|
Geachte lezer, In deze editie van onze nieuwsbrief onder meer aandacht voor het volgende:
|
|||
 |
|||
|
|||
Nieuwjaarsbijeenkomst SGOA associates in februari
|
|||
|
|||
|
|||
SGOA Academy 7 juni 2018: Blockchain & GDPR
|
|||
|
|||
|
|||
Veiligheid in het geding
Veiligheid van informatie als opgestelde bouwspecificatie. Hoe kun je dat normeren en beoordelen?Met regelmaat zie ik organisaties worstelen met het specificeren van het niveau van veiligheid. Maatregelen zoals het toepassen van versleuteling of het inzetten van twee-factor-authenticatie komen vaak voort uit het volgen van best practices of standaarden zoals ISO 2700x en COBIT. Deze staan meestal direct in relatie tot een van de drie pijlers van informatiebeveiliging: beschikbaarheid, integriteit en vertrouwelijkheid van informatie. Maar daarmee weten we niet hoe goed de maatregel in de praktijk werkt. Is het gewenste effect er wel mee bereikt? En hoe stellen we dat vast? BeschikbaarheidIn cybersecurity zijn die drie pijlers vaak het uitgangspunt om vast te stellen of en welke maatregel noodzakelijk is. Beschikbaarheid is relatief eenvoudig te beschrijven: meestal uitgedrukt in percentages: “Het systeem dient 99,9% van de tijd beschikbaar te zijn” lees ik dan. Helder. IntegriteitIntegriteit van informatie kan rekenkundig worden ingestoken, met zogenaamde hashfuncties. Bij het toepassen van een hashfunctie wordt het informatie-element als input gebruikt voor een vastgestelde berekening. Daarbij is de uitkomst uniek en direct gerelateerd aan de input. Een digitale vingerafdruk van informatie als het ware, maar dan nauwkeuriger en betrouwbaarder. Op het moment dat de informatie is gewijzigd, verandert ook de uitkomst van de hashfunctieberekening. Integriteit gaat natuurlijk verder dan dat, maar voor deze nieuwsbrief beperk ik me tot dit voorbeeld. VertrouwelijkheidVoor vertrouwelijkheid wordt het al snel wat complexer. “Informatie mag alleen voor geautoriseerde gebruikers zichtbaar zijn.” Een heldere specificatie op het eerste gezicht. Maar wie bepaalt wie de geautoriseerde is? Je ziet hier meerdere functies samenkomen: gebruikersbeheer, rechtenbeheer, authenticatie, controle op en toepassen van gestelde rechten en zo kan ik nog wel even doorgaan. De uitdaging bij vertrouwelijkheid is dat onbedoelde openbaring direct grote gevolgen kan hebben, zelfs als die openbaring maar één keer optreedt. Normeringskader voor informatieveiligheid?De wet- en regelgeving zijn de laatste jaren enorm in ontwikkeling. Onder andere de Algemene Verordening Gegevensbescherming (AVG) vraagt om maatregelen. Hieronder een passage uit die AVG (78): Bij de ontwikkeling, de uitwerking, de keuze en het gebruik van toepassingen, diensten en producten die zijn gebaseerd op de verwerking van persoonsgegevens, of die persoonsgegevens verwerken bij de uitvoering van hun opdracht, dienen de producenten van de producten, diensten en toepassingen te worden gestimuleerd om bij de ontwikkeling en de uitwerking van dergelijke producten, diensten en toepassingen rekening te houden met het recht op bescherming van persoonsgegevens en, met inachtneming van de stand van de techniek, erop toe te zien dat de verwerkingsverantwoordelijken en de verwerkers in staat zijn te voldoen aan hun verplichtingen inzake gegevensbescherming. Als expert begrijp ik waarom de wetgever heeft gekozen voor juist deze formulering. Maar als arbiter zie ik hier het geschil in de dop. Wat is de stand van de techniek? Op welk moment wordt die norm toegepast? Bij de bouw, tijdens de ingebruikname of tijdens een incident? En wat als de bouwer van een platform wel een beveiligingsfunctie aanbiedt, maar de gebruiker die niet toe past? Van wie kan redelijkerwijs verwacht worden goed op de hoogte te zijn van cybersecurity? De leverancier van de dienst of de verantwoordelijke van de data? Als u daar niet uitkomt, is SGOA aan zet. Christian Prickaerts is Director Managed Security Services bij Fox IT en SGOA associate |
