Dossiers

Verslag van een algemeen overleg frequentiebeleid, Kamerstukken II 2012/13, 24 095, nr. 327.

De heer Verhoeven (D66): (...) Ik zal een aantal dingen zeggen over cookies. Dat punt staat niet op de agenda, maar staat nog wel open uit de vorige periode. Het is ook heel actueel. Ik zal ook iets zeggen over de frequentieveiling, de World Conference on International Telecommunications, de omroepmasten waar collega Klever het ook al over had en ook over het fiche over internetpaspoorten.

Ik begin met de cookies. Het is een onderwerp dat het afgelopen jaar, eigenlijk sinds de aanname van de wijziging van de Telecommunicatiewet met daarin een amendement over cookies, in ieder geval bij bedrijven steeds erg actueel is gebleven. Cookies zijn vrij beruchte databestandjes op basis waarvan je persoonsgegevens kunt verzamelen. D66 vindt nog steeds dat het nodig is om daar expliciet toestemming voor te verlenen. Zij steunt dus nog steeds het principe van de zogeheten cookiewet. De handhaving door de OPTA en de technologische invulling door bedrijven roept echter enorm veel vragen op. Dat komt voor een groot deel doordat er heel veel onduidelijkheid bestaat over de manier waarop de wet moet worden nageleefd. Ik heb het afgelopen jaar regelmatig met dit soort partijen gesproken en toch eens nagedacht over de vraag hoe wij het beter kunnen aanpakken. Dat willen we doen door het grijze gebied tussen de twee vrij duidelijke uitersten op te helderen. Ik zie namelijk drie soorten doelen achter cookies.

De heer De Liefde (VVD): Heeft mijn collega van D66 niet ongelooflijk spijt dat hij heeft ingestemd met het gedrocht dat de cookiewet heet? Nu wil hij met reparatiewetgeving komen, terwijl de VVD, die destijds als enige tegen dit wetsvoorstel heeft gestemd, altijd al heeft gezegd dat deze wet in de huidige vorm niet zou werken.

De heer Verhoeven (D66): Nee, daar heb ik geen spijt van. Er is iets mis als je op basis van bestandjes gegevens van personen verzamelt, die voor commerciële doeleinden inzet, maar dat niet tegen die mensen zegt. Wij staan dus nog volledig achter het principe van de cookiewet. Overigens staat in de cookiewet nul keer het woord «cookie». Het is dus geen wetgevingsgedrocht, zoals mijn collega bijna beweert, maar het is een wet die qua uitvoering heel veel vragen oproept. Daarom wil ik daar verbetering in aanbrengen via een voorstel dat ik vandaag zal doen. Nee, ik heb dus geen enkele spijt van het steunen van de wet. Ja, ik zoek wel naar een mogelijkheid voor verbetering in de praktijk.

De heer De Liefde (VVD): Heel veel mensen, zowel consumenten als mensen in het bedrijfsleven, hebben tijdens de behandeling van de desbetreffende wetgeving, inclusief het amendement van de PvdA en de PVV, al gewaarschuwd dat die heel veel averechtse effecten zou hebben. Volgens mij heeft D66 op het laatste moment haar handtekening onder het amendement vandaan gehaald. De heer Verhoeven constateert nu die averechtse effecten ook. Ik ben blij met dat voortschrijdend inzicht, maar waarom heeft hij niet gewoon geluisterd naar de mensen die zeiden dat dit instrument te bot, te grof en niet klantvriendelijk was?

De heer Verhoeven (D66): Er bestaat een onderscheid tussen twee dingen. Heel veel partijen zeggen het principieel oneens te zijn met het expliciet toestemming moeten geven voor cookies. Daarover bestaat verschil van mening, want wij vinden dat nog steeds een heel belangrijk uitgangspunt. Ik denk dat de VVD hierbij puur naar het commerciële belang kijkt, terwijl zij online privacy totaal niet belangrijk vindt. Dat heeft de VVD de afgelopen jaren ook laten zien. In die zin denk ik dat wij gewoon van mening verschillen over het belang van online privacy. Daarnaast gaat het om de vraag hoe je die online privacy op een goede en werkbare manier kunt organiseren. In de cookiewet staat daar eigenlijk niks over, want die is vrij algemeen gesteld. De uitvoering door bedrijven en iedereen die ermee te maken krijgt, roept echter heel veel vragen op. Als je daar verheldering in kunt aanbrengen en het kunt verbeteren – volgens mij doen wij dat nu – waarom zou je dat dan laten?

De heer Verhoeven (D66): Zoals ik al zei, zijn er drie soorten doelen achter cookies. Het eerste doel is puur functioneel: cookies zijn nodig om het doel van een website te ondersteunen. Als je op bol.com drie dingen bestelt, wil je aan het einde nog wel je winkelmandje kunnen vinden om te kunnen afrekenen. Daar zijn cookies voor nodig en dat is prima. Het tweede doel van cookies is het kunnen volgen van de manier waarop mensen door je website heen klikken. Dat betreft de statistiekcookies, analytics, die bedoeld zijn om het verkeer op een website anoniem in kaart te brengen. Daarmee wordt de privacy niet geschonden, maar die cookies worden nu onder de categorie geschaard waarvoor expliciete toestemming nodig is. Wij willen dat veranderen door duidelijk te maken dat daarvoor geen toestemming nodig is als je die gebruikt voor je eigen website, zonder die met derden te delen. Dat is ook het grijze gebied. Ten derde heb je tracking cookies die je volgen van de ene naar de andere website, zodat je op bijvoorbeeld NU.nl allemaal advertenties met vishengels te zien krijgt als je daarvoor een website over vishengels hebt bezocht. Dat is natuurlijk bedoeld als behavioural advertising, het volgen van mensen op basis van hun profielen, en daar met advertenties gericht op inzetten. Dat is echt commercieel gebruik van cookies en wij vinden het heel logisch dat daar expliciet toestemming voor nodig blijft.

Wat ons betreft is het functioneel en voor eigen statistiek gebruiken van cookies prima, maar is er toestemming nodig voor tracking. Als je alles op een hoop gooit, zoals nu in de uitvoering gebeurt, zie je dat bijvoorbeeld de NPO zegt: wij willen toestemming hebben voor alle cookies, anders gaat de site op zwart. Je kunt er echter ook voor zorgen dat mensen toestemming voor de tracking cookies moeten geven, maar dat je het gebruik van analytics gewoon toestaat. Dat is een concrete oplossing voor een aantal problemen die wij de afgelopen tijd hebben gezien. Daarom stel ik voor om de first party analytische cookies middels de AMvB, die benut kan worden om de werking van de cookiewet te verduidelijken, toe te voegen aan de functionele cookies. Ik krijg hierop graag een reactie van de minister. Onder de huidige wet is het niet nodig om voor het gebruik van functionele cookies toestemming te geven. Het gaat mij dan echt om de cookies die enkel het klikgedrag voor de eigenaar van een website in kaart brengen. Voor de fijnproevers merk ik het volgende op, want daar heb ik vandaag heel veel vragen over gehad. Als je bijvoorbeeld Google Analytics gebruikt, kun je instellen dat de gegevens van Google Analytics niet gedeeld worden met Google. Het is dus al mogelijk.

Een andere vraag aan de minister is of er wat meer duidelijkheid kan komen over de verantwoordelijkheid voor het voldoen aan de wettelijke vereisten bij het plaatsen van third party cookies. Oftewel, wie is dan de eigenaar, de verantwoordelijke? Wie moet dan zorgen dat aan de wet wordt voldaan? Graag krijg ik hierop een reactie van de minister.

De heer Van Dam (PvdA): (...)

Het belangrijkste wat hij zegt is dat «analytics» gewoon gebruikt moeten kunnen worden als het gaat om het verzamelen van informatie over het gebruik van de eigen site. Het is echter voor de OPTA waarschijnlijk moeilijk controleerbaar of gegevens die met analytics verzameld worden ook ter beschikking van Google worden gesteld. Ik sta er echter sympathiek tegenover. Het is ook maar een kleine aanpassing, die volgens mij niet het grootste deel van de ergernis bij gebruikers wegneemt.

Minister Kamp: De heer Verhoeven zegt dat je in afwachting daarvan die analytische cookies zou kunnen zien als een onderdeel van de noodzakelijke cookies. Ik vind dat geen onaantrekkelijke gedachte. Ik wil er nader over nadenken en onderzoeken of daarvoor een sluitende redenering kan worden opgezet binnen de huidige regels. Als u het goedvindt, kom ik daarop terug.

