Heb jij een uitdagende vraag over beveiliging, recht en privacy, stel hem aan ICT-jurist Arnoud Engelfriet
en maak kans op zijn boek "De wet op internet".

Arnoud is van alle markten thuis, maar vindt vooral in technische / hacking vragen een uitdaging. De Juridische vraag is een rubriek op Security.nl, waar wetgeving en security centraal staan. Elk kwartaal kiest Arnoud de meest creatieve vraag, die dan zijn boek zal ontvangen.

Vraag: Laatst maakte ik een typefout bij het invullen van een formulier. Ik kreeg toen een zeer cryptische foutmelding, waardoor ik het vermoeden kreeg dat ze hun input niet goed filteren. Ik heb dat vermoeden uitgeprobeerd, en met twee slim gekozen SQL commando's bleek inderdaad dat ze erg kwetsbaar voor allerlei zaken waren. Toen heb ik ze gemaild, maar in plaats van een bedankje kreeg ik een boze brief van de juridische afdeling dat ik me schuldig zou hebben gemaakt aan computervredebreuk. Moet ik me nu zorgen maken?

Antwoord: Het "opzettelijk en wederrechtelijk binnendringen" in een computersysteem of -netwerk is strafbaar, ongeacht of je daar nu een beveiliging bij doorbreekt of een truc uithaalt of welke manier je dan ook gebruikt. Dat blijkt uit de Wet Computercriminaliteit. Maar het moet wel opzettelijk zijn, je moet dus de bedoeling hebben gehad om ook echt in dat systeem binnen te dringen. Leun je tegen een deur die naar binnen toe open valt, dan ben je niet binnengeslopen in dat huis. Net zo goed dring je niet in een computer binnen als je een typefout maakt waardoor je iets anders terugkrijgt van het systeem dan je wilde.

Het lijkt me niet meer dan normaal dat je even verifieert dat echt sprake is van een fout voordat je mensen gaat mailen. Daarbij moet je natuurlijk uitkijken dat je geen schade aanricht; fouten verifieer je niet met een "; DROP DATABASE" commando.

In een rechtszaak van afgelopen januari had iemand ontdekt dat een e-learning systeem een fout had. Hier werd de leverancier zelfs zo kwaad dat hij een rechtszaak aanspande. Maar de rechter wees de eis af: "Om te beginnen is voldoende aannemelijk dat in dit geval sprake is van een goedbedoelde en onschuldige actie van de werknemer van Handyman, juist gericht op het behartigen van het belang van [de eiser] die dit zeer wel zó kon begrijpen en er zó ook profijt van had kunnen hebben."

Als je dus werkelijk per ongeluk iets tegenkomt, dan is er weinig aan de hand als je dat even controleert en vervolgens meldt. Maar opzettelijk op zoek gaan naar fouten, of kijken wat je zoal uit die database kunt krijgen is een heel ander verhaal. Je moet je acties zo beperkt mogelijk houden zodat je precies datgene krijgt wat je nodig hebt om de beheerder te informeren.

Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. In 2008 verscheen zijn boek "De wet op internet".