ICT-jurist Arnoud Engelfriet geeft elke week antwoord op een interessante vraag over beveiliging, recht en privacy. Heb jij een vraag? Stuur hem naar juridischevraag@security.nl.

Vraag:Ten behoeve van een interne security awareness-training wil ik een paar phishingmails versturen naar collega's. Mag ik daarbij logo's en layout gebruiken van andere bedrijven, zoals LinkedIn, UPS of Microsoft?

Antwoord: Een onderzoek waarbij je met een nep-phishingmail wilt testen of mensen zich wel genoeg bewust zijn van security, kan een goed idee zijn. En het gebruiken van 'echte' mails van bijvoorbeeld LinkedIn of UPS is dan eigenlijk een vereiste, anders gelooft niemand ze.

Op layout en logo's van die bedrijven rusten auteursrechten en merkrechten. Dat wil zeggen dat je ze niet zomaar mag gebruiken. (In het recht mag er eigenlijk niets 'zomaar'.) Er moet een rechtvaardiging voor zijn - dat zou "het realisme van het security-onderzoek" kunnen zijn.

Maar daar bovenop komt dat eigenlijk niemand mag denken dat die mail écht van die bedrijven afkomstig is. En dat is lastig, want het hele punt van een phishingmail is nu juist dat mensen dat wél denken. De enige manier om hier onderuit te komen die ik kan bedenken, is de stelling dat de mail binnen het bedrijf blijft en er dus niemand in het openbaar gaat klagen dat Microsoft of een ander ze nept. Dat is niet heel sterk, maar volgens mij wel wat in de praktijk vaak gebeurt.

Houd verder met zo'n intern onderzoek rekening met de privacy en andere belangen van de collega's. Zeker als je in rapportages of presentaties resultaten gaat laten zien aan meer dan alleen de directeur. Laat geen screenshots zien van Henk z'n e-mail of de berichten die Janine stuurde toen je vanaf LinkedIn een gezellige chat opende.

Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. Hij schreef twee boeken, De wet op internet en Security: Deskundig en praktisch juridisch advies.