De heer De Liefde (VVD): Geeft de minister hiermee impliciet aan dat het amendement-Van Bemmel/Van Dam dat de Telecommunicatiewet ten aanzien van de cookies gewijzigd heeft, niet optimaal functioneert en dat hij via Europa vraagt dat die wetgeving, zoals gewijzigd door het amendement-Van Bemmel/Van Dam waarin expliciet wordt gesproken over autorisatiecookies, wordt aangepast?

Minister Kamp: Nee, ik vraag niets aan Europa. Europa is zelf bezig en stelt zelf vast dat de zaak niet goed functioneert, dat bedrijven zich er niet aan houden, dat er onduidelijkheid is, dat de toezichthouders terughoudend zijn, dat er technische problemen zijn en dat het in de verschillende landen van Europa anders gaat. De Europese Commissie wil daarin graag verbetering en eenheid brengen. Ik wens daarop aan te sluiten. Als die nadere verduidelijking komt, zullen wij ons daaraan houden en zullen wij anderen vragen zich daaraan te houden. De heer Verhoeven gaf aan dat je zou kunnen stellen dat analytische cookies eigenlijk ook noodzakelijke cookies zijn. Voor de tussenperiode vind ik het de moeite waard om dat eens goed uit te zoeken.

(...)

Minister Kamp: Ja, voor die analytische cookies heb je ook verschillende vormen. Wij hebben dat toen wel vastgelegd, maar ik denk dat het goed is om te kijken of binnen datgene wat wettelijk is geregeld toch een zodanige uitleg gegeven zal moeten worden aan deze vorm van cookies dat ze anders ingedeeld moeten worden. Ik zeg niet dat ik het doe, maar ik wil het wel bekijken omdat ik het een zinvolle suggestie vind.

De heer Verhoeven (D66): Er is in de wet geen duidelijke afbakening op basis van het technologisch onderscheid dat ik heb gemaakt. Het is dan ook heel goed mogelijk om op een bepaalde manier om te gaan met verschillende categorieën cookies zonder dat de wet direct hoeft te worden herschreven. Volgens mij bedoelde de minister dat ook en ik ben blij dat hij in ieder geval wil kijken naar de mogelijkheid om dit in afstemming met Europa en in overleg met de toezichthouder te bekijken. Kan de minister zeggen op welke datum hij met een eerste inhoudelijke stap terug naar de Kamer denkt te komen? Dan weten wij aan welke termijn we moeten denken. Ik snap het als de minister de tijd wil hebben en niks overhaast wil doen, maar ook voor de bedrijven die hiermee te maken hebben, zou het wel helder zijn als er voor 1 januari een communicatiemoment met de Kamer kan zijn. Vanaf die datum veranderen er namelijk weer wat dingen.

Minister Kamp: Ik had al veel verstand van cookies, maar nog niet van dit soort dingen. Ik ben dat aan het opbouwen. Ik heb onderwerp dit nog niet zo scherp op mijn netvlies als de heer Verhoeven, maar ik denk dat het mogelijk moet zijn om de Kamer voor het eind van dit jaar te informeren over de manier waarop wij dit zouden kunnen gaan aanpakken.

Voorzitter: Ik ben blij met de toezegging dat de minister voor het einde van het jaar met een brief komt met daarin een verdere verduidelijking van de situatie met cookies. Is het echter wel handig dat we in Nederland het toezichtregime hebben dat nu wordt gehanteerd door OPTA, zolang Europa de zaken niet beter regelt en we in Europa kennelijk niet allemaal op dezelfde manier de regels uitleggen? Dit leidt immers tot de huidige situaties waarin mensen op iedere site apart toestemming moeten geven voor het gebruik van cookies. De minister en de heer De Liefde kunnen in de gehele wetsbehandeling teruglezen dat expliciet in de Kamer aan de orde is geweest dat dit niet de bedoeling is. Dat is ook door de toenmalige minister toegezegd.

(...)

De opmerkingen van de heer Van Dam over cookies en dat per site geen toestemming gegeven zou hoeven worden terwijl dat in de praktijk wel vaak zo opgevat lijkt te worden, is onderdeel van de bestaande onduidelijkheid. Dat ben ik eens met de heer Van Dam. Er is daarover onduidelijkheid zowel in Nederland als in Europa. Vandaar ook de terughoudendheid van OPTA op dit punt. Als je regels echt wilt handhaven, moet je het gevoel hebben dat ze duidelijk zijn en dat men technisch in staat is om die regels na te leven. Ik denk dat het gepast is om terughoudend op te treden. De heer Van Dam snijdt dit punt aan, maar er zijn nog meer problematische punten. Laten we kijken of de Europese aanbeveling een adequate oplossing biedt. Laten we die dan snel naleven, al dan niet met aanpassing van de regelgeving. Mocht dat onvoldoende zijn en mochten er belangrijke punten open blijven staan, kunnen we alsnog kijken of we zelf iets aanvullends moeten doen.

ABRvS Rotterdam 13 september 2012 LJN BY6184 (Nederlandse energiemaatschappij tegen Consumentenautoriteit)

Overtredingen van de Wet handhaving consumentenbescherming (Whc) in verband met het via telemarketing aanbieden van energieleveringsovereenkomsten. Koop op afstand en oneerlijke handelspraktijken. Dat de Nederlandse energiemaatschappij wil stoppen met telemarketing houdt niet in dat Consumentenautoriteit geen onderzoek zou mogen beginnen.

De Nederlandse energiemaatschappij vecht de boetes aan die zijn opgelegd door de Consumentenautoriteit. De Consumentenautoriteit was onbevoegd de boetes op te leggen. De boete van de overtreding van het Whc zou onder andere te hoog zijn en de publicatie van het sanctiebesluit is ten onrechte openbaar gemaakt.

De bewijsvoering van de Consumentenautoriteit is gebaseerd op verkoopgesprekken en call-scripts. Door het enkel noemen van identiteit, zoals eiseres bij cold calling (ongevraagd benaderd), is duidelijk wie belt, maar - anders dan eiseres veronderstelt - niet duidelijk met welk oogmerk er wordt gebeld. Bij endorsed en special calling (in naam van een licentiegever,waarvan de adresbestanden werden gebruikt) kon de Consumentenautoriteit alleen op basis van de verschillende callscripts vaststellen dat de naam van eiseres niet werd genoemd in de verkoopgesprekken.

De Rechtbank oordeelt dat er niet gebleken is dat de vastgestelde overtredingen eiseres niet zijn te verwijten, zodat daarin geen reden is gelegen dat verweerder geheel had moeten afzien van het opleggen van een boete.

Verder is er geen schending van het subsidiariteits- en gelijkheidsbeginsel door Consumentenautoriteit is bij het aanwenden van haar onderzoeks- en handhavende bevoegdheid. Uit de parlementaire geschiedenis van de Whc vloeit niet voort dat Consumentenautoriteit geen onderzoek meer zou mogen beginnen omdat eiseres heeft besloten te stoppen met haar telemarketingactiviteiten.

De Consumentenautoriteit heeft terecht een overtreding vastgesteld. De hoogte van de boetes in vergelijking met de in de zaak Pretium daarvoor opgelegde boete van € 45.000 (IT 343) is de aan eiseres opgelegde boete van € 70.000 voor de overtreding  te hoog.  De rechtbank stelt deze boete lager vast. Publicatie van het sanctiebesluit is niet rechtmatig, omdat verweerder in bezwaar het sanctiebesluit deels heeft herroepen. Ook op de punten waarop het sanctiebesluit in beroep wordt herroepen,  is het sanctiebesluit ten onrechte openbaar gemaakt.

