter, dit is wel raar, want het retentierecht geldt voor fysieke zaken en een toegangscode is dat niet. Oh pardon, toch wel:

Hierbij wordt opgemerkt dat de voorzieningenrechter de code beschouwt als een zaak als genoemd in artikel 3:290 juncto 3:2 BW, nu de code in deze gelijk te stellen aan een fysieke sleutel.

Dat klopt formeel niet helemaal, maar praktisch gezien wel. En voorzieningenrechters zijn er voor praktische oplossingen. En het is ergens ook wel te verdedigen dat een sleutel een zaak is: hij is voor menselijke beheersing vatbaar, vertegenwoordigt waarde en is in de praktijk uniek/verplaatsbaar. Codes deel je maar in beperkte mate en meestal is er maar een iemand die hem weet (als het goed is, wordt hij na overdracht snel gewijzigd immers). Dus dan klopt het ook formeel.

Arnoud

Mijn hoster heeft mijn data kwijtgemaakt, wat nu?

Geplaatst op in Security, 23 reacties

disc-data-weg-bewaren-kruis.jpgEen lezer vroeg me:

Ik host mijn website en de nodige bedrijfskritische data op een virtuele server beheerd door een Nederlands hostingbedrijf. Gisteren kreeg ik bericht dat de server offline is, omdat de leverancier van die hoster zijn dienstverlening heeft gestaakt (waarom is me onduidelijk). Nu ben ik dus mijn data kwijt! Kan ik mijn hoster daarvoor aansprakelijk stellen?

In principe ja. De hoster heeft contractueel beloofd de dienst van webhosting/datahosting te leveren, en hij doet dat niet. Dat is een contractuele wanprestatie en dan is hij aansprakelijk voor de schade die daaruit voortvloeit.

Natuurlijk wordt dat wel genuanceerd door de precieze afspraken. De algemene voorwaarden van de hoster kunnen bepalen wat er wel en niet hoeft te worden geleverd en met welke kwaliteit. Plus ze kunnen natuurlijk aansprakelijkheid beperken tot bv. een aantal maanden aan facturen of een vast maar laag bedrag. En dat is in principe bindend tegenover de klant.

Het feit dat de leverancier van de hoster niet meer levert, is niet het probleem van de eindklant, de vraagsteller dus. DIe heeft geen contract met die leverancier, dus de hoster lost het maar op. Downtime van zijn leverancier is gewoon zijn wanprestatie. Behoudens overmacht of expliciete algemene voorwaarden (“De backupdienst is mede afhankelijk van de beschikbaarheid van de Dropbox-service van het Amerikaanse bedrijf Dropbox Inc”) valt er dus wel wat te claimen bij dataverlies.

Daar staat wel tegenover dat je anno 2013 moet weten dat data kwijt kan raken. Het maken van backups lijkt me dan ook een volstrekt normale en te verwachten handeling voor ieder bedrijf dat bedrijfskritische data heeft. En dan kom je juridisch bij het begrijp ‘eigen schuld’ (art. 6:101 BW): dan wordt de schade verdeeld tussen de beide partijen. Wie zelf ook schuld heeft, moet zelf ook een stuk schade dragen.

Stelling: wie geen eigen backups maakt, verdient het gewoon 100% zelf de schade te moeten dragen van dataverlies.

Arnoud

Mijn mededirecteur leest mijn mail, mag dat?

Geplaatst op in Privacy, 6 reacties

Een lezer vroeg me:

Samen met een vriendin ben ik directeur van een Nederlands bedrijf. Sinds kort heb ik het onprettige gevoel dat zij mijn mail kan lezen. Ze laat zich dingen ontglippen die ze alleen uit mijn mail kan weten, en ook relaties vragen aan mij hoe zij dingen kan weten die wij alleen per mail besproken hebben. Ik vermoed dus dat de IT-afdeling haar toegang heeft gegeven tot mijn mail. Wat kan ik nu doen? Kan ik hen een dienstbevel geven dit te staken op straffe van ontslag?

Normaal zou ik zeggen, nee, een directeur mag niet zomaar mails van een medewerker lezen. Dat is een privacyschending. Dit moet in het bedrijfsreglement uitgewerkt zijn én er moet een gegronde reden zijn om de mails te lezen (ziekte, opvolging, sterk vermoeden van misstanden).

Hier gaat echter om twee directeuren. Ik kan ik dan voorstellen dat er iets eerder een reden is om elkaars bedrijfsmail te lezen. Het gaat dan sneller om bedrijfskritische zaken. Maar nog steeds zou er een goede reden moeten zijn, of je moet vooraf hebben besproken dat je continu toegang tot elkaars mailbox hebt.