|||
|
|||
|
|||
SGOA Switzerland – a start-up on its way to the public
The community, i.e. members of SGOA, are still very enthusiastic and ready to do some extra work to get the first few cases: as the market in Switzerland is different from other markets, some of the instruments such as the clauses, financial structure etc. needed to be adapted before setting it up for the public. Now the financials such as member fees and rates have been discussed furthermore and will be presented to the community of members soon. However, these issues now resolved SGOA Switzerland will do the next step and present clauses, the legal framework and the bureau in order to have them implemented in agreements and therefore have a legal basis for the cases. Reaching potential customersIn addition, leaflets, website and mailings are under preparation to make SGOA more visible and present on the Swiss market. Only with a professional communication reaching a lot of potential customers, SGOA Switzerland will be able to reach its goals: to be the most popular and high-standard IT arbitration platform in Switzerland. SGOA Switzerland may also have to set up trainings for arbitrators to build up more knowledge, exchange experience and gain even more expertise – areas where collaboration with SGOA Netherlands and its experts is very helpful. Difficult nameFrom a Swiss perspective, the name of SGOA has not made it very easy to get it into people’s heads either as there is no appropriate, i.e. corresponding Swiss (German) or English explanation following the abbreviation. Based on the Swiss experience going internationally with SGOA may also need some discussions on this point. Last but not least, competition on the market is growing. Other international organizations go for arbitration procedures in order to offer expertise. With the necessary steps it may be, however, important to get other people on board to expand the idea of SGOA elsewhere, too. As a new board member of SGOA having worked over 20 years as a tech lawyer I am convinced that we will bring SGOA Switzerland to success – thank you in advance, SGOA Netherlands, for all your support and know how sharing! Carmen De la Cruz is advocaat bij de la Cruz Beranek advocaten en bestuurslid van SGOA CH |
|||
|
|||
|
|||
Maak kennis met Gerrit-Jan Zwenne
Ik ben voorzitter van de Vereniging IT en Recht (NVvIR) en ik ben op dit moment bezig met het oprichten van de Vereniging Privacyrecht Advocaten (VPR-A). Ik maakte deel uit van de externe klankbordgroep van de Tijdelijke Commissie ICT-projecten (Cie Elias) die onderzoek deed naar mislukte overheids-ICT-projecten (kamerstukken II 2014/15, 33 326, nr. 5.) Op een internetzoekmachine leest u nog meer over mij. Ik liep inderdaad in oktober 2005 mijn eerste marathon uit. Ik verwacht dat er, met de toenemende belangstelling en aandacht voor gegevensbescherming, meer geschillen komen over diezelfde gegevensbescherming. Ik zal mijn deskundigheid dan graag inzetten. Gerrit-Jan Zwenne is hoogleraar aan de universiteit Leiden, advocaat bij Brinkhof en associate van de SGOA |
