Aansprakelijkheid en het gebruik van wachtwoorden

Wachtwoorden zijn een van de belangrijkste instrumenten om persoonlijke gegevens te beschermen of om oplichters op een veilige afstand te houden. Wachtwoorden, in combinatie met inlognamen, helpen tegelijkertijd om mensen te identificeren en om hen zo nodig aan te kunnen spreken op hun gedrag. En zo houden wachtwoorden het internet veilig. Toch loopt het soms alsnog mis, bijvoorbeeld omdat een webwinkel een zwak wachtwoordbeleid hanteert of omdat een IT-leverancier een technische fout heeft gemaakt. Het kan de voorbode zijn van een flinke aansprakelijkheidsclaim.

Aansprakelijkheid van de internetcrimineel

In de eerste plaats is de internetcrimineel aansprakelijk voor de schade die hij aanricht. Dit is ook het geval wanneer een oplichter een wachtwoord heeft kunnen bemachtigen. In de praktijk is het vaak niet eenvoudig om de identiteit van een internetcrimineel te achterhalen, maar het kan natuurlijk wel.

Zo eiste het Openbaar Ministerie (OM) Oost-Nederland recent nog een gevangenisstraf van 30 maanden en een geldboete van 10.000 euro voor een man die 3,8 miljoen inloggegevens met wachtwoorden voor een webshop had bemachtigd, vervolgens spullen bestelde op anderen hun naam en deze opnieuw verkocht. Uiteindelijk had hij zo 14.000 keer computervredebreuk gepleegd. Hierbij gebruikte hij proxyservers zodat zijn werkelijk IP-adres verborgen bleef. De schade voor de slachtoffers was hierbij groter dan alleen die van de bestelde spullen. De slachtoffers liepen namelijk ook tegen vele uren ellende aan om zaken uit te zoeken, aan te tonen dat ze de boel niet zelf aan het belazeren zijn, nieuwe accounts aan te maken enzovoort. De officieer van justitie benadrukt dat ook de webshops het slachtoffer zijn. Ook zij kunnen dus een schadeclaim indienen.

Aansprakelijkheid van andere partijen bij onveilige wachtwoorden

Naast de internetcrimineel kunnen ook andere partijen aansprakelijk worden gesteld. Zo kan een webshop een gebrekkig wachtwoordbeleid voeren of kan het aan de basis liggen van een datalek, waarvoor het dan ook aansprakelijk kan zijn. Maar soms is het de IT-leverancier die een fout heeft begaan. En een winkelier kan dan weer aansprakelijk zijn indien het wifinetwerk niet met een wachtwoord beveiligd is. Hieronder zijn deze situaties besproken.

Aansprakelijkheid van websites en webshops

Ten opzichte van getroffen consumenten kan de webshop of de website aansprakelijk zijn als hen iets te verwijten valt. Dit kunnen uiteenlopende zaken zijn. In de eerste plaats denken we aan een datalek waarbij wachtwoorden gestolen zijn. Bij wachtwoorden mag er namelijk een verregaande beveiliging, inclusief versleuteling, worden verwacht. Maar ook een slecht wachtwoordbeleid, waarbij te eenvoudige wachtwoorden kunnen worden gebruikt, kan ervoor zorgen dat de gehackte website of webwinkel aansprakelijk is. Ze zijn namelijk verplicht om voldoende preventieve maatregelen te treffen. Wat voldoende is, moet per geval worden beoordeeld.

Zo zal een bank meer moeite moeten doen dan een webwinkel en zelfs multifactorauthenticatie (MFA) ter beschikking moeten stellen. En eerder oordeelde het College bescherming persoonsgegevens (CBP) – de voorloper van de Autoriteit Persoonsgegevens (AP) – dat een aanbieder van een verzuimsysteem, gebruikt voor het verwerken van medische gegevens, van een betere beveiliging moet zijn voorzien dan enkel een gebruikersnaam en een wachtwoord. Hoe gevoeliger de gegevens zijn en hoe meer schade er kan worden aangericht, hoe groter de inspanningen moeten zijn. Om maar even een voorbeeld te geven: Eneco had voor de toegang tot hun klantenportaal enige tijd de regel dat een wachtwoord maximaal tien tekens lang diende te zijn. Verschillende ICT-juristen hekelden dit en uiteindelijk werd het beleid aangepast tot een minimum van acht tekens, zonder het maximum. Net om eventuele schadeclaims bij een hack te voorkomen.

