Heb jij een interessante vraag op het snijvlak van privacy, cybersecurity en recht? Stuur je vraag naar juridischevraag@security.nl. Elke week geeft ict-jurist Arnoud Engelfriet in deze rubriek antwoord.

Juridische vraag: Ik werd laatst op mijn werk gewaarschuwd voor het risico van malware advertenties en hoe neppe advertenties op legitieme websites je computer, zelfs zonder erop te klikken, kunnen infecteren met malware als je je browser niet netjes hebt geüpdatet. Dit zou bij gewoon een bekende krant of andere grote site kunnen gebeuren. Heeft zo'n uitgever geen eigen verantwoordelijkheid daarin? En kan ik ze aansprakelijk stellen als ik geïnfecteerd wordt via zo'n kanaal?

Antwoord: In het Nederlands recht geldt dat wie een ander een onrechtmatige daad aandoet, de schade daardoor moet vergoeden. Dat geldt voor alles, van auto’s bekrassen tot malware infecteren.

Op zich is het antwoord dus simpel: die schade moet worden vergoed door de eigenaar van die website. Natuurlijk zal de hoogte van de schade moeten worden aangetoond, en dat is niet eenvoudig. Wat kostte jouw data? Je tijd is niet relevant, de daarna gauw gekochte virusscanner is geen schade.

Of de eigenaar wist van de malware, doet er daarbij niet toe. Over het algemeen is voor een onrechtmatige daad niet verplicht dat je bewust of zelfs opzettelijk de schade berokkende. De lat ligt bij "schuld", is jou enig verwijt hierin te maken.

Bij advertentiegedreven diensten zit hier de makke. Dit gaat volledig geautomatiseerd, en geen mens die nog even kijkt of advertenties wel legitiem zijn, passen bij de content en dergelijke. (Vele pijnlijke voorbeelden hiervan zijn bekend.) Op malware wordt natuurlijk gescreend, maar er zijn genoeg trucs om daar weer omheen te komen.

Bij zo'n kat-en-muisspel zeggen dat de aanbieder automatisch nalatig was omdat er wat doorheen glipte, gaat mij nogal ver. Je zult meer nodig hebben: hoe makkelijk was dit te detecteren, wat zijn de kosten om meer te kunnen doen versus de kans dat je dan wél meer vangt, et cetera.

Arnoud Engelfriet is ict-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als chief knowledge officer bij juridisch adviesbureau ICTRecht en blogt dagelijks over internetrecht. Hij schreef onder meer de boeken ICT&Recht en AI&Algorithms, en verzorgt de opleiding tot Certified Cybersecurity Compliance Officer.