Heb jij een uitdagende vraag over beveiliging, recht en privacy, stel hem aan ICT-jurist Arnoud Engelfriet en maak kans op zijn boek
"De wet op internet".

Arnoud is van alle markten thuis, maar vindt vooral in technische / hacking vragen een uitdaging. Vragen over licenties worden niet behandeld, aangezien die geen raakvlak met beveiliging hebben. De Juridische vraag is een rubriek op Security.nl, waar wetgeving en security centraal staan. Elk kwartaal kiest Arnoud de meest creatieve vraag, die dan zijn boek zal ontvangen.

Vanwege het grote aantal vragen de afgelopen weken deze keer weer een "bezemwagen"-editie van de juridische vraag.

Vraag: Mijn werkgever blijkt stiekem onze mails te lezen. Een collega en ik waren wat aan het geinen per mail, en hij werd op het matje geroepen en kreeg een officiële waarschuwing. Kan dat zomaar!

Antwoord: Nee, dat kan niet zomaar. Het lezen van mails van werknemers is alleen toegestaan als daar een concrete aanleiding voor is, bijvoorbeeld klachten van collega's of klanten dat deze de mail misbruikt. Een werkgever mag niet zonder aanleiding mails van werknemers gaan scannen op mogelijk ongepast of niet-werkgerelateerd gebruik. (Laat je je mail openstaan op je monitor en zet je de screensaver niet aan, dan mag je werkgever natuurlijk wel lezen wat er op het scherm staat.)

Vraag: Welke scans mag ik met een programma zoals Nessus uitvoeren zonder toestemming van de beheerder van een website en voor welke scans moet de beheerder van die website toestemming hebben gegeven?

Antwoord: Je mag natuurlijk de informatie die een websserver normaal al afgeeft, waarnemen en vastleggen. Maar in principe heb je voor elke verder gaande scan de toestemming van de eigenaar/beheerder nodig. Ik denk dan aan portscans, opvragen van niet-bestaande URLs of XSS en aanverwante grappen. Ik kan me moeilijk een reden voorstellen waarom je zonder overleg of toestemming andermans sites zou moeten scannen op mogelijke beveiligingsfouten.

Een tijdschrift of organisatie zou wellicht in het kader van vrije nieuwsgaring bij een groep websites een scan kunnen uitvoeren om hun kwetsbaarheid te meten. De publicatie is dan in het algemeen belang, omdat je dan de veiligheid van websites in het algemeen als onderwerp neemt. Maar je moet dan echt meer dan één bedrijf onderzoeken en daarbij ervoor zorgen dat je niet verder gaat dan nodig voor het nieuwsbelang. Kijken of je een site "drop database" kunt laten uitvoeren, is journalistiek niet relevant.

Vraag: Wat zijn de juridische aspecten van het openbreken(termineren) van https verkeer? Dit openbreken gebeurt meestal om malware te kunnen bestrijden. Hiervoor is een aparte appliance(proxy) nodig, welke zich bevindt op een beveiligd segment in het netwerk. Deze appliance werkt als het ware als een man-in-the-middle en doet zich t.o.v. de webserver als een client voor. Zo kan hij al het verkeer scannen, terwijl de echte client en server denken dat ze direct met elkaar praten over een beveiligde verbinding.

Antwoord: Ik ken geen specifieke wet die dit openbreken verbiedt. Zolang het puur om het scannen op malware en aanverwante evidente beveiligingsrisico's gaat, denk ik dat het wel legaal zou moeten zijn. Maar zodra het verandert in bv. meelezen van privemail van medewerkers of het vastleggen van bankgegevens, wordt het een ander verhaal. Daar is geen legitieme reden voor, en dat kan dan ook als strafbaar "vastleggen van vertrouwelijke elektronische communicatie" gezien worden.

Vraag: Eén van onze managers heeft een conflict binnen het managementteam en heeft mij (systeembeheerder) gevraagd om al zijn mails op een DVD'tje te branden zodat hij die naar huis kan nemen. Dat is tegen ons bedrijfsbeleid, maar hij zegt dat hij bang is dat zijn mails (en daarmee bewijs van zijn standpunt) morgen ineens verdwenen blijken te zijn. Moet ik hieraan meewerken?

Antwoord: Ik denk niet dat je hieraan moet meewerken. Als het duidelijk vastgelegd is dat dit niet gevraagd kan worden, dan kan deze manager dat niet van je vragen. Laat je niet meeslepen in andermans arbeidsconflicten, zeker niet door informatie door te geven die mogelijk als bedrijfsgeheim gezien kan worden. Zie ook mijn antwoord van juni vorig jaar over de vraag of een systeembeheerder gedwongen kan worden tot monitoren.

Vraag: Veel internetproviders leveren modems af die slechts in beperkte mate door de gebruiker zijn aan te passen, en dus ook niet door de gebruiker zijn te beveiligen. In hoeverre is zo’n provider nu verantwoordelijk voor eventuele inbraak op het modem, en op het achterliggende (al of niet
beveiligde) netwerk?

Antwoord: Dat is juridisch gezien een open vraag. Als professioneel dienstverlener heb je een zorgplicht: je moet je diensten met een passende mate van zorgvuldigheid uitvoeren. Doe je dat niet, dan word je aansprakelijk voor de schade die daar het gevolg van is. (En nee, dat is niet uit te sluiten in je kleine lettertjes). Om een provider aansprakelijk te stellen, moet je dan wel kunnen bewijzen dat hij deze zorgplicht geschonden heeft én dat de schade niet zou zijn opgetreden als de provider wel het modem afdoende had beveiligd. En met name dat laatste is vrijwel niet te bewijzen denk ik. Maar om hier een antwoord op te krijgen, moet er echt iemand naar de rechter.

Vraag: In mijn zoektocht naar de geldigheid van elektronische handtekeningen stuitte ik in artikel 3:15a van het Burgerlijk Wetboek op de term “authentificatie”. Volgens de Van Dale bestaat dit woord niet. Authentificatie klinkt mij in de oren als een rare samentrekking van “identificatie” en “authenticatie”. Is authentificatie een typisch juridische term, of staat er een fout in het Burgerlijk Wetboek?
http://lexius.nl/BW3/15a

Antwoord: Ik heb eerlijk gezegd geen idee waar deze term vandaan komt. Of nou ja, dat weet ik wel maar het helpt niet echt: Richtlijn 99/13/EG introduceert de term in het kader van regels over elektronische handtekeningen. De Engelse versie spreekt van "authentication", de Duitse van "Authentifizierung" en de Franse van "authentifier" - wat allemaal vertaald wordt met "authenticatie".

De parlementaire behandeling van het wetsvoorstel voor artikel 3:15a geeft ook weinig opheldering. Het woord wordt zonder nadere toelichting gebruikt. Wie het weet, mag het zeggen!

Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. In 2008 verscheen zijn boek "De wet op internet".