Dijkhoff: Softwareproducent kan aansprakelijk zijn voor schade
Softwareproducenten kunnen aansprakelijk zijn voor schade die wordt geleden door gebruikers, zo heeft staatssecretaris Dijkhoff van Veiligheid en Justitie in een brief aan de Tweede Kamer laten weten. Dijkhoff reageerde op vragen van PVV-Kamerlid Lilian Helder (pdf).
Helder had gevraagd of een producent aansprakelijk is voor schade van de gebruikers van zijn software als hij over een update beschikt die deze schade had kunnen voorkomen, maar deze niet verstrekt. Ook wilde zij weten of het bestaande aansprakelijkheidsrecht wel toereikend is voor ict-producten of -diensten. Volgens de staatssecretaris kan er sprake zijn van aansprakelijkheid op grond van wanprestatie, productaansprakelijkheid of onrechtmatige daad.
Een softwareleverancier kan aansprakelijk zijn op grond van wanprestatie als de software niet voldoet aan de veiligheid die is overeengekomen of die de afnemer redelijkerwijs mocht verwachten. Dijkhoff wijst naar de onderhandelingen in EU-verband over een richtlijnvoorstel over consumentencontracten voor de levering van digitale producten en diensten, waaronder software. Daarbij is specifieke aandacht voor updates die moeten voorkomen dat software wordt geïnfecteerd door malware.
Het richtlijnvoorstel houdt onder meer in dat als de verkoper de updates heeft beloofd door te voeren of de consument dit redelijkerwijs mocht verwachten, maar dit niet gebeurt, de consument de schade die hij daardoor lijdt kan verhalen op de verkoper. Verder stelt de staatssecretaris dat een softwareproducent aansprakelijk kan zijn voor schade in de privésfeer op grond van productaansprakelijkheid. De gedachte achter de productaansprakelijkheid is dat de producent schade vergoedt die zijn product veroorzaakt, ook als hem geen verwijt te maken is.
Een onrechtmatige daad is ten slotte aan de orde als de softwareproducent of leverancier verwijtbaar iets doet of nalaat, waardoor de softwaregebruiker schade lijdt. "Hiervan zou sprake kunnen zijn als een voorhanden zijnde update niet wordt doorgevoerd", laat Dijkhoff weten. Volgens de staatssecretaris laten de huidige wettelijke bepalingen de ruimte om rekening te houden met specifieke kenmerken van software en ransomware, en met de verschillende verantwoordelijkheden van producent, leverancier en afnemer.
Afsluitend stelt Dijkhoff dat aansprakelijkheid in het algemeen moet worden gezien met de vraag hoe fabrikanten en producenten kunnen worden aangespoord tot het leveren van veilige ict-producten. Zo onderzoekt het kabinet met het bedrijfsleven op welke wijze de cyberveiligheid van het Internet of Things versterkt kan worden.
Daar ben ik wel benieuwd naar..........
Als het met de tabaksfabrikanten al niet wil lukken om schade bij de gebruiker vergoed te krijgen, dan gaat dat met software (gemaakt door buitenlandse leveranciers en licenties die alle aansprakelijkheid afwijzen) vast niet niet veel beter.
Alleen is het niet te traceren verder, alleen NL bedrijven de klos ?
Ze gebruiken ook software blokken van 3e partijen ook plugins, word wel erg moeilijk, ook met geheime broncodes.
Verder ben ik het er wel mee eens, van mij mag deze minister al de grote Amerikaanse bedrijven aanpakken.
@buttonius, ik vind:
- aansprakelijkheid van sigarettenfabrikanten bij (lichamelijke) schade voor gebruikers (zoals longziektes)
niet goed vergelijkbaar met:
- aansprakelijkheid van softwarefabrikanten bij schade voor gebruikers als gevolg van het niet beschikbaar stellen van patches voor bekende lekken, o.a.
1) omdat stoffen in sigaretten de oorzaak zijn van lichamelijke schade, de software is dat in dit geval niet zelf;
2) omdat je vele jaren later nog longkanker kunt krijgen, terwijl je geen eeuwige software-support kunt verwachten.
"gemaakt door buitenlandse leveranciers" vind ik sowieso geen argument als het product gericht is op de Nederlandse markt (wat, lijkt mij, een andere situatie is dan als je een Engelstalige smartphone in een vage Chinese webshop koopt).