|||
|
|||
|
|||
SGOA: Aankondigen te willen opzeggen is nog geen opzeggenSGOA arbitraal vonnis, IT 2536 (aankondiging van opzegging)Contractenrecht. Afnemer geeft aan leverancier opdracht voor levering van computerservice. Afnemer wil geen contractduur vastleggen en partijen debatteren over de opzegtermijn (niet langer dan 2 maanden). Verscheidene keren overhandigt de leverancier de FENIT-voorwaarden, zonder toereikende ontkenning door afnemer. De FENIT-voorwaarden zijn van toepassing. Daarin staat dat de opzegtermijn drie maanden is. Op 13 november 2015 laat de afnemer weten te willen eindigen in het eerste kwartaal van 2016. Op 11 januari 2016 is een e-mail gestuurd om op te zeggen. Maar leverancier beschouwt de e-mail niet als geldige opzegging en rekent nog 3 maanden opzegtermijn ad € 3.327,50 per maand. De arbiter ziet de melding in november én de e-mail van 11 januari 2016 als een aankondiging van opzegging en wijst het gevorderde van de leverancier toe. |
|||
|
|||
|
|||
Licentie voor Go App is niet voor elke gelijksoortige appRechtbank Den Haag 21 maart 2018, IT 2527; IEF 17595; ECLI:NL:RBDHA:2018:3285 (Mocreate tegen Samsung)Samenwerking. Mocreate ontwikkelt de Go App en rebrandt die later tot Skoep APP. Mocreate werkte samen met Samsung. Maar na de samenwerking hoort Mocreate in het nieuws dat Samsung de Upday App op alle nieuwe Samsung toestellen gaat voorinstalleren. Uitleg licentieovereenkomst: is er sprake van "gelijke" apps? |
|||
|
|||
|
|||
Het hof leest een ontbindingsgrond in raamovereenkomst, zonder het verweer te beoordelen dat het hier om een opzeggingsmogelijkheid gaatHR 23 maart 2018, IT 2519 ; ECLI:NL:HR:2018:426 (Alert Life Sciences tegen Stichting Jeroen Bosch Ziekenhuis)Contractenrecht. Opdracht voor een digitaliseringsproject zorgprocessen JBZ. Ontbindingsbeding. Project ondervindt vertraging. Aanpassing overeenkomst. Het Hof ontbindt de raamovereenkomst [IT 2111]. Fatale termijn gehandhaafd voor het geval de nieuwe deadline niet gehaald wordt? Beroep op beperkende werking redelijkheid en billijkheid (art. 6:248 lid 2 BW) onderzocht? Is ontbinding of opzegging van de raamovereenkomst grond voor schadevergoeding? Uit de conclusie AG: Deze zaak betreft in hoofdzaak de vraag of JBZ terecht de tussen haar en Alert c.s. gesloten overeenkomsten heeft ontbonden. In cassatie komt achtereenvolgens aan de orde of en in hoeverre partijen met een latere overeenkomst hebben bedoeld van de oorspronkelijke overeenkomst af te wijken (onderdeel 1), of tussen partijen een fatale termijn is overeengekomen (onderdeel 2), of het hof een beroep van Alert c.s. op de beperkende werking van de redelijkheid en billijkheid over het hoofd heeft gezien (onderdeel 3) en of er voor JBZ een ontbindingsbevoegdheid bestond en Alert c.s. schadevergoeding verschuldigd zijn (onderdeel 4). De conclusie strekt tot vernietiging en verwijzing; de Hoge Raad volgt. Het hof heeft kennelijk geoordeeld dat art. 23.8 van de raamovereenkomst een ontbindingsgrond behelst, zonder het essentiële verweer van Alert c.s. te beoordelen dat slechts sprake was van een mogelijkheid tot opzegging. |
|||
|
|||
|
|||
