Heb jij een uitdagende vraag over beveiliging, recht en privacy, stel hem aan ICT-jurist Arnoud Engelfriet en maak kans op zijn boek
"De wet op internet".
Arnoud is van alle markten thuis, maar vindt vooral in technische / hacking vragen een uitdaging. Vragen over licenties worden niet behandeld, aangezien die geen raakvlak met beveiliging hebben. De Juridische vraag is een rubriek op Security.nl, waar wetgeving en security centraal staan. Elk kwartaal kiest Arnoud de meest creatieve vraag, die dan zijn boek zal ontvangen.
Vraag: Mag een leverancier alles in de gebruiksvoorwaarden zetten, bijvoorbeeld het onderscheppen van persoonlijke gegevens of het uitschakelen / vernietigen van gegevens of systemen als je een illegale versie gebruikt?
Antwoord:Niet alles mag, maar wel veel. In Nederland hebben we als uitgangspunt de contractsvrijheid: je mag als partijen met elkaar afspreken wat je wilt. Daarbij ben je eigenlijk alleen gebonden aan de "redelijkheid en billijkheid" (art. 6:248 BW).
Kortweg: als iets niet in het contract staat, maar het zou redelijkerwijs er wel in moeten staan, dan staat het er impliciet toch. En is een bepaalde afspraak (of de nakoming daarvan) redelijkerwijs onaanvaardbaar, dan geldt die afspraak even niet. Er is ook nog een verbod op strijd met de goede zeden of de openbare orde (art. 3:40 BW) maar binnen de softwarewereld moet je wel iets héél bijzonders doen wil je dat verbod overtreden. (Een huurmoordcontract is het standaardvoorbeeld.)
Binnen die grenzen mag een leverancier zo ongeveer alles afspreken dat hem goeddunkt. Je hebt als wederpartij eigenlijk alleen de keuze om die voorwaarden wel of niet te aanvaarden. Er is dus op zich niets mis met een licentie die zegt dat men de software mag wissen als hun server meldt dat je exemplaar niet geautoriseerd is. Je bent er zelf bij als je daarmee akkoord gaat.
Bij persoonlijke gegevens zou je misschien nog iets kunnen met de privacywet (Wet Bescherming Persoonsgegevens). Voor het verwerken van persoonsgegevens is namelijk expliciete toestemming nodig, en een clausule in een EULA is niet 'expliciet'. Maar heel ver kom je daar niet mee. Een bedrijf kan namelijk ook zeggen dat de gegevens "noodzakelijk voor de uitvoering van de overeenkomst" zijn, en dat is op zichzelf ook een grond om gegevens te verwerken. Ik mag adressen van klanten in mijn debiteurenadministratie stoppen of ze dat nou leuk vinden of niet. Bij software die wordt geactiveerd lijkt het me logisch dat de gegevens van de te activeren PC om dezelfde reden gebruikt mogen worden. Anders is de activatie niet uit te voeren. (Natuurlijk moet je wel melden dát je software zo werkt.)
Specifiek voor spyware en phone-home software is er nog artikel 4.1 van het Besluit universele dienstverlening en eindgebruikersbelangen. Dat bepaalt namelijk dat je bij software die via internet gegevens gaat doorsturen de gebruiker "op een duidelijke en nauwkeurige wijze moet informeren omtrent de doeleinden waarvoor men toegang wenst te verkrijgen tot de desbetreffende gegevens dan wel waarvoor men gegevens wenst op te slaan". Dit geldt dus voor spyware maar ook voor andere software met phone-home functies. In een recent vonnis bepaalde de Rotterdamse rechter dat de Dollarrevenue spyware niet kon volstaan met een clausule in de EULA die in algemene zin zegt "let op er wordt van alles geinstalleerd en daarbij kunnen aanvullende bepalingen worden gesteld".
Bij contracten met consumenten ligt het iets anders. Dergelijke contracten mogen geen "onredelijk bezwarende" bepalingen bevatten, zoals een bepaling die zegt dat je alleen naar een arbitragecommissie mag gaan bij geschillen. Staan die er toch in, dan kun je ze als consument "vernietigen" (art. 6:233 BW).
De wet kent daarbij een zwarte en grijze lijst met bepalingen die in ieder geval (zwart) en soms (grijs) verboden zijn. Zo staat op de grijze lijst een uitsluiting van aansprakelijkheid. Die is verboden tenzij de leverancier kan bewijzen dat het toch echt redelijk is dat hij zijn aansprakelijkheid op die manier uitsluit. Bij gratis diensten lijkt het me bijvoorbeeld wel redelijk om niet aansprakelijk te zijn voor downtime. Maar bij een betaald product dat ontploft als je het uitpakt, zal zo'n aansprakelijkheidsbeperking niet gelden.
Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. In 2008 verscheen zijn boek "De wet op internet".
Deze posting is gelocked. Reageren is niet meer mogelijk.