"licenties die alle aansprakelijkheid afwijzen" - da's leuk maar dat lijkt dus niet rechtsgeldig te zijn. Wellicht moeten de relevante wetteksten op dit punt nog worden aangescherpt.
@Ron625: "updates voor Android binnen de garantie termijn" lijkt mij flauwe kul. De wettelijke garantietermijn heeft bij mijn weten te maken met het moment waarop je als gebruiker verantwoordelijk wordt voor het aantonen van fabrieksfouten in een product. Bij kwetsbaarheden in software is dat niet moeilijk aan te tonen omdat elke gebruiker daar potentieel last van heeft. Het moet dus gaan om een redelijke te verwachten levensduur van een product en dat is vaak veel langer dan de (2-jarige) garantietermijn - die bovendien alleen voor consumenten (en niet voor zakelijke gebruikers) geldt.
Dat Samsung een rechtszaak hierover gewonnen heeft van de Consumentenbond heeft m.i. niets met goede rechtsspraak te maken, maar vooral dat de Consumentenbond de rechter onvoldoende van de risico's van gebruikers heeft weten te overtuigen. Nu kan dat niet anders dan veranderen volgens mij - onze smartphones (en tablets) vertegenwoordigen steeds meer onze identiteit en worden daarmee een steeds aantrekkelijker doelwitten voor cybercriminelen. Bijvoorbeeld volhouden dat apps gedownload via de Play Store gegarandeerd veilig zijn, gaat ondertussen echt niet meer op.
Een consequentie hiervan is natuurlijk wel dat software (veel) duurder gaat worden, maar persoonlijk vind ik dat net zo nodig als het stoppen met plofkippen. Wellicht ook een kromme vergelijking, maar ik denk dat er wat moet veranderen; er zijn nu onvoldoende prikkels voor softwarefabrikanten om security serieus te nemen.
licenties die alle aansprakelijkheid afwijzen
Dat zijn juist de gemakkelijkste gevallen, want dan kan de hele licentie met een beweging de prullenbak in als
zijnde onredelijk en dus nietig.
Alleen heel domme fabrikanten (of helemaal gefocussed op hun lokale wetgeving ipv internationaal) zetten dit soort
bepalingen nog in hun voorwaarden want de meesten weten wel dat dit zich tegen henzelf keert.
Het hele verhaal gaat volgens mij inderdaad over Android. Daar heb je dat geval dat de leverancier van producten met
Android de upstream updates niet doorgeeft aan de klanten.
Ook het bekende merk Cisco voert zo'n politiek maar dan voor de eigen producten. Koop je een Cisco dan krijg je
nooit updates behalve bij high-profile security incidenten. Je moet apart betalen om updates te krijgen die daar niet
onder vallen. Bij levering aan consumenten lijkt me dit ook onwettig, maar goed de meeste consumenten zijn wel
zo verstandig om niks van Cisco te kopen, die hebben toch vooral het bedrijfsleven als slachtoffers en daar geldt
die wetgeving niet.
Koop ik een apparaat in de winkel van Piet, dan is Piet ook verantwoordelijk voor de garantie en service, dat heet consumenten-recht.
Mijn HTC kreeg na 3 maanden al geen updates meer, omdat er een nieuw model uit was................
Mijn HTC kreeg na 3 maanden al geen updates meer, omdat er een nieuw model uit was................
Wat ik bedoel is dat de garantietermijn te kort is voor updates; smartphones gaan vaak veel langer mee dan 2 jaar en niet zelden krijgen jonge kinderen deze "afdankertjes" - en ook zij hebben recht op een deugdelijk product.
Alleen is het niet te traceren verder, alleen NL bedrijven de klos ?
Ze gebruiken ook software blokken van 3e partijen ook plugins, word wel erg moeilijk, ook met geheime broncodes.
Verder ben ik het er wel mee eens, van mij mag deze minister al de grote Amerikaanse bedrijven aanpakken.
Volgens mij staat er dat de leverancier gewoon updates moet leveren indien er security issues gevonden zijn. Iets wat de meeste leverancier gewoon netjes doen. Wel af en toe meerdere keren per maand, maar ze leveren gewoon netjes updates voor de ondersteunde producten.
Geheime broncodes of andere Amerikaanse bedrijven wordt hier volgens mij niet over gesproken, en is volgens mij ook niet relevant hierin.
<........>
en ook zij hebben recht op een deugdelijk product.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
