Heb jij een uitdagende vraag over beveiliging, recht en privacy, stel hem aan ICT-jurist Arnoud Engelfriet en maak kans op zijn boek
"Security: Deskundig en praktisch juridisch advies".

Vraag: Twee weken terug meldde je tussen neus en lippen door dat vanaf 1 januari óók private organisaties netneutraal moeten handelen bij het aanbieden van internet. Ik word daar toch wel zenuwachtig van; hoe zit dat precies? En geldt het ook voor scholen?

Antwoord: Per 1 januari treedt de Wet netneutraliteit in werking. Of nou ja, wet, het is één artikel in de Telecommunicatiewet:
Aanbieders van openbare elektronische communicatienetwerken waarover internettoegangsdiensten worden geleverd en aanbieders van internettoegangsdiensten belemmeren of vertragen geen diensten of toepassingen op het internet, tenzij
(...)

De tenzij's kom ik zo op. Maar het begint met twee categorieën aanbieders, namelijk de aanbieders van openbare netwerken én de aanbieders van internettoegang (zonder het woord openbaar). Die eerste categorie kennen we, dat zijn internet access providers
zoals Ziggo, UPC of XS4All.

Wat de tweede categorie inhoudt, was bij invoering van de wet niet helemaal duidelijk. Maar bij Kamervragen over het blokkeren van bittorrent door de Rijksuniversiteit Groningen bleek dat het óók geldt voor niet-openbare aanbieders zoals de RUG. De minister maakte alleen onderscheid tussen aanbieden aan studenten en aanbieden aan werknemers; werknemers lever je geen internettoegang maar het bedrijfsmiddel ofwel gereedschap internet.

Een universiteit moet dus netneutraal zijn naar zijn studenten. En als een universiteit dat moet zijn, dan moet een school dat ook. En een hotel, en een café en een bedrijf - als ze internet aanbieden aan bezoekers of klanten. Alleen als je de toegang tot internet kunt verkopen als iets anders dan "aanbieden" (zoals werknemers die je een bedrijfsmiddel beschikbaar stelt) zou je er wellicht nog onderuit komen.

De tenzij's bieden je wel enige mogelijkheid om te filteren of blokkeren. Maar het oude adagium "ik ben de BOFH en dit ga ik blokkeren want security" gaat echt niet meer op. Er zijn vier categorieën:

1. om de gevolgen van congestie te beperken, waarbij gelijke soorten verkeer gelijk worden behandeld;
   
2. ten behoeve van de integriteit en de veiligheid van het netwerk en de dienst van de betrokken aanbieder of het randapparaat van de eindgebruiker, waarbij problemen vanaf de randapparatuur pas mogen worden aangepakt nadat je hebt gewaarschuwd en de gebruiker dan nóg niets doet*;
   
3. om de doorgifte van spam aan je gebruikers te beperken, mits hij daar apart
   voorafgaand toestemming voor heeft verleend;
   
4. ter uitvoering van een wettelijk voorschrift of rechterlijk bevel.

Bij 2 had ik een sterretje. Het categorisch blokkeren van bijvoorbeeld poort 139 (Samba) omdat daar vaak misbruik van wordt gemaakt, of een PC in quarantaine gooien zodra er spam of malware uit komt, is een probleem. De wet eist namelijk dat wanneer het gaat om verkeer afkomstig van een eindgebruiker, de provider deze eerst moet contacteren en gelegenheid moet geven de inbreuk te staken. Dat moet dus vóór het afsluiten gebeuren.

Pas als “wegens de vereiste spoed” dit niet haalbaar is, mag er eerst gehandeld en dan gemeld worden. Maar ik denk niet dat je mag zeggen “malware is vervelend dus er is vereiste spoed”. Spoedgevallen lijken me eerder zalen als ddos-aanvallen waar de klant aan meedoet, dat richt nú grote schade aan en moet dus nú gestaakt worden. Een grote spamrun is misschien ook wel spoedhandelwaardig.

De impact van 3 is dat spamfilters aparte opt-in eisen. Ook voor inkomende mail dus. (Wie nu denkt, wat achterhaald, XS4All is de enige die dat doet - wie denk je dat heeft zitten praten met de politiek toen dit wetsvoorstel in de maak was.)

En vanwege 4 mag de rechter nog steeds toegang tot The Pirate Bay blijven verbieden. Dit tot enige verbazing van de opstellers van het wetsartikel, maar dat terzijde. Het stáát er - de rechter mag toegang tot sites of diensten verbieden en een internetaanbieder moet dat implementeren.

Het is natuurlijk niet zo dat een school nu maar moet toestaan dat leerlingen middenin de klas porno gaan kijken of zo. Een bedrijf of instelling mag nog steeds regels stellen over de goede orde in de gebouwen en tijdens de les, of hoe leerlingen of gasten met elkaar moeten omgaan. Zulke gedragsregels mogen echter alleen niet meer worden afgedwongen via een blokkade op de internettoegang.

Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. Hij schreef twee boeken, De wet op internet en Security: Deskundig en praktisch juridisch advies.