8.3  Verweerder heeft op basis van onder meer de beluisterde verkoopgesprekken en de callscripts vastgesteld dat eiseres in de periode van 15 oktober 2008 tot 20 juli 2009 in strijd met artikel 7:46h, eerste lid, van het BW heeft gehandeld door aan het begin van de telemarketinggesprekken met consumenten niet duidelijk de identiteit van de verkoper en het commerciële oogmerk mee te delen.
Bij cold calling (waarbij een consument ongevraagd wordt gebeld) hebben callcentermedewerkers volgens verweerder wel aan het begin van het gesprek hun naam genoemd en gezegd namens eiseres te bellen, maar niet direct duidelijk verteld dat het gesprek tot doel had een aanbod te doen aan de consument om een nieuwe overeenkomst af te sluiten bij een andere energieleverancier. In deze gesprekken werd - conform de basisverkoopscripts - na het noemen van de naam direct verwezen naar de huidige energie¬leverancier van de consument en werd het aanbod gepresenteerd als een bijzonder recht, een voldongen feit, om een bijzondere reden, bijvoorbeeld het wonen in een bepaalde stad of regio of gebaseerd op onderzoeks- en enquêtegegevens.
Bij endorsed en special calling (waarbij met licentie gebruik wordt gemaakt van adresbestanden van de licentiegever en klanten in naam van desbetreffende onderneming zijn benaderd) is in de callscripts niet voorzien in een mededeling waarmee aan het begin van het verkoopgesprek de identiteit van de verkoper, zijnde eiseres, en het commerciële oogmerk duidelijk kenbaar worden gemaakt aan de consument. In deze verkoopgesprekken werd volgens verweerder niet eerst de naam van eiseres genoemd, maar die van het bedrijf dat het adressenbestand ter beschikking had gesteld. Het aanbod tot het sluiten van een overeenkomst tot het leveren van energie werd daarbij gepresenteerd als een bijzonder aanbod voor de klanten van het desbetreffende bedrijf (endorsed calling) of als een uniek aanbod voor deelnemers aan prijsvragen (special calling), terwijl de facto iedereen in Nederland hetzelfde aanbod werd gedaan.

16.3  De rechtbank stelt voorts vast dat verweerder een aantal overtredingen mede heeft vastgesteld op basis van de callscripts. Daardoor kan er in die gevallen een direct verband worden gelegd tussen de gedragingen en de werkprocessen van eiseres. Ten aanzien van de overtredingen waarbij de verkoopgesprekken het enige bewijsmiddel vormen, verwijst de rechtbank naar hetgeen zij hiervoor ten aanzien van de representativiteit van de 1500 beluisterde verkoopgesprekken heeft overwogen. Op deze grondslag is de rechtbank van oordeel dat verweerder voldoende aannemelijk heeft gemaakt dat door de overtredingen de collectieve belangen van consumenten zijn of konden worden geschaad.
18.  Verweerder heeft de vastgestelde overtredingen alle als zeer ernstig gekwalificeerd, gelet op hun aard en vanwege het feit dat consumenten op het verkeerde been zijn gezet door de onjuiste of onvolledige voorlichting, waardoor het vertrouwen van consumenten is geschaad in zowel het verkoopkanaal telefonische verkoop als in de geliberaliseerde energiemarkt en de mogelijkheid tot het veranderen van energie¬leverancier. Voorts heeft verweerder bij de bepaling van de mate van ernst betrokken het belang van een goed functionerende zelfregulering als een belangrijke pijler van consumentenbescherming, het belang van de professionele toewijding als norm voor zorgvuldig handelen jegens de consument en de grote omvang van de telemarketing¬activiteiten van eiseres en het aantal mogelijk benadeelde consumenten. De rechtbank is van oordeel dat verweerder, gelet op de door de Whc beoogde bescherming van consumentenbelangen en de omstandigheden waaronder de overtredingen zijn begaan, de mate van ernst van de overtredingen juist en voldoende gemotiveerd als zeer ernstig heeft aangemerkt.

20.4  Over de aan Pretium opgelegde boete heeft de rechtbank in haar uitspraak van 4 mei 2011 (LJN BQ3528) overwogen dat de boete van € 45.000 passend is voor de overtreding van de informatie¬verplichting bij aanvang van het gesprek ten aanzien van de identiteit en het commerciële oogmerk, gelet op de mate van ernst en het geldende maximum. Aangezien in het geval van Pretium deze overtreding net zoals bij eiseres als zeer ernstig is aangemerkt, is het verschil tussen de aan Pretium opgelegde boete van € 45.000 en de aan eiseres voor dezelfde overtreding opgelegde boete van € 70.000 aanzienlijk. Dit geldt evenzeer voor de boete van € 45.000 die voor deze overtreding in de zaak UPC, waar het ging om colportageactiviteiten, is opgelegd. Dit verschil kan niet louter worden verklaard uit het feit dat ten tijde van de door Pretium en UPC begane overtreding een boetemaximum van € 67.000 gold, terwijl verweerder bij eiseres is uitgegaan van een boetemaximum van € 74.000. In de zaak Pretium ging het net als in de onderhavige zaak om telemarketingactiviteiten, zodat deze zaak zich goed met de onderhavige laat vergelijken. In vergelijking met de aan Pretium opgelegde boete en in aanmerking genomen de grote schaal waarop eiseres haar telemarketingactiviteiten heeft verricht, alsmede het feit dat eiseres niet alleen bij cold calling, maar ook bij endorsed en special calling de uit 7:46h, eerste lid, van het BW voortvloeiende informatieverplichting niet is nagekomen, acht de rechtbank in het geval van eiseres een boete van € 55.000 passend voor overtreding 1.

Samenloop
22.1  Eiseres stelt dat verweerder in strijd met het ne bis in idem-beginsel heeft gehandeld door voor hetzelfde verwijt tweemaal een boete op te leggen van € 150.000 (overtredingen 3 en 4) en dat daarom een van deze boetes moet vervallen. Naar het oordeel van de rechtbank is het ne bis in idem-beginsel niet aan de orde. Zij gaat ervan uit dat bedoeld is aan te geven dat er sprake is van samenloop en dat op grond daarvan de voor de genoemde overtredingen opgelegde boetes onevenredig hoog zijn.

29.2  De rechtbank veroordeelt verweerder in de door eiseres gemaakte proceskosten. Deze kosten stelt de rechtbank op grond van het Besluit proceskosten bestuursrecht (Besluit) voor de door een derde beroepsmatig verleende rechtsbijstand vast op € 1.748 (1 punt voor het indienen van de beroepschriften, 1 punt voor het verschijnen ter zitting met een waarde per punt van € 437,- en een wegingsfactor 2 en uitgaande van samenhangende zaken als bedoeld in artikel 3 van het Besluit).

De rechtbank:
-  verklaart de beroepen gegrond,
-  vernietigt het bestreden besluit 1 gedeeltelijk zoals onder 26 is overwogen,
-  vernietigt het bestreden besluit 2 gedeeltelijk zoals onder 28.1 is overwogen,
-  bepaalt dat deze uitspraak in de plaats treedt van de vernietigde delen van de bestreden besluiten 1 en 2, hetgeen in dit geval inhoudt dat:
- het sanctiebesluit op de onder 26 genoemde punten en
- het openbaarmakingsbesluit op de onder 28.1 genoemde punten
worden herroepen en dat de totale hoogte van de boete wordt vastgesteld op € 805.000,
-  draagt verweerder op om op haar website een rectificatie te plaatsen, zoals onder 28.2 is aangegeven,
-  bepaalt dat verweerder aan eiseres het betaalde griffierecht van in totaal € 604 vergoedt,
-  veroordeelt verweerder in de proceskosten tot een bedrag van € 1.748 te betalen aan eiseres.

S.H. Kingma, De botsing tussen IE- en privacyrechten - het einde van het Lycos/Pessers-tijdperk, Privacy & Informatie Afl. 2012-4, p. 171-176.

Een bijdrage van Sil Kingma, Boekel De Nerée.

Vorig jaar heeft de hoogste civielrechtelijke instantie van Zweden, in de zaak Bonnier Audio AB c.s./Perfect Communication Sweden AB [red. IEF 11204] prejudiciële vragen gesteld aan het Europees Hof van Justitie (HvJ) over het toepassingsbereik van en de verhouding tussen de Dataretentierichtlijn en artikel 8 van de Handhavingsrichtlijn. Inmiddels heeft het HvJ ter zake arrest gewezen. Het arrest van het HvJ en meer in het bijzonder de conclusie van advocaat-generaal Jääskinen bij dit arrest, gaf aanleiding voor het schrijven van dit artikel. De uitkomst van het arrest druist in tegen de in Nederland geldende rechtspraak op dit punt en verdient daarom onze aandacht. Na een bespreking van de relevante (Europese) regelgeving en jurisprudentie, wordt de inhoud van het door het HvJ ter zake gewezen arrest besproken. Vervolgens wordt in dit artikel ingegaan op de vraag of de voor de praktijk erg ongunstige conclusie van de A-G terecht is. Ten slotte zal worden nagegaan welke gevolgen de in mijn ogen juiste conclusie van de A-G heeft voor de Nederlandse rechtspraktijk.

