ICT-jurist Arnoud Engelfriet geeft elke week antwoord op een interessante vraag over beveiliging, recht en privacy. Heb jij een vraag? Stuur hem naar juridischevraag@security.nl.

Vraag: Ik las dat het in de VS strafbaar is je Netflix-wachtwoord te delen. Geldt dat ook bij ons?

Antwoord: Computervredebreuk is kort gezegd een computer binnendringen. In de Amerikaanse wet spreken ze ook van “exceeding authorization”, om ook strafbaar te stellen dat je verder gaat dan je mocht in een computer waar je op zich mocht zijn. Wie als gewone gebruiker ergens mag inloggen en an het beheerswachtwoord raadt, gaat zijn autorisatie te buiten en pleegt dan computervredebreuk.

In de die Amerikaanse zaak waren twee werknemers bij een concurrent gaan werken, en een derde werknemer had zijn wachtwoord uitgeleend zodat zij bij de klantendatabase konden. Dat wachtwoordgebruik werd gezien als een vorm van computervredebreuk. Die concurrent mocht niet in die computer zijn, ook niet met een login die technisch gewoon werkt.

Ik denk dat we in Nederland op dezelfde conclusie uit zouden komen. Als je ergens niet mag zijn in een computer, dan mag je dat ook niet met een geleend wachtwoord. (Dat noemen we een valse sleutel onder art. 138ab Strafrecht.)

Wel maakt het zoals altijd uit hoe je aan het wachtwoord kwam en wat je ermee doet. En dat maakt het gelijk zo lastig bij dingen als Netflix: dat zijn geen bedrijfsdatabanken waar ongeautoriseerde toegang eenvoudig aan af te meten is.

Met een Netflix-wachtwoord neem je gewoon de dienst af zoals die bedoeld is. Netflix controleert op het aantal gelijktijdige logins. Kennelijk dus geen probleem wíe er het wachtwoord gebruikt, zolang het maar binnen het maximum blijft. Het lijkt me dan ook sterk dat dát een vorm van binnendringen is wanneer je andermans wachtwoord gebruikt.

Wel is het zo dat in de voorwaarden staat "de Account-eigenaar [mag] het wachtwoord of de gegevens van de Betalingsmethode die gekoppeld zijn aan het account (...) aan niemand bekendmaken." Maar de opstelling in de praktijk is belangrijker dan de exacte tekst van de voorwaarden. Zeker als ze dingen zeggen als "As long as they aren’t selling them, members can use their passwords however they please."

Je loopt in Nederland misschien eerder tegen art. 326c Strafrecht aan: het afnemen van een betaaldienst zonder daarvoor te betalen. Maar ook dan: is het wel wederrechtelijk gezien de aard van de dienst? De dienst wordt niet twee keer afgenomen waar één keer normaal is. Netflix regelt dat zelf. Dus wat is het probleem dat het strafrecht moet oplossen?

Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. Hij schreef twee boeken, De wet op internet en Security: Deskundig en praktisch juridisch advies.