Heb jij een uitdagende vraag over beveiliging, recht en privacy, stel hem aan ICT-jurist Arnoud Engelfriet en maak kans op zijn boek
"De wet op internet".

Arnoud is van alle markten thuis, maar vindt vooral in technische / hacking vragen een uitdaging. Vragen over licenties worden niet behandeld, aangezien die geen raakvlak met beveiliging hebben. De Juridische vraag is een rubriek op Security.nl, waar wetgeving en security centraal staan. Elk kwartaal kiest Arnoud de meest creatieve vraag, die dan zijn boek zal ontvangen.

Vraag:Naar aanleiding van dit artikel vroeg ik me af of het vanuit juridisch oogpunt verstandig is om veroordeelde hackers in dienst te nemen. Als hij bijvoorbeeld bij een juridische procedure bijvoorbeeld als forensisch expert moet optreden, kan de advocaat van de wederpartij zijn inbreng toch vrij eenvoudig van tafel vegen lijkt me. En als hij toch zijn streken niet verleerd heeft, dan ben jij daarvoor aansprakelijk.

Antwoord: Er zijn geen formele regels over het in dienst nemen van veroordeelden, behalve in enkele beroepen waarbij een Verklaring Omtrent het Gedrag ("Verklaring goed gedrag") nodig is of een achtergrondcheck wettelijk verplicht is. Bij een 'gewoon' bedrijf dat een IT-man nodig heeft, is er geen enkele regel die verbiedt dat men een veroordeelde hacker in dienst neemt. Dat is puur de eigen afweging van het bedrijf of men dat wil.

Het lijkt me onwaarschijnlijk dat een eigen IT'er als expert komt optreden in een rechtszaak van dat bedrijf. Experts worden eigenlijk altijd van buiten gehaald, omdat ze dan onafhankelijk (zouden moeten) zijn. Als getuige kan hij natuurlijk altijd komen als dat nodig lijkt. Het zou nogal op de man spelen zijn als de advocaat van de andere partij de verklaring dan wegveegt met "meneer is $X jaar geleden veroordeeld". Ook een veroordeelde kan best verklaren wat hij heeft gezien, en het enkele feit dát hij ooit veroordeeld is, betekent nog niet dat zij verklaring dus onbetrouwbaar is. (En vergeet die theatrale ontmaskeringen die je in Amerikaanse rechtbankseries wel ziet.)

Een iets reëler risico is inderdaad dat zo'n werknemer onbetrouwbaar blijkt en binnen het bedrijf zaken gaat hacken, backdoors installeert of bij klanten dingen uithaalt die tegen de wet zijn. Je bent als werkgever aansprakelijk voor alles wat je werknemers doen - zelfs als je ze dat verboden hebt. Zolang er er verband bestaat tussen de daad en de taak van die medewerker, is de werkgever aansprakelijk (zie art 6:170 BW). Een security-medewerker die een ongevraagde pentest bij een klant uitvoert valt m.i. wel onder die definitie.

Het kan dus zaak zijn om goed af te spreken wat deze meneer wel en niet mag doen, en in hoeverre je controle zult uitoefenen op wat hij daadwerkelijk doet.

Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. In 2008 verscheen zijn boek "De wet op internet".