1 Inleiding
De Zweedse rechter heeft in zijn verzoek aan het HvJ gevraagd of de Dataretentierichtlijn eraan in de weg staat dat informatie over een abonnee aan wie een IP-adres is toegewezen, aan civiele partijen wordt medegedeeld. Tot op heden wordt deze vraag voor Nederland veelal beantwoord aan de hand van het in het Lycos/Pessers-arrest bepaalde toetsingskader. Dit door de Hoge Raad der Nederlanden gewezen arrest stamt echter van voor de inwerkingtreding van de Dataretentierichtlijn. Het is dus interessant na te gaan of met de komst van de Dataretentierichtlijn de Lycos/Pessers-criteria naar de prullenbak kunnen worden verwezen.

Het bovengenoemde artikel 8 van de Handhavingsrichtlijn regelt, kort gezegd, dat lidstaten erin moeten voorzien dat een rechter op verzoek van een houder van een intellectuele-eigendomsrecht (IE-recht) de in een procedure betrokken partij kan bevelen informatie over de herkomst en de distributiekanalen van goederen en diensten te verstrekken die inbreuk maken op een IE-recht. De Dataretentierichtlijn heeft tot doel de nationale bepalingen van de lidstaten te harmoniseren voor wat betreft de bewaringsverplichtingen van onder andere ISP’s ten aanzien van gegevens van haar abonnees. Dit ten behoeve van de bestrijding van criminaliteit.

Inhoudsopgave:
1 Inleiding
2 Relevante Europese regelgeving
  2.1 IE-rechtelijke richtlijnen
     2.1.1 E-Commercerichtlijn
     2.1.2 Handhavingsrichtlijn
   2.2 Privacyrichtlijnen
     2.2.1 E-Privacyrichtlijn
     2.2.2 Dataretentierichtlijn
3 Relevante Nederlandse wetgeving
4 Relevante rechtspraak
   4.1 Nationaal
     4.1.1 Lycos/Pessers
   4.2 Europees
     4.2.1 Promusicae-arrest
5 Bonnier Audio c.s.
   5.1 Conclusie HvJ
   5.2 Conclusie A-G
6 Analyse uitspraak HvJ
7 Rechtsgevolgen voor Nederland
8 Conclusie

Lees het gehele artikel, inclusief uitgebreide voetnootverwijzingen hier.

Vz RCC 6 december 2012, dossiernr.2012/00588-I (SMS 8258)

Als randvermelding. Betreft de op klagers mobiele telefoon (mobiele) website met de aanhef: “Gefeliciteerd Winnaar! U heeft zojuist won een iPad2 direct!” In het door klager ontvangen bericht wordt zonder voorbehoud meegedeeld dat klager de winnaar is van een iPad2. Bij het doorklikken kom je op een webpagina waaruit blijkt dat je bij het abonneren op een betaalde dienst en door het beantwoorden van een vraag slechts "kans maakt" op een iPad2.

Klager acht de uiting misleidend. MundoMedia betreurt de gang van zaken van haar affiliate Sam Media en zal haar best doen om ervoor te zorgen dat dit niet meer gebeurt. De Voorzitter oordeelt dat de Mundo Media verantwoordelijk gehouden wordt voor de overtredingen van Sam Media. Nu Mundo Media niet heeft gereageerd op het uitdrukkelijke verzoek de gegevens van de betreffende affiliate te verstrekken, is niet aannemelijk gemaakt dat Mundo Media heeft voldaan aan de verplichtingen om de maximale inspanning te verrichten om ervoor te zorgen dat de affiliate (Sam Media) de regels naleeft. De Voorzitter doet een aanbeveling.

2. In dossier 2012/00588 heeft de voorzitter beslist dat Sam Media, de aanbieder van de SMS-dienst, niet voor de hiervoor geconstateerde overtredingen van de regelgeving verantwoordelijk kan worden gehouden. De voorzitter is van oordeel dat Mundo Media wel als verantwoordelijke voor de overtredingen kan worden aangemerkt. Analoog aan de bepalingen betreffende marketing door aanbieders van SMS-diensten met behulp van affiliates in artikel 10 van de Reclamecode SMS-Dienstverlening wordt ook Mundo Media geacht te zijn gehouden om actief op te treden tegen overtredingen van de relevante wet- en regelgeving door de afzonderlijke bij haar aangesloten affiliates en zich in te spannen om mogelijke overtredingen door deze affiliates te voorkomen. Nu Mundo Media niet heeft gereageerd op het uitdrukkelijke verzoek de gegevens van de betreffende affiliate te verstrekken, is niet aannemelijk gemaakt dat Mundo Media heeft voldaan aan de verplichtingen uit hoofde van artikel 10 van de Reclamecode SMS-Dienstverlening en de redelijkerwijs te verwachten maximale inspanning heeft verricht om ervoor te zorgen dat de affiliate de regels naleeft.

 3. Gelet op het vorenstaande wordt Mundo Media verantwoordelijk gehouden voor de onder 1 geconstateerde overtredingen van de Reclamecode SMS-Dienstverlening en de NRC, en wordt als volgt beslist.

De voorzitter acht de bestreden uiting in strijd met het bepaalde in de artikelen 3.1 en 3.4 van de Reclamecode SMS-Dienstverlening en de artikelen 2 en 7 NRC. Hij beveelt Mundo Media aan om voortaan niet meer op een dergelijke wijze reclame te (laten) maken.

Vz. RCC 27 november 2012, Dossiernr. 2012/00967 (Snelheid van XS4all)

Het betreft een uiting van xs4all.nl, in de uiting staat: “Tot 8 Mb/s Download snelheid”. Klager verwachtte door de reclame-uiting dat hij niet altijd, maar toch in overwegende mate zou kunnen internetten met een downloadsnelheid van 8 Mb/s. Deze snelheid werd ook genoemd in de postcodecheck die klager heeft gedaan. In de praktijk haalt klager nauwelijks de helft van de snelheid. Volgens klager is er sprake van misleiding. Klager verwijst naar afspraken  die providers hebben gemaakt om realistische download snelheden te zullen aanbieden. Volgens XS4All heeft klager gebruik gemaakt van een onbetrouwbare speedtester en de me­ting is slechts een momentopname. Niet in geschil is dat de reclame-uiting downloadsnelheid geen gegarandeerde snelheid is, maar de hoogst mogelijke snelheid die het des­betreffende abonnement kan bieden. Dit profiel ligt volgens adverteerder tussen 1 Mb/s en 8 Mb/s.

XS4all had dienen te vermelden dat zij ook bij wezenlijk lagere snelheden voldoet aan de verplichtingen die voor haar als dienstverlener uit het aangeprezen abonnement volgen. De gemiddelde consument kan niet bekend worden verondersteld met de bijzondere invulling die adverteerder geeft aan de woorden “Tot 8 Mb/s Download snelheid”, en zal dus niet verwachten dat ook bij een aanzienlijk lagere snelheid (vanaf 1 Mb/s) wordt voldaan aan het “profiel” van de aangeprezen dienst. De voorzitter beveelt adverteerder aan om niet meer op een dergelijke wijze reclame te maken.

2)  Niet in geschil is dat de door adverteerder in de reclame-uiting genoemde download snelheid geen gegarandeerde snelheid is, maar de hoogst mogelijke snelheid die het des­betreffende abonnement kan bieden. Klager stelt dat hij op grond van de uiting ervan mocht uitgaan dat hij weliswaar niet altijd, maar toch “in overwegende mate” zou kunnen internetten met een download snelheid van 8 Mb/s. In de praktijk blijkt de snelheid wezenlijk lager. Deze ligt tussen de 3,9 Mb/s (volgens klager) en 5 Mb/s (volgens adverteerder). De voorzitter laat in het middel welke snelheid juist is. Uit de stellingen van adverteerder blijkt immers dat in beide gevallen wordt voldaan aan het “profiel” van de dienst die klager afneemt. Dit profiel ligt volgens adverteerder tussen 1 Mb/s en 8 Mb/s.

(...)De gemiddelde con­su­ment kan niet bekend worden ver­on­dersteld met de bijzondere invulling die adver­teer­der geeft aan de woorden “Tot 8 Mb/s Download snelheid”, en zal daarom niet verwachten dat ook bij een aanzienlijk lagere snelheid (vanaf 1 Mb/s) wordt voldaan aan het “profiel” van de aangeprezen dienst. De voorzitter acht deze informatie essentieel. De snelheid van het in­ter­net­ten is immers voor de consument een belangrijke factor bij het te kiezen abonne­ment. Nu in de uiting, waarin sprake is van een uitnodi­ging tot aankoop, geen duidelijke in­vulling aan de woorden “Tot 8 Mb/s Download snelheid” wordt gegeven, is sprake van een omissie als be­doeld in artikel 8.3 aan­hef en onder c van de Neder­landse Reclame Code (NRC). Om die reden is de uiting misleidend en daardoor oneerlijk in de zin van artikel 7 NRC.