Dit is alleen niet iets om via dienstbevelen aan de IT-afdeling op te lossen. Nee, een IT-er mag niet zelf beslissen of toegang tot een mailbox gegeven mag worden. Maar als twee directeuren elkaar tegenspreken, dan komen de medewerkers in een zéér moeilijke positie. Hoe geef je gehoor aan de simultane instructies van de ene directeur “geef me toegang tot die mail” en van de andere “ik verbied je die mail toegankelijk te maken”? Er zijn ICT-ers die zich dan gedwongen zien ontslag te nemen.

Ik zou dus zeer dringend willen adviseren dit níet via de ICT te spelen maar direct de mededirecteur hierop aan te spreken. (Als je een conflict met je medebestuurders zó laat oplopen dan kun je misschien maar beter stoppen met het bedrijf, of overdrijf ik nu?)

Arnoud

Mag de baas privée-mail op het werk lezen?

Geplaatst op in Privacy, 13 reacties

Een lezer mailde me:

Ik stuur een e-mail naar een kennis bij een groot bedrijf. Heeft de meerdere binnen dat bedrijf recht om mijn e-mail aan die persoon te lezen? En zo ja, gaat dit ook op als ik specifiek in het onderwerp “privé” zet?

Privacy bestaat ook op het werk. Een manager mag niet zomaar de mails van werknemers gaan lezen, daar zal een dringende reden voor moeten zijn.

Een reden kan zijn dat de werknemer ziek, overleden of ontslagen is. Maar, zoals ik bij dat blogbericht al schreef, je mag dan wel in de mailbox kijken, maar je moet wel heel zorgvuldig zijn met wat je aantreft.

Als het onderwerp van een mail al aangeeft dat deze privé is, dan zou ik zeggen dat de manager die eigenlijk gewoon niet mag lezen. Hoewel, dit is recht dus er zijn altijd uitzonderingen. Ok, niet, tenzij een heel dringende reden waarbij zo goed als zeker is dat die mail iets belangrijks voor het bedrijf bevat. Al zou ik niet weten wat.

Het beste is en blijft om het privéadres van de medewerker te gebruiken voor privézaken. Wat volgens mij vandaag geen probleem meer zou moeten zijn; of zijn er nog bedrijven die Hotmail, Gmail en dergelijke blokkeren?

Arnoud

Toegang tot een mailbox na overlijden?

Geplaatst op in Security, 12 reacties

Een lezer mailde me:

Wie is eigenaar van een zakelijke mailbox wanneer de werknemer ontslag neemt of komt te overlijden. Kunnen nabestaanden de inhoud claimen? Mogen wij als bedrijf daarin kijken? Wat moet je doen met mail die na vertrek of overlijden nog binnenkomt?

Dit is een lastige situatie. In oktober 2007 blogde ik over een artikel van advocate Eva Visser over de contractuele situatie als de eigenaar van een e-mailaccount komt te overlijden. Waarschijnlijk kun je dan als erfgenaam aanspraak maken op voortzetting van het contract, zodat je de toegang tot de mailbox kunt eisen.

Hier ligt het iets anders: het gaat om een zakelijke mailbox, en er is dus geen contract dat je als erfgenaam zou kunnen overnemen. (Een arbeidscontract eindigt automatisch bij overlijden van de werknemer.) Toegang eisen tot privémails uit deze mailbox lijkt me dus iets moeilijker. Ik denk dat je hier eigenlijk alleen op de coulance van het bedrijf kunt gooien.

Een ander punt is wat collega’s mogen doen met die mailbox. Er komen tenslotte zakelijke mails op binnen en het bedrijf moet nu eenmaal verder. Ik adviseer bedrijven altijd dat je dan wel in de mailbox mag kijken, maar dat je wel heel zorgvuldig moet zijn met wat je aantreft. De collega die erin kijkt moet met andere woorden strikt vertrouwelijk omgaan met wat hij in de mailbox aantreft, en het liefst alles weggooien wat niet zakelijk relevant is.

Ik moet nog steeds een lijstje maken met accounts, wachtwoorden en wie te contacteren als ik kom te overlijden. Jullie ongetwijfeld ook. Maar waar begin je met zoiets? En wil je wel dat bv. je ouders in al je mailboxen kunnen om je vrienden te mailen dat je dood bent? Want dan lezen ze wellicht ook mails die ouders niet zouden moeten lezen.

Arnoud