Geen tekortkoming inrichting digitale 3D-leeromgevingRechtbank Overijssel 10 januari 2018, IT 2518, ECLI:NL:RBOVE:2018:881 (Stichting Ouders van Waarde tegen Stichting Christelijke Hogeschool Windesheim)Overeenkomsten over de inrichting van de digitale leeromgeving en de ontwikkeling en bewerking van een leesondersteuningsmethode. Ouders van Waarde noemt een aantal bezwaren met betrekking tot de bewegingen van de karakters (avatars) in de 3D-omgeving: dat zij bovenop elkaar kunnen gaan zitten en in beeldschermen kunnen ‘verdwijnen’. Kwalificatie overeenkomst van opdracht. Geen tekortkoming in de nakoming. Geen ontbinding. |
|||
|
|||
|
|||
Onredelijke schadebegroting: schadevergoeding verlaagdHof Den Haag 21 november 2017, IT 2508; ECLI:NL:GHDHA:2017:3239 (NBK Forwarding tegen Greencat)Schadestaatprocedure. NBK en Greencat hebben een overeenkomst gesloten voor het gebruik, de implementatie en doorontwikkeling van softwareapplicaties. Na een geschil tussen partijen over de uitvoering van deze overeenkomst, oordeelt de rechtbank dat de exoneratieclausule waar Greencat zich op beroept naar maatstaven van redelijkheid en billijkheid onaanvaardbaar is voor zover het gaat om de uitsluiting van aansprakelijkheid. Greencat wordt veroordeeld om NBK € 207.050,00 te betalen [zie IT 1988]. Het hof vindt het niet redelijk dat NBK schade heeft laten begroten waarvan NBK wist dat die niet verhaalbaar zou zijn. Het hof vermindert de hoofdsom van € 207.05,00 met € 10.660,00. Greencat moet een bedrag van €196.390,00 aan NBK te betalen. De andere vorderingen worden afgewezen. |
|||
|
|||
|
|||
Niet duidelijk dat auteursrechten softwareprogramma Mega-Kassa ingebracht zijn in vofRechtbank Den Haag 14 februari 2018, IT 2497; IEF 17514;ECLI:NL:RBDHA:2018:1659 (Cerme tegen A)Tussenvonnis. Auteursrecht. Software. Cerme en A beginnen in 2005 een vof die zich bezighoudt met de verkoop van Mega-Kassa, een softwareproduct ontwikkeld door A. In 2010 wordt de samenwerking onder de vlag van de vof beëindigd. Cerme verkrijgt het aandeel van A in het gezamenlijk vermogen van de vof. Cerme constateert dat Megasat24 een nagenoeg exacte kopie van het programma Mega-Kassa aanbiedt. Megasat stelt dat het programma dat zij aanbiedt voor haar is ontwikkeld door het bedrijf Ekip. Ekip heeft de rechten van de software in 2009 gekocht van A. Cerme vordert een verklaring voor recht dat de intellectuele eigendomsrechten op het programma Mega-Kassa uitsluitend aan de vof toebehoorden. De rechtbank draagt Cerme op te bewijzen dat de volle gerechtigheid tot auteursrechten op het programma Mega-Kassa door A is ingebracht in de vof. |
|||
|
|||
|
|||
Informatiemanagementsysteem niet in gebruik genomen: overeenkomst moet toch worden nagekomenHof 's-Hertogenbosch 13 februari 2018, IT 2495; ECLI:NL:GHSHE:2018:570 (Ziekenhuis softwarelicentie)Contracten. Software. Appellante komt met het ziekenhuis overeen een informatiemanagementsysteem te bouwen. Voor een onderdeel van dit systeem heeft appellante de door geïntimeerde ontwikkelde software nodig. Appellante sluit met geïntimeerde een overeenkomst voor de koop van softwarelicenties. Het ziekenhuis geeft geen goedkeuring voor het doorvoeren van het systeem van appellante en neemt het niet in gebruik. De rechtbank veroordeeld appellante tot betaling van de facturen aan geïntimeerde, omdat zij verplicht was om de overeenkomst na te komen. De rechtbank verwerpt de grieven van appellante en het eindvonnis van de rechtbank [niet gepubliceerd uitspraak] wordt bekrachtigd. |
|||
|
|||
|
|||