 De beslissing van de voorzitter

Op grond van hetgeen hiervoor is vermeld, acht de voorzitter de gewraakte reclame-uitingen in strijd met het bepaalde in artikel 7 NRC. De voorzitter beveelt adverteerder aan om niet meer op een dergelijke wijze reclame te maken.

Hof 's-Gravenhage 11 december 2012, LJN BY5830 (De Rijke c.s. tegen Deutsche Post International B.V.)

Overeenkomstenrecht. 843a Rv. Bij email en brief heeft Deutsche Post aan De Rijke c.s. duidelijk gemaakt hoe in haar visie een artikel uit een koopovereenkomst diende te worden toegepast. Mede omdat De Rijke c.s. tegen die wijze van toepassing van de overeenkomst geen bezwaar hebben gemaakt, is daarop verder voortgeborduurd.

De concepten, eventuele schriftelijke toelichtingen daarbij en eventuele schriftelijke reacties daarop zijn relevant voor de beoordeling of de overeenkomst ten nadele van De Rijke c.s. onjuiste toepassing wordt gegeven. Deutsche Post moet afschrift verstrekken van concepten, schriftelijke (steeds: al dan niet aan digitale gegevensdragers ontleende) toelichtingen bij die concepten en schriftelijke reacties op die concepten.

2.2. Op grond van artikel 843a Rv en de in het arrest van 19 juli 2011 geformuleerde bewijsopdracht hebben De Rijke c.s. jegens Deutsche Post aanspraak op afschriften van bescheiden die - naar in redelijkheid moet worden aangenomen - kunnen dienen om antwoord te geven op de vraag of DPI ten tijde van het tot stand komen van de overeenkomst van 6 oktober 2004 wist dat in die overeenkomst ten nadele van De Rijke op een - in het arrest besproken - onjuiste wijze toepassing aan artikel 4.3 van de koopovereenkomst werd gegeven.

2.3. (...) De eventuele concepten van genoemd e-mailbericht en genoemde brief met de eventuele schriftelijke (steeds al dan niet in digitale vorm) toelichtingen daarbij aan degenen aan wie die concepten zijn toegestuurd en de eventuele schriftelijke reacties op die concepten, zijn derhalve bescheiden die - naar in redelijkheid moet worden aangenomen - kunnen dienen om antwoord te geven op de vraag of DPI ten tijde van het tot stand komen van de overeenkomst van 6 oktober 2004 wist dat in die overeenkomst ten nadele van De Rijke c.s. op een - in het arrest besproken - onjuiste wijze toepassing aan artikel 4.3 van de koopovereenkomst werd gegeven.

Ook de concepten, eventuele schriftelijke toelichtingen daarbij en eventuele schriftelijke reacties daarop betreffende de Final Settlement Agreement on the Completion Accounts van 6 oktober 2004 (productie 7 bij de inleidende dagvaarding) zijn in de hiervoor bedoelde zin als relevant aan te merken.

Rechtbank Utrecht 5 december 2012, LJN BY5792 (Koeka tegen ItsuitsIT)

ICT-recht. Mislukte automatisering. Crediteursverzuim.

Koeka (verkoper en ontwerper in o.a. babykleding) stelt dat zij met ItsuitsIT (leverancier van computerapparatuur) een overeenkomst heeft gesloten ter ontwikkeling van een webshop. Koeka stelt dat ItsuitsIT haar webshop niet tijdig juist heeft geleverd en heeft ItsuitsIT ingebreke is gesteld. ItsuitIT stelt op zijn beurt dat Koeka de belangrijkste verplichting in de overeenkomst niet is nagekomen. Koeka is toerekenbaar tekort is geschoten en heeft onrechtmatig heeft gehandeld, zodat de schade dient te vergoeden.

De rechter oordeelt dat de stelling van Koeka dat de webshop gebrekkig is, niet beantwoord hoeft te worden omdat de vorderingen niet op gebreken gebaseerd zijn maar op de niet-tijdige levering van ItsuitIT. Bovendien kan, voordat de acceptatietest is uitgevoerd door Koeka, niet van fouten worden gesproken, een beroep op de gebreken van de webshop is te vroeg. Voor zover besproken leveringstermijnen fatale termijnen zijn, is het fatale karakter ervan komen te vervallen. Er is niets besproken bij het vaststellen van opleverdata en Koeka heeft geen voorbehoud gemaakt. Onder deze omstandigheden is niet in te zien dat het niet halen van die termijnen een tekortkoming aan de zijde van ItSuitsIT c.s. oplevert. Eiseres wordt in de gelegenheid gesteld te reageren op het verweer dat de ingebrekestellingstermijn onredelijk kort is door ItsuitsIT en dat ItsuitsIT de gestelde schade nader zal moeten onderbouwen.

4.9.  Met betrekking tot het verwijt dat ItSuitsIT c.s. oplevertermijnen niet heeft gehaald, stelt ItsuitsIT zich op het standpunt dat nimmer harde opleverdata zijn afgesproken, waarbij zij verwijst naar artikel 10 lid 1 van haar algemene voorwaarden. Dit artikellid luidt, voor zover van belang:Alle door leverancier genoemde of overeengekomen (leverings)termijnen en (oplever)data zijn naar beste weten vastgesteld op grond van de gegevens die hem bij het aangaan van de overeenkomst bekend waren. Door leverancier genoemde of tussen partijen overeengekomen tussentijdse (oplever)data, gelden steeds als streefdata, binden de leverancier niet en hebben steeds een indicatief karakter. (…) Evenmin is leverancier gebonden aan een al dan niet uiterste (oplever)datum of (leverings)termijn als partijen een wijziging van de inhoud of omvang van de overeenkomst (meerwerk, wijziging van specificaties etc.) of een wijziging van de aanpak van de uitvoering van de overeenkomst zijn overeengekomen.

Verder voert ItsuitsIT aan dat er bij Koeka een “wildgroei” aan wensen was, in die zin dat zij lopende het project telkens met nieuwe eisen en wensen kwam. Ter onderbouwing hiervan verwijst zij onder meer naar het mailbericht van [D] van 29 oktober 2010 (zie r.o. 2.6) en naar hetgeen zij tijdens het kort geding naar voren heeft gebracht. Kennelijk bedoelt zij hiermee te zeggen dat deze gewijzigde wensen de oorzaak zijn van het niet halen van geplande opleverdata.

Tot slot stelt ItsuitsIT zich op het standpunt dat Koeka “te vroeg de stekker uit het project heeft getrokken”. Tijdens de comparitie heeft zij, met verwijzing naar versie 2 van het plan van aanpak (zie r.o. 2.7), toegelicht dat de webshop in de periode van 29 april tot en met 2 mei 2011 intern door MSH zou worden getest, waarna deze voor testdoeleinden aan Koeka ter beschikking gesteld zou worden. De door Koeka uit te voeren test zou in de periode van 3 tot en met 5 mei 2011 plaatsvinden. Tot haar grote verrassing beëindigde Koeka het project niettemin al op 29 april 2011, aldus ItsuitsIT. De interne test is daarom afgebroken, zodat de webshop ook niet voor testdoeleinden aan Koeka ter beschikking is gesteld. Door zo te handelen is Koeka in crediteursverzuim komen te verkeren, aldus nog steeds ItsuitsIT.

4.12.  Vaststaat dat ItsuitsIT de in de ingebrekestelling genoemde termijn ongebruikt heeft gelaten. Koeka verbindt hieraan de conclusie dat ItsuitsIT in verzuim is komen te verkeren.
Tijdens de zitting heeft ItsuitsIT betoogd dat zij samen met externen bezig was met het testen van de webshop toen Koeka de stekker uit het project trok. De interne test is daarom afgebroken en de bij deze test betrokken personen zijn elders ingezet. De nadien gegeven ingebrekestellingstermijn van vijf dagen is te kort voor het oproepen van deze personen, het opnieuw opstarten en afronden van de interne test, aldus ItsuitsIT. Hiermee bedoelt zij kennelijk te zeggen dat de ingebrekestellingstermijn in de gegeven omstandigheden onredelijk kort is, zodat zij ingevolge artikel 6:82 BW niet in verzuim is komen te verkeren en daarom op grond van artikel 6:74 lid 2 BW niet aansprakelijk is voor de gestelde schade.

