Spyware is onrechtmatig en strafrechtelijk verwerpelijk

Computervirussen, logische bommen, ‘trojan horses’, cookies en wat de markt nu noemt spyware, hebben in ieder geval één gemeenschappelijke noemer. Ze bezitten allemaal ongevraagde en meestal ongewenste functionaliteit die bovendien ook voor de gebruiker verborgen wordt gehouden. De laatste karaktereigenschap was niet het eerste waar Lou Montulli aan dacht toen hij als college-drop-out voor zijn eerste werkgever, een internet-start-up genaamd Netscape, de zogenoemde cookie-technology ontwikkelde. Dat was in 1994. Montulli had zichzelf leren programmeren en was 23 jaar oud. Waarschijnlijk vond hij het wel handig wanneer bedrijven op het World Wide Web websurfers kunnen individualiseren. Of, dat de cookies die op de lokale computer van de gebruiker vastgelegd worden, ook het surfgedrag registreren. Netscape gebruikte de technologie ogenblikkelijk in de eerste versie van haar browser Navigator en daarmee werden de elektronische koekjes een defacto internetstandaard. Letterlijk wereldwijd. Dat een entrepreneur genaamd Kevin O’Conner dacht ‘daar kunnen we wat mee’, kan niemand hem in beginsel kwalijk nemen. Toch ligt het online-bedrijf van O’Conner, DoubleClick Inc., al jaren onder vuur. Privacyvoorvechters en internetactivisten nagelen DoubleClick namelijk aan de schandpaal omdat het bedrijf een scheve schaats zou rijden door allerlei informatie over internetgebruikers te verzamelen. DoubleClick handelt naar eigen zeggen in ‘non-sensitive marketing information’. Daarbij gaat het bedrijf beduidend verder dan het verzamelen van een tracking record van gebruikers door toepassing van cookies. DoubleClick koppelt de webinformatie van bij naam bekende websurfers met de gegevens uit de traditionele marketingdatabases. Anders gezegd: het online-surf en -koopgedrag wordt ‘gematched’ met het offline-koopgedrag. Hieruit kunnen interessante en commercieel zeer waardevolle consumentenprofielen gedistilleerd worden. Maar naast de cookie-technologie hebben programmeurs inmiddels nieuwe spyware ontwikkeld. En natuurlijk ook anti-spyware. Registreert c.q. meet spyware het surfgedrag, andere computerprogramma’s draaien de spyware de nek om, terwijl de jongste generatie geheime internetgebruik-registratiesoftware de anti-spyware juist weer ‘kalt’ stelt. Er wordt dus van alles uitgevoerd op de computer van de gebruiker, meestal zonder dat hij dat weet en wenst. Dat is de crux. Verborgen softwarefunctionaliteit. Mag dat op grond van het contractenrecht? Indien geheime functies niet in de overeenkomst worden uitgesloten, doet dan de redenering opgeld dat ze zijn toegestaan? Waarschijnlijk hangt de beantwoording van deze vraag af van de aard van de verborgen functionaliteit en van wat executie te weeg brengt. De implementatie van logische bommen en virussen in een computerprogramma leidt tot schade omdat zij de werking van de software verstoren. Wanprestatie dus. In het geval dat stiekem persoonsgegevens worden verzameld, is er sprake van misleiding bij het aangaan van de overeenkomst. Kan verborgen softwarefunctionaliteit tot strafrechtelijke aansprakelijkheid leiden? Zeker, gelet op de Wet computercriminaliteit, in het bijzonder de delicten in relatie tot computersabotage en de verspreiding van een virus. Wat zegt het privacyrecht? Centraal in de nieuwe Wet bescherming persoonsgegevens (WBP) staat de ‘verwerking van persoonsgegevens’ en dat is een ruimer begrip dan het oude uitgangspunt ‘persoonsregistratie’. Eén van de voorschriften in de nieuwe privacywet luidt: het informeren van burgers – en dus de klant – wanneer er wat met persoonsgegevens wordt gedaan. Die informatieverplichting was er nu ook al, maar wordt uitgebreid. Bedrijven moeten klanten of prospects dus vaker informeren, afhankelijk van de omstandigheden in het concrete geval: (a) uiterlijk op het moment van verstrekking van de gegevens door de klant, (b) bij het verkrijgen van de gegevens of (c) voor het moment van verkrijging. Registratie van persoonsgegevens van individuele internetgebruiker is juridisch toelaatbaar, maar openheid van registratie en/of toestemming van de betrokkene zijn wel voorwaarden. In beginsel is er niets tegen dat een eigenaar van een website van de cookie-technologie gebruik maakt, maar dan wel onder stringente voorwaarden. Zo dient hij aan te geven dat dit gebeurt (I), welke gegevens (II) en voor welk doel (III) registratie plaatsvindt en hoelang (IV) de gegevens bewaard worden. Een wettelijk cookie-verbod zoals de Europese Commissie dat nu voorstelt is echter ongewenst omdat niet de technologie zelf – dat wil zeggen de software-functionaliteit – maar het misbruik ervan verhinderd moet worden. Aanbieders van websites of computerprogramma’s, en vergeet e-mailverzenders niet, zouden moeten verklaren en garanderen dat zij geen verborgen sofwarefunctionaliteit aanbieden.