Geen aanwijzingen dat softwaresystemen niet voldoen aan Acceptance CriteriaHof Den Haag 30 januari 2018, IT 2494; ECLI:NL:GHDHA:2018:186 (PVB tegen DST)Verwijzing na vernietiging HR. Contractenrecht. Softwaresystemen. Partijen sluiten een overeenkomst om door PVB softwareprogramma's te laten ontwikkelen. Na een aantal tests van de software ziet DST hiervan af, omdat volgens DST de software niet voldoet aan de eisen. Op basis van het Definitief Deskundigenbericht oordeelt het Hof dat er geen aanwijzingen zijn dat de softwaresystemen niet voldoen aan de overeengekomen Acceptance Criteria. Het vonnis van de rechtbank wordt vernietigd en DST wordt veroordeeld tot betaling van $ 4.000.000,- aan PVB. |
|||
|
|||
|
|||
ICT-deskundige gaat bepalen of broncode ter beschikking is gesteldKtr. Rechtbank Gelderland 4 oktober 2017, IT 2490; ECLI:NL:RBGEL:2017:6922 (VDC en AFIT tegen IM The Solution)Software. Tussenvonnis. Partijen hebben een overeenkomst gesloten voor de ontwikkeling van een softwareprogramma. Voor het antwoord op de vraag of gedaagde partij de volledige broncode aan eisende partij ter beschikking heeft gesteld wil de rechtbank een ICT-deskundige inschakelen. Iedere verdere beslissing (ook die over de omvang van de schade) wordt daarom uitgesteld. |
|||
|
|||
|
|||
Wifisignaal niet overal voldoende dus tekortkomingKtr. Rechtbank Limburg 7 februari 2018, IT 2488; ECLI:NL:RBLIM:2018:1202 (Wifi-installatie)Gedaagde heeft werkzaamheden voor eiser uitgevoerd, waaronder het uitbreiden van de wifi-installatie. Eiser meldt dat de werkzaamheden niet goed zijn uitgevoerd: de wifi is instabiel. Eiser ontbindt de overeenkomst en sommeert gedaagde op 26 september de gebreken binnen een week op te lossen. Op 23 oktober dagvaardt eiser gedaagde. De kantonrechter heeft het woonhuis van eiser én de tuin en achtergelegen gebouwen en parkeerplaats bezocht. Door een check op zijn eigen telefoon constateert de kantonrechter dat de wifi-installatie niet overal een voldoende wifi-signaal afgeeft. Dat is een tekortkoming, dus de ontbinding is terecht. Gedaagde wordt veroordeeld de schade van eiser te vergoeden. |
|||
|
|||
|
|||
Divergent Mail kan contractovername niet bewijzenKtr. Rechtbank Zeeland-West-Brabant 31 januari 2018, IT 2483 (Divergent Mail tegen Online Activity)Contractenrecht. Online Activity heeft vanaf 2014 samengewerkt met publisher SPM. In oktober 2015 is er brand ontstaan in het pand waar SPM was gevestigd. Vanaf dat moment heeft SPM de werkzaamheden gestaakt. Op 30 maart 2016 is Divergent Mail B.V. opgericht. Vanaf mei 2016 heeft X, in dienst van Divergent Mail, werkzaamheden uitgevoerd voor Online Activity. Divergent Mail stelt dat Online Activity haar moet betalen voor de uitgevoerde werkzaamheden. Online Activity stelt dat zij alleen een overeenkomst heeft met SPM en niet met Divergent Mail. Nu Divergent Mail niet genoeg bewijs heeft geleverd om aan te tonen dat er sprake is van contractovername, stelt de kantonrechter Divergent Mail in de gelegenheid om dat bewijs alsnog te leveren. Daar slaagt Divergent Mail niet in. De vorderingen worden afgewezen. |
|||
|
|||
|
|||
Opschorting van mining cryptovaluta niet genoeg onderbouwdVzr. Rechtbank Midden-Nederland 7 december 2017, IT 2476; ECLI:NL:RBMNE:2017:6646 (Mining cryptovaluta)Cryptovaluta. Eiser exploiteert een onderneming die zich bezighoudt met het produceren (minen) van cryptovaluta. Eiser heeft 20 mining-computers in het datacentrum van gedaagde gekocht. Partijen komen mondeling overeen dat gedaagde een commissie ontvangt van 10% van de door de computers van eiser gemine'de Ethers. De Ethers komen in eerste instantie in de wallet van gedaagde, die ze wekelijks na