4.13.  De rechtbank stelt vast dat de redelijkheid van de termijnstelling en de omstandigheid dat ItSuitsIT c.s. niet heeft gereageerd op de ingebrekestelling in onvoldoende mate onderwerp van debat tussen partijen zijn geweest. Hierom en mede gelet op de wens van partijen – als zij geen regeling kunnen bereiken – aan de hand van bindende eindbeslissingen in dit tussenvonnis schriftelijk verder te procederen, zal de rechtbank de zaak naar de rol verwijzen voor conclusie van repliek in conventie aan de zijde van Koeka. Deze conclusie dient beperkt te blijven tot het:

-  bespreken van de redelijkheid van de termijnstelling en de omstandigheid dat ItSuitsIT c.s. niet heeft gereageerd op de ingebrekestelling; en

-  nader onderbouwen van de door haar gestelde schade.
4.14.  Iedere verdere beslissing zal worden aangehouden.

M. Korpershoek, 'Privacy in de cloud', Automatiseringsgids 25 oktober 2012.

Een bijdrage van Marianne Korpershoek, Louwers IP|Technology advocaten.

Nu cloudcomputing een grote vlucht begint te nemen, krijgen ook de privacy risico’s van cloudcomputing aandacht van de Europese privacy waakhonden. Bij cloudcomputing is er immers vaak een keten van leveranciers verantwoordelijk voor het leveren van de clouddienst en is onduidelijk wie waarvoor verantwoordelijk is. Om de verantwoordelijkheid voor het verwerken van privacy gevoelige gegevens in kaart te brengen heeft in WP29 (zie kader) op 1 juli van dit jaar een advies uitgebracht. Het CPB heeft met het advies in het achterhoofd zijn Zienswijze gegeven over het inschakelen van een Amerikaanse cloudleverancier door SURFmarket.

De privacyrisico’s in de cloud volgens WP29
Wat moet een afnemer van een clouddienst doen volgens WP29
De zienswijze van het CPB
Kader artikel 29 Working Party (WP29)
Kader ‘Plannen van Neelie Kroes met cloudcomputing’ en privacy

De privacyrisico’s in de cloud volgens WP29
De WP20 onderkent dat cloudcomputing veel economische en maatschappelijke voordelen heeft, maar dat er ook een aantal grote privacy risico’s zijn, bijvoorbeeld:

• Gebrek aan controle over persoonsgegevens. Bij cloudcomputing is immers vaak sprake van een wijdvertakte keten. In een cloudketen zijn aparte partijen voor hosting, beheer en onderhoud van de hardware, gegevens en de applicaties, ter beschikking stellen van de applicatie etc. Dat betekent dat een opdrachtgever niet weet wie van zijn leveranciers en subleveranciers verantwoordelijk is. Terwijl hij daar wel toe verplicht is op grond van de WBP. Zo kunnen voor een Nederlandse clouddienst de servers in Bulgarije staan, terwijl de helpdesk in Zuid-Afrika in de gegevens kan kijken en de onderhoudspartij uit India ook toegang heeft tot gegevens omdat dat nodig is om het werk goed uit de voeren;
• Onvoldoende informatie over hoe, waar en door wie de persoonsgegevens worden verwerkt. Wanneer de verantwoordelijke voor het verzamelen van de persoonsgegevens niet weet waar en door wie de persoonsgegevens worden opgeslagen, dan kan hij ook niet doen aan zijn informatieverplichting aan de personen van wie de gegevens worden verzameld. Iedereen heeft immers op grond van de WPB het recht om te weten welke gegevens worden opgeslagen.

Wat moet een afnemer van een clouddienst doen volgens WP29
Om bovengenoemde problemen te tackelen stelt de WP29 voor dat iedereen die een clouddienst wil afnemen waarbij privacy gevoelige gegevens worden opgeslagen, eerst een uitgebreide en grondige risicoanalyse maakt. Cloudleveranciers op hun beurt moeten afnemers alle informatie geven die nodig is om de voors en tegens van cloudcomputing voor die betrokken afnemers af te wegen. Veiligheid, transparantie en juridische zekerheid zouden de belangrijke aspecten moeten zijn in een aanbieding voor een cloudleverancier.

De WP29 vindt dat een bedrijf dat een clouddienst afneemt garanties moet vragen van zijn cloudleverancier over het nakomen van de Europese en nationale privacyregels . Dit moet verplichtvastgelegd worden in de bewerkersovereenkomst tussen de cloudleverancier en de afnemer. Deze bewerkersovereenkomst is overigens nu al verplicht op grond van de WBP. Verder moeten er afspraken gemaakt worden over bijvoorbeeld het wissen van gegevens omdat opslag niet langer nodig is. Ten slotte moet de afnemer van de clouddienst garanties vragen van zijn leverancier dat transport van data buiten de EU volgens de strenge wetgeving verloopt.

De zienswijze van het CPB
SURFmarket had het CPB gevraagd of en onder welke voorwaarden zij gegevens van Nederlandse studenten en universitaire medewerkers mochten laten opslaan bij een Amerikaans bedrijf. Het CPB heeft deze vragen beantwoord met het advies van de WP29 in het achterhoofd. Het CPB vindt dat een bedrijf dat gebruik wil maken van een Amerikaanse cloudleverancier op de eerste plaats een risicoanalyse moet doen om vast te stellen of er in zijn specifieke situatie wel gebruikt gemaakt kan worden van cloudcomputing bij een Amerikaanse leverancier. Op de tweede plaats moet de afnemer de afspraken en de garanties van zijn cloudleverancier vastleggen in een bewerkerscontract. Op de derde plaats moeten er in het contract met de cloudleverancier afspraken gemaakt worden over aansprakelijkheid bij een inbreuk op de privacy. Artikel 49 van de WBP bepaalt dat degene die de gegevens verzamelt ook aansprakelijk is voor de schade die wordt veroorzaakt door een privacyinbreuk. Deze aansprakelijkheid moet doorgelegd kunnen worden naar de cloudleverancier, aldus het CPB. Ten slotte moet er in die bewerkers overeenkomst ook afspraken gemaakt worden over de melding van datalekken.

Wat zijn de gevolgen van dit advies?
Het advies van de WP29 is natuurlijk niet meer dan een advies en geen concrete wetgeving. Maar iedereen die zijn persoonsgegevens opslaat in de cloud zal dit advies wel ter harte moeten nemen. Voor afnemers van clouddiensten geldt dat wanneer het misgaat een rechter bij de vaststelling van de aansprakelijkheid rekening zal houden met de aanbevelingen uit dit advies. Wanneer die niet zijn nageleefd door de gebruiker van de clouddienst, dan zal dat gevolgen hebben voor zijn aansprakelijkheid voor de schade van de betrokkenen, bijvoorbeeld omdat er voordat de clouddienst werd afgenomen er geen risicoanalyse is gemaakt of omdat er geen goede bewerkersovereenkomst is, of omdat blijkt dat gegevens buiten de EU zijn getransporteerd zonder dat de wet is nageleefd.

Ook aanbieders van clouddienstverlening zullen rekening moeten houden met dit advies. Bijvoorbeeld wanneer ze nalaten hun afnemers op de hoogte te stellen van alle privacyaspecten die verbandhouden met hun diensten. Ze zullen afnemers actief op de hoogte moeten stellen wanneer servers verplaatst worden of wanneer een contract gesloten wordt met bijvoorbeeld een Indiase beheerder die toegang krijgt tot de gegevens of deze nu binnen of buiten Europa zijn opgeslagen. Niet voldoen aan informatieplichten kan ook voor de cloudleverancier tot aansprakelijkheid leiden wanneer het mis gaat.

Maar niet alleen de rechter zal naar met een schuin oog naar dit advies kijken. Dit advies zal ook een kader geven voor overheden bij aanbestedingen en voor grote en kleine organisaties die een reputatie te verliezen hebben of die het risico lopen op grote schadeclaims. Cloudleveranciers zullen daar actief op moeten inspelen door bijvoorbeeld het ter beschikking stellen van risicoanalyses, externe audits over hun beveiliging etc. om te voorkomen dat zij de boot in deze belangrijke marktmissen.

Kader artikel 29 Working Party (WP29)
In 1995 is de Europese Privacy Richtlijn vastgesteld. Deze richtlijn is bedoeld om de persoonsgegevens binnen Europa op een veilige manier te bewaren en de verwerken. De Wet Bescherming Persoonsgegevens (WBP) is een vertaling van de Privacy richtlijn in de Nederlandse wet. De richtlijn verplicht dat in iedere lidstaat van de EU een toezichthouder voor de bewaking van de privacy moest worden opgericht. In Nederland is dat het College Bescherming Persoonsgegevens (CPB). Artikel 29 van de Privacy Richtlijn bepaalt dat er een werkgroep wordt ingesteld die bestaat uit vertegenwoordigers van alle Europese privacy waakhonden. Deze WP29 adviseert de Europese Commissie over privacyissues en kan ook aanbevelingen doen hoe persoonsgegevens beter beschermd kunnen worden. In dat kader heeft de WP op 1 juli 2012 een uitgebreid advies uitgebracht over de privacyaspecten van cloudcomputing en de verplichtingen van zowel aanbieders als afnemers van clouddiensten.

