Heb jij een uitdagende vraag over beveiliging, recht en privacy, stel hem aan ICT-jurist Arnoud Engelfriet en maak kans op zijn boek
"Security: Deskundig en praktisch juridisch advies".

Vraag: Wij zijn een bibliotheek. Als wij internet aanbieden aan bezoekers, wat moeten wij dan doen om te zorgen dat wij niet aansprakelijk zijn voor misbruik? Welke regels moeten we hanteren, kunnen we volgsoftware installeren om misbruik te detecteren en welke disclaimers moeten we vermelden?

Antwoord: Wie slechts passief toegang tot internet biedt, en niet actief screent of ingrijpt in wat mensen wel of niet mogen doen, is niet aansprakelijk voor hun handelen.

Daarbij geldt niet dat men verplicht is om te weten wie de gebruikers zijn of wat ze doen. Ook niet als de internettoegang onder de Telecommunicatiewet of Wet bewaarplicht valt. Die laatste verplicht tot bewaren wat je weet, niet tot vergaren van informatie om die vervolgens te bewaren. Weet je niet hoe je gebruiker heet, dan is dat juridisch verder prima.

Een organisatie hoeft dus niet te loggen of identificatie te vragen van mensen die via hun netwerk het internet op willen. Het kan wel verstandig zijn, al was het maar omdat het misbruikers afschrikt. Ook biedt dit de mogelijkheid om mensen gericht af te sluiten omdat ze de dienst misbruiken, of zelfs om eventuele schade op hen te verhalen.

Persoonsgericht volgen of monitoren door een aanbieder is in beginsel een schending van de privacy van gebruikers. Deze privacy is een grondrecht, en mag alleen worden geschonden als daar een gegronde reden voor is. De Wet bescherming persoonsgegevens verbiedt het zomaar volgen of monitoren van personen, ook als ze uw internetverbinding gebruiken. Wil men persoonsgericht kunnen monitoren of volgen, dan moet er op zijn minst een reglement zijn dat vastlegt wanneer dat gebeurt en waarom. En dat dient concreet uitgewerkt te worden. De enkele zin “Wij mogen te allen tijde al het verkeer monitoren” is daarbij niet genoeg. Wel toegestaan zijn regels als “Bij een vermoeden van misbruik kunnen wij uw internetverkeer gaan monitoren” of “Indien u excessief veel dataverkeer genereert, mogen wij onderzoeken hoe dat komt en maatregelen nemen.”

Geautomatiseerd filteren of blokkeren van websites of diensten heeft de voorkeur, want als er geen mens meekijkt, kan er van privacyschending geen sprake zijn. Het is dus prima om bepaalde websites (met erotiek of illegale zaken) te blokkeren, of het versturen van e-mail sterk te beperken om misbruik te voorkomen. Dergelijk blokkeren is overigens geen ‘actief screenen’ zoals hierboven bedoeld. Een organisatie wordt dus niet aansprakelijk voor de niet-geblokkeerde websites.

Iedereen schijnt te denken dat er gebruiksvoorwaarden bij een internettoegangsdienst moeten zitten. Ik word daar gek van want als ik even snel mijn mail wil checken moet ik toch eerst een browser opstarten om "Akkoord" aan te vinken bij een setje voorwaarden die ik niet kan opslaan voor latere toegang - zodat die voorwaarden naar Nederlands recht niet eens rechtsgeldig van toepassing zijn verklaard (art. 6:234 BW).

En laten we wel wezen: bij toegang tot internet spreekt de invulling van de dienst grotendeels voor zich. Waarom voelt iedereen dan de noodzaak om alles nog eens uit te schrijven? Beter is om de écht bijzondere regels expliciet te melden middels twee of drie zinnen op het startscherm. Denk aan zaken als “na 60 minuten wordt de verbinding verbroken” of “het spelen van online spellen is verboden”. Maar “u dient zich fatsoenlijk te gedragen” of “wij garanderen niet dat het internet altijd werkt” spreekt zó voor zich dat je dat echt niet op hoeft te schrijven.

Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. Hij schreef twee boeken, De wet op internet en Security: Deskundig en praktisch juridisch advies.