aftrek van de commissie naar eiser overmaakt. Na 22 september 2017 heeft gedaagde geen Ethers meer overgemaakt. Gedaagde laat weten dat in de periode hierna nog 39,6821 Ethers zijn gemined. Op 4 oktober 2017 sluit gedaagde alle computers van eiser af van haar netwerk. Gedaagde stelt dat per abuis te veel Ethers aan eiser zijn uitgekeerd en zij daarom een beroep doet op verrekening en opschorting. Gedaagde kan die stelling niet onderbouwen en de vordering van eiser tot afgifte van de mining-computers wordt toegewezen. |
|||
|
|||
|
|||
Hof: PR Aviation niet gebonden aan gebruiksvoorwaarden RyanairHof Den Haag 23 januari 2018, IT 2471; IEF 17459; ECLI:NL:GHDHA:2018:61 (PR Aviation tegen Ryanair)Databankenrecht. Contracten. Zie eerder IEF 15755. Het gaat om de vraag of PR Aviation de gebruiksvoorwaarden op de site van Ryanair heeft geaccepteerd. Het hof neemt aan dat de website van Ryanair in de relevante periode werkte met browse-wrapping. Er is geen sprake van een geldige rechtskeuze in de relevante periode, dus stelt het hof vast dat het Ierse recht het objectief toepasselijke recht is, als de overeenkomst geldig zou zijn. Naar Iers recht zijn de gebruiksvoorwaarden niet overeengekomen als de website werkte met browse-wrapping. PR Aviation bezocht de website om gegevens te verzamelen die voor iedereen gratis en vrij toegankelijk waren en juridisch door geen enkel recht werden beschermd. Een redelijk persoon zal niet denken dat PR Aviation zich wilde binden aan de gebruiksvoorwaarden die haar verbieden om die gegevens te verzamelen en te gebruiken. PR Aviation is dus niet gebonden aan de gebruiksvoorwaarden. Naar Nederlands recht zou dit overigens niet anders zijn. Het hof wijst de vorderingen van Ryanair af en veroordeelt haar in de proceskosten van € 103.975,69. |
|||
|
|||
|
|||
Gedaagde kan clicks-overeenkomst met Banenmatch niet bewijzenHof 's-Hertogenbosch 23 januari 2018, IT 2472; ECLI:NL:GHSHE:2018:249 (Banenmatch)Bij het tussenarrest kan gedaagde bewijzen dat partijen met ingang van 2012 een overeenkomst hebben gesloten. Die houdt in dat gedaagde bezoekers op internet doorverwees (clicks) naar de website van Banenmatch en dat de op de onder 3.5. van het tussenarrest genoemde facturen vermelde aantallen bezoekers (clicks) door gedaagde zijn doorverwezen. Nu gedaagde geen bewijs heeft geleverd, is de door haar gestelde en door Banenmatch gemotiveerd betwiste overeenkomst niet komen vast te staan. Dit betekent dat het bestreden vonnis moet worden vernietigd en dat Banenmatch wordt veroordeeld tot betaling van de door haar erkende hoofdsom van € 2.958,29. |
|||
|
|||
|
|||
Alleen voorbereidend materiaal dat kan resulteren in een computerprogramma door de Softwarerichtlijn beschermdHR 19 januari 2018, IT 2467; IEF 17443; ECLI:NL:HR:2018:56 (Diplomatic Card tegen Forax)Auteursrecht op software. Vereisten voor bescherming van 'voorbereidend materiaal' als bedoeld in art. 1 lid 2 Softwarerichtlijn. Uit punt 7 van de considerans van de Softwarerichtlijn en het arrest SAS/WPL van het HvJEU blijkt dat uitsluitend voorbereidend materiaal dat (al) van dien aard is dat het later kan resulteren in een computerprogramma door de Softwarerichtlijn wordt beschermd. Functionaliteit is niet beschermd, dat zou neerkomen op het monopoliseren van ideeën. Het arrest (IEF 15663) wordt vernietigd en doorverwezen naar het Hof Amsterdam voor verdere behandeling. |
|||
|
|||
|
|||
ColofonHoofdredactie: Joost Linnemann, Kennedy Van Der Laan |
|||
|