Kader ‘Plannen van Neelie Kroes met cloudcomputing’ en privacy
Op 27 september 2012 heeft Neelie Kroes de nieuwe Europese strategie gepresenteerd om er voor te zorgen dat cloud computing wordt gepromoot. Met cloudcomputing hoopt de EU 2,5 miljoen nieuwe banen te creëren en verder zou het bbp daardoor jaarlijks met 160 miljard euro groeien. De strategie wil barrières voor cloudcomputing wegnemen. Neelie Kroes ziet drie belangrijke belemmeringen voor de ontwikkeling van de Europese cloudmarkt:

1. Een wildgroei aan standaarden en technische normen;
2. Problemen met contracten. Veel bedrijven en consumenten maken zich zorgen over de toegang tot data en de mogelijkheden om de data mee te nemen naar bijvoorbeeld een andere leverancier. De EU wil daarom bevorderen dat er eerlijke en uitgebalanceerde standaardovereenkomsten worden opgesteld;
3. Last but not least is er de versplinterde en versnipperde Europese cloudmarkt. Ieder land heeft immers zijn eigen regels en beleid op het gebied van contracten, consumentenbescherming, strafrecht en privacy.

Op het punt van de privacy concludeert Neelie Kroes dat verschillende wetgeving in de 27 EU landen in de weg staat aan een kosteneffectieve cloudoplossing die grenzen overschrijdt. Het advies van de WP29 krijgt daarom een belangrijke rol volgens het Strategie Document. Volgend jaar komt er een Europese privacywet die gaat gelden voor alle landen van de EU en met deze nieuwe wet zullen ook specifieke regels opgesteld worden voor privacy in de cloud, zowel voor afnemers als cloudketenpartners.

Antwoord op kamervragen van de SP over de noodzaak om cookies te accepteren voor bezoekers van websites van de publieke omroep, 2012Z17372.

Antwoord op kamervragen over cookies op de websites van de publieke omroep, 2012Z17524.

Analytische cookies noodzakelijk?
Cookies zijn er in vele soorten en maten. De NPO maakt gebruik van vier verschillende soorten cookies voor verschillende doeleinden. Voor de zogenoemde functionele cookies is op grond van de nieuwe wetgeving geen toestemming vereist. Dit zijn cookies die noodzakelijk zijn voor de werking van de website. Daarnaast maakt de NPO gebruik van analytische cookies die worden gebruikt voor het verzamelen van webstatistieken. De analytische cookies geven de NPO inzicht in het gebruik van de website en de daarop aangeboden audio en video. Deze cookies worden niet gebruikt om het surfgedrag van bezoekers van andere websites te bekijken en zijn geen tracking cookies. Zoals bij het Algemeen Overleg Telecommunicatie van 21 november jongstleden is toegezegd wordt momenteel onderzocht of, en zo ja onder welke voorwaarden, analytische cookies kunnen worden beschouwd als noodzakelijk cookies, zodat ook voor deze cookies toestemming achterwege zou kunnen blijven.

Reclamecookies
Naast de wettelijke verplichtingen en de toepassing van reclamecookies gebruikt de NPO ook cookies voor de eigen bedrijfsvoering. Trackingcookies zijn geen onderdeel van de analytische cookies die de NPO hanteert.

Social media - derden via de website - komt voor rekening van betreffende social media aanbieder
Voor het gebruik van social media worden door derden via de websites van de NPO op de computers van eindgebruikers cookies geplaatst. Deze cookies kunnen trackingcookies bevatten waarbij de gegevens die worden verzameld ook aan derden kunnen worden verstrekt. Het gebruik van deze gegevens komt voor rekening van de desbetreffende sociale media aanbieder. Gebruikers kunnen op de websites van deze desbetreffende sociale media aanbieders lezen waar de
verzamelde gegevens voor worden gebruikt.

Op andere blogs:
ICTRecht

A. Engelfriet, De UsedSoft-uitspraak: een kleine revolutie, Nijmeegs Juridisch Faculteitsblad; ITenRecht IT979.

Een kleine revolutie, noemde Coen Drion de uitspraak [IT 858]. En het ís ook een revolutionaire uitspraak van het Hof van Justitie: gedownloade gekochte software mag worden doorverkocht, en kopers van tweedehands software hebben een wettelijk gebruiksrecht. Ongeacht wat in de licentie staat. Lekker puh. Oké, dat laatste is mijn mening maar de rest is de opvatting van het Hof van Justitie in de UsedSoft zaak waarbij Oracle dit Duitse tweedehandssoftwarelicentieverkoopbedrijf had aangeklaagd. En daarmee schopt het Hof flink tegen de schenen van softwareauteursrechthebbenden die altijd hebben geroepen dat je software niet koopt maar “slechts onder licentie verkrijgt”

De softwaremarkt zoals wij die kennen, bestaat eigenlijk pas een jaar of dertig. De eerste computers eind jaren vijftig werden uitgebracht als speciaal ontworpen toestellen voor specifieke taken. Het idee dat de software op die toestellen los verkocht zou kunnen wekken, kwam in niemand op. Sterker nog, er waren in die tijd clubjes gebruikers die software met elkaar deelden.

Het keerpunt kwam in 1969, toen IBM zijn hardware- en softwareactiviteiten van elkaar loskoppelde, en daarmee effectief het leven schonk aan de software-industrie als zodanig. Belangrijke stimulans daarbij was de opkomst van de personal computer, een goedkoop alternatief voor de grote ijzeren mainframecomputers die in die tijd gebruikelijk waren.

Veel softwareverkopers maakten zich echter zorgen over de levensvatbaarheid van die markt, omdat het niet duidelijk was welke juridische bescherming zij zouden krijgen. Discussies binnen de WIPO en elders hierover leidden tot verschillende voorstellen, variërend van auteursrecht en octrooiwet tot een sui generis-recht dat specifiek voor de bescherming van software zou moeten worden ontworpen. Uiteindelijk koos men voor het auteursrecht, vooral vanwege het pragmatische feit dat men auteursrecht eenvoudigweg van toepassing kon verklaren en dat geen dure registratie- of aanvraagprocedures nodig zouden zijn (zoals bij octrooien bijvoorbeeld).

De VS was het eerste land dat auteursrechtbescherming voor software toepaste. In 1991 volgde de Europese Economische Gemeenschap met haar softwarerichtlijn, die grotendeels gebaseerd was op de Amerikaanse wet, maar liberalere bepalingen bevatte ten aanzien van reverse engineering.

Hiermee ontstond een daadwerkelijke markt voor software. Deze tijd werd wel het "shrink-wrap-tijdperk" genoemd, vanwege de manier waarop de software beschikbaar werd gesteld: in grote, in shrink-wrap verpakte dozen. Het achterliggende model was simpel: software werd verkocht "als een boek" (om de softwarelicenties van Borland aan te halen), oftewel men moest betalen voor elk aangeschaft exemplaar.

Maar helemaal “als een boek” was het niet: waar je boeken kon doorverkopen (tweedehands) en je zelfs in beperkte mate mocht kopiëren uit een boek (tegen een vergoeding), kwam software met uitgebreide juridische documenten die in strenge taal verklaarden dat hier volstrekt geen sprake was van verkoop, laat staan van enig recht. Bij wijze van gunst mocht de verkrijger de software installeren en gebruiken, maar laat niemand het zelfs maar in zijn hóófd krijgen te denken dat hij iets had gekocht.

Gek genoeg had vrijwel iedere koper hier geen enkel probleem mee. Nee, software koop je niet, die neem je in licentie. En dat licentieconstructies steeds complexer en ondoorzichtiger werden, hoorde nu eenmaal bij het spel. Bedrijven als UsedSoft, die pretendeerden tweedehands software te verkopen, opereerden dan ook in een grijs gebied. Toen het bedrijf naar de smaak van softwareleverancier Oracle dan ook iets te groot werd, stapte men naar de rechter. En dankzij die stap kon het Europese Hof de teugels weer eens aanhalen.

