Blog Legal Look: Victor de Pous over cloud computing

Victor de Pous

> Zien we eindelijk jurisprudentie ontstaan over cloud computing?

Het is al eerder genoteerd. Rechtspraak over clouddiensten blijft uiterst schaars, zeker wanneer we het aantal leveranciers, het aantal diensten en de omvang van sommige diensten meewegen. Toch is er nieuws. Zo schikte Sony in de Verenigde Staten recent met Amerikaanse slachtoffers van de geruchtmakende gegevensinbreuk uit 2011, waarbij persoonsgegevens en mogelijk creditkaartdata van in totaal 77 miljoen gebruikers van de clouddienst Sony Playstation Network werden gestolen. Een schikking van 15 miljoen dollar ligt nu voor.

Eerder werd het Japanse bedrijf door de Engelse privacytoezichthouder beboet. De sanctie bedroeg 250.000 pond en betrof alleen gedupeerden in het Verenigd Koninkrijk. Ondertussen vinden allerlei andere onderzoeken en juridische procedures plaats of worden voorbereid. Wie als cloudleverancier onzorgvuldig handelt, kan door klant of toezichthouder (doorgaans als het om een inbreuk op persoonsgegevens gaat) ter verantwoording worden geroepen. Het gebeurt echter weinig, maar de trend stijgt.

> En in Nederland?

Dichter bij huis valt er eveneens nieuws te melden. Zelfs een novum. Wat is het geval? Door een toerekenbare fout wiste KPN alle bestanden van een eenmanszaak, die gebruikmaakte van de Back-up Online clouddienst. Dat kwam op een uiterst ongelukkig moment - of de duvel er mee speelde - namelijk juist toen de klant werd geconfronteerd met een gecrashte harde schijf van zijn eigen computer. De klant, die fysiotherapeutische opleidingen verzorgt, vorderde 140.000 euro schadevergoeding wegens verlies (en herstel) van de in cloud gehoste bedrijfsinformatie, bestaande uit opleidings- en cursusmaterialen sportmassage.

In de regel sluiten ICT-leveranciers - en dat is in het segment cloud computing niet anders - hun contractuele aansprakelijkheid zo ver als juridisch toelaatbaar uit. Ook KPN heeft in de toepasselijke algemene voorwaarden voor de clouddienst haar aansprakelijkheid voor ‘gederfde winst, gemiste besparingen, verlies van gegevens, schade door bedrijfsstagnatie en leegloop van personeel’ uitgesloten en beroept zich in het conflict met de fysiotherapeutische opleider op deze bepaling. Maar de Haagse bodemrechter vernietigt de exenoratieclausule op grond van reflexwerking van het consumentrecht. Het beding in de algemene voorwaarden is in de onderhavige context ‘onredelijk bezwarend’, want de rechter is van oordeel dat de kleine ondernemer ‘een met consumenten vergelijkbare positie inneemt’. De schadeomvang moet nog worden vastgesteld.

> Wat is er nieuw aan deze uitspraak?

Het recht maakt onderscheid tussen consument en degene die handelt in de uitoefening van beroep of bedrijf. Op grond hiervan is de rechtspositie van consumenten sterker dan bedrijven. Of anders geformuleerd, consumenten kunnen in het handelsverkeer op meer rechtsbescherming aanspraak maken dan ondernemers, bijvoorbeeld ten opzichte van ondernemers die algemene voorwaarden gebruiken waarover niet is onderhandeld. In dit vonnis breidt de rechter de wettelijke consumentenbescherming van het algemene voorwaardenrecht uit tot zzp-ers. Dat is nieuw en past goed in een tijd waar werk en privé soms met elkaar verweven zijn. In het kader van clouddiensten is het vonnis van waarde, omdat vast kan komen te staan dat leveranciers fouten kunnen maken in hun ICT-dienstverlening, die in beginsel toerekenbaar zijn.

Mr. V.A. de Pous is bedrijfsjurist en industrie-analist. Hij houdt zich sinds 1983 bezig met de juridische aspecten van digitale technologie en informatiemaatschappij en is medewerker van uitgeverij FenceWorks.

     
Dossiers