Ten tweede moet een gehackt bedrijf, zelfs als ze voldoende beveiligingsmaatregelen hadden getroffen – 100% veilig lukt nooit –, het datalek steeds melden bij de Autoriteit Persoonsgegevens. Indien het gaat over gelekte wachtwoorden mag er bovendien worden verwacht dat ook de getroffenen worden ingelicht. Ze moeten dit zo snel mogelijk doen. Hoe sneller de slachtoffers zijn ingelicht, hoe sneller zij bijvoorbeeld hun wachtwoorden op andere websites kunnen aanpassen. Daarnaast mogen we van de gehackte website verwachten dat ze zelf preventiemaatregelen treffen en bijvoorbeeld tijdelijk geen nieuwe bestellingen aanvaarden vooraleer slachtoffers een nieuw wachtwoord hebben aangemaakt. Het zijn allemaal zaken waarop er moet worden gelet en die eventueel in een aansprakelijkheidsclaim kunnen resulteren.

Laat het duidelijk zijn dat een website of een webshop verantwoordelijkheid draagt. Verantwoordelijkheid en aansprakelijkheid op het internet zijn onlosmakelijk met elkaar verbonden. Het is echter niet altijd zo dat de getroffen webshop aansprakelijk kan worden gesteld. Soms zijn de wachtwoorden namelijk niet bij hen gelekt, maar zijn ze het gevolg van phishing of van eerdere datalekken. Zeker bij het hergebruiken van wachtwoorden op verschillende websites, iets wat consumenten nog steeds vaak doen en volgens de politie in honderden slachtoffers per jaar resulteert, kan een enkel datalek grote gevolgen hebben. Daar treft de webshop die niet zelf voor het datalek verantwoordelijk is dan ook geen schuld. Ook zij zijn een slachtoffer en hebben mogelijk recht op een schadevergoeding.

Aansprakelijkheid van de IT-leverancier

IT-leveranciers krijgen soms met schadeclaims te maken. Net zoals andere leveranciers hebben ze namelijk een zorgplicht en moeten ze de zorg van een goed opdrachtnemer in acht nemen. Dit staat zo te lezen in artikel 7:401 BW. Hierdoor kan een IT-leverancier aansprakelijk zijn voor de berokkende schade wanneer hij niet aan zijn zorgplicht heeft voldaan.

Dit bewijst ook een uitspraak van de Rechtbank Amsterdam (ECLI:NL:RBAMS:2018:10124). Bij deze zaak had een IT-leverancier een netwerk bij een klant geïnstalleerd en leverde hij een zogenaamd totaalpakket. Toch wilde de klant veel zaken niet. Een firewall en uitgebreide back-ups waren volgens de klant te duur. Verplicht moeilijke wachtwoorden waren volgens de klant te onhandig. Uiteindelijk werden er onder meer te zwakke wachtwoorden gebruikt voor de backoffice-omgeving. Hoewel de IT-leverancier beveiligingsmaatregelen had voorgesteld en de klant geen leek was op computergebied, oordeelde de rechtbank toch dat de IT-leverancier niet aan zijn zorgplicht had voldaan. De IT-leverancier had indringender en herhaaldelijk voor de risico's moeten waarschuwen en had eventueel zelfs de opdracht moeten weigeren.

Aansprakelijkheid bij onbeveiligde wifinetwerken

In een arrest van het Europees Hof van Justitie (ECLI:EU:C:2016:689) diende men dan weer te oordelen over een onvoldoende beveiligd wifinetwerk van een winkelhouder. De eigenaar van de winkel had een wifinetwerk opgezet dat niet met een wachtwoord was beveiligd. Uiteindelijk heeft een internetcrimineel via dit draadloos netwerk illegaal een muziekbestand gedownload, waarop Sony de winkelier aansprakelijk heeft gesteld.

Het Europees Hof van Justitie oordeelde dat de winkelier hier gewoon een provider is en in principe dus niet aansprakelijk is voor wat er over de internettoegang gebeurt. Wel moet zo'n provider voldoende maatregelen treffen om illegale praktijken te voorkomen. Volgens het Hof is het opnemen van een wachtwoord een voorbeeld van zo'n maatregel die een winkelier hoort te treffen. Ook het gebruik van persoonlijke inlognamen en wachtwoorden kan vereist zijn, bijvoorbeeld wanneer een hotel wifi aanbiedt. Zo kan men steeds de gebruiker identificeren. Het niet gebruiken van wachtwoorden kan hoe dan ook niet door de beugel.