De Softwarerichtlijn, die auteursrecht op software regelt, bepaalt dat de auteursrechten zijn uitgeput op een exemplaar van software wanneer dat door de rechthebbende in de handel wordt gebracht via verkoop. Dat exemplaar mag worden doorverkocht, ongeacht wat er in de licentie staat. Logisch, zo werkt het met boeken ook. Pardon, met auto’s – want het is in de ICT verplicht om vergelijkingen met auto’s te maken.

Maar hoe zit het dan met gedownloade software? Dat staat niet letterlijk in die richtlijn geregeld. Het Hof houdt het simpel. Een kopie hebben van software is zinloos als je niet ook een gebruiksrecht daarop hebt, begint het dus. En vervolgens constateert men dat uit diverse wetten en richtlijnen volgt dat een download eigenlijk hetzelfde is als een CD kopen: je krijgt een kopie en toestemming voor gebruik. Of de kopie materieel of immaterieel is, maakt niet uit. Zo staat er in de Softwarerichtlijn dat de bescherming van software in alle media hetzelfde moet zijn. Hoewel dat ongetwijfeld opgeschreven is om te voorkomen dat men ergens mínder bescherming zou kunnen krijgen dan ergens anders, werkt die zin natuurlijk ook omgekeerd: als uitputting fysiek een grens is, dan ook op internet.

Wel moet het gaan om “verkoop”, en niet elke licentieovereenkomst is een verkoop. Er moet sprake zijn van een licentie die onbeperkt is in de tijd, en er moet een redelijke vergoeding tegenover staan die in overeenstemming is met de economische waarde van de software. Dat laatste is ter onderscheid van huur: wie 3 euro per maand betaalt, huurt de software, maar wie 300 euro in één keer betaalt en daarna nooit meer, koopt de software.

Tevens moet de verkoper zijn kopie van de software onbruikbaar maken. Dus wissen, ook de backups. Wederom logisch.

En voor het geval bijdehante rechthebbenden in de licentie doorverkoop willen hinderen: dat mag niet, lekker puh. Oeps, doe ik het weer. In de Softwarerichtlijn staat namelijk dat je het een rechtmatige verkrijger niet mag verbieden om normaal gebruik van de software te maken. En daaronder valt dus ook het mogen doorverkopen van de software met licentie, dat is ook normaal.

Tussen neus en lippen door schopt men nog even tegen de schenen van de fijnslijpers die altijd zeiden dat “rechtmatig verkrijger” iemand is die een geldige licentie bezit. Daarmee wordt dat begrip eigenlijk zinloos. De wetgever wilde een juridische positie voor afnemers scheppen, en niet een synoniem voor “contractuele wederpartij”. Als je tegen een verkrijger van een tweedehands kopie kunt optreden met je auteursrecht, is het onmogelijk om software door te verkopen.

Als beperking geldt wel dat een gekochte licentie niet mag worden gesplitst. Koop je 23 licenties in één contract, dan mag je ze alleen als bundel van 23 doorverkopen. Dat lijkt net wat strenger dan in de fysieke wereld, maar ergens klopt het wel. Als je een 23-delige encyclopedie (een papieren Wikipedia) koopt, word je geacht die alleen met z’n 23-igen door te verkopen. Niet per stuk. Dat beperkt wel de handelsvrijheid van UsedSoft, waar je wel gesplitste licenties kon kopen.

En men “beklemtoont” nog even dat Oracle wél het recht heeft om te auditten of doorverkochte software wel echt gewist is bij de eerste koper. Dat is ongetwijfeld bedoeld als een soort goedmakertje: we pakken je wel het recht af om tegen UsedSoft op te treden maar je staat niet helemaal met lege handen hoor. Hoewel ik me goed kan voorstellen dat Oracle hier in de praktijk weinig aan heeft.

Ik ben heel benieuwd wat de reactie in de markt zal zijn. In eerste instantie zet ik m’n geld op “compleet negeren en heel hard LALALA roepen als iemand erover begint”. Volhouders gaan blafbrieven van advocaten krijgen met kulargumenten als “dat was een Duitse zaak, dat geldt niet bij ons” of “ons licentiemodel is wezenlijk anders dan Oracle”. Of met het iets-minder-kulargument “onze licenties zijn 5 jaar geldig” en/of “u moet elk jaar betalen dus is het huur”. Maar dat lost zich vanzelf op als ook de eerste Nederlandse rechtszaken uitgevochten zijn. Een arrest als dit van het Europese Hof wordt echt niet zomaar genegeerd bij de rechter.

Ik denk zelfs dat de impact van dit arrest nóg breder is dan alleen het software-auteursrecht. De basis voor het arrest is immers de algemene regel van de uitputting van het auteursrecht uit de Auteursrecht-richtlijn (2001/29) en niet een software-specifieke richtlijn. En men spreekt vervolgens wel van het distributierecht zoals dat volgt uit de softwarerichtlijn (2009/24, de opvolger van 91/250) maar ik kan daar weinig écht softwarespecifieks aan ontwaren. Er is volgens mij geen enkel verschil tussen de koop van een e-book (immateriële kopie) en de koop van een fysiek boek (materiële kopie). Tenminste, als je koop definieert als “eeuwig gebruiksrecht tegen éénmalige prijs die matcht met de economische waarde” zoals het Hof in deze uitspraak doet.

Natuurlijk is het wél anders bij streaming en dergelijke: daar is het bedrag veel lager en het gebruiksrecht ook duidelijk beperkter. Dat zou ik dan eerder verhuur/uitlenen noemen en daarbij staat vast dat er geen sprake is van uitputting. En dat verklaart dan ook wat ze bedoelden met de verwijzing naar on-line diensten: wie een video streamt, en daar een kopie van maakt, kan geen uitputting claimen.

Een uitputtingsregel bij downloadbare content lijkt me minstens zo belangrijk als een uitputtingsregel bij downloadbare software. En wel hierom: auteursrecht is niet bedoeld enkel om de rechthebbende in staat te stellen zijn inkomsten te maximaliseren en een absoluut monopolie te krijgen op alles dat mensen met zijn werk te willen doen. Auteursrecht dient óók de maatschappij: werken moeten op de markt komen, beschikbaar zijn voor anderen, verhandeld kunnen worden. Uitputting is een belangrijk instrument gebleken in de offline wereld om een balans tussen de belangen van auteur en maatschappij te creëren. Als boekenuitgevers net zo met auteursrecht hadden kunnen omgaan als softwarerechthebbenden, dan had de hele tweedehands boekenhandel niet kunnen bestaan. Hadden bibliotheken slechts kunnen opereren bij de gratie van de licentie. En hadden boeken niet van ouder op kind kunnen worden overgeërfd.

In de digitale contentwereld wordt veel geklaagd over de beperkte beschikbaarheid van muziek en met name films. Een legaal handeltje opzetten in digitale inhoud valt niet mee, want je moet en je zal een licentie nemen. En daarbij worden forse voorschotten gevraagd door rechthebbenden, zodat maar weinig partijen het aandurven. Voor muziek verbetert deze situatie heel langzaam aan, maar dat de meeste mensen anno 2012 alleen iTunes en Spotify kunnen noemen als legale muziekhandels is eigenlijk een schande.

Een tweedehandswinkel voor muziek of films zou hier best wel eens een leuk breekijzer voor de markt kunnen zijn. Mensen kopen online een film, en na een paar keer kijken verkopen ze deze tweedehands. Een ander kan deze dan (goedkoper, zo veronderstel je) aanschaffen, maar moet maar hopen dat er net een tweedehands kopie van die film beschikbaar is. Wil je zekerheid? Dan moet je naar de “originele” winkel, en daar zal de prijs hoger zijn.

Of misschien juist niet. Want tweedehands films zijn kwalitatief net zo goed als het origineel, en nog eens goedkoper ook. Dat biedt – zeker in Nederland – perspectief voor kopers. Dus dan zullen de originele verkopers extra aan de bak moeten om hún meerwaarde te laten zien. En dat stimuleert dan de creativiteit in het aanbieden van werken waar de Auteurswet voor gemaakt is.

Natuurlijk zal een dergelijke tweedehands-mp3 winkel wel enkele extra stappen moeten nemen. Het Hof eist immers dat de verkoper zijn kopie wist nadat deze tweedehands is verkocht, en biedt de mogelijkheid voor de rechthebbende om dit met een audit te verifiëren. Zo'n winkel zal dit op een of andere manieren moeten faciliteren, en dat zal niet meevallen. Maar slimme IT-ers weten daar vast wel een oplossing voor.

Een kleine revolutie inderdaad. En een broodnodige, om de markt op gang te krijgen.