Jurisprudentieanalyse | Ondernemingsrecht, IT-contracten en aansprakelijkheid | Rechtbank Amsterdam 25 juli 2012
Wie betaalt de rekening als criminelen via een gehackte zakelijke telefooncentrale internationale gesprekken voeren? In een procedure tussen KPN en een zakelijke klant oordeelde de rechtbank Amsterdam dat de klant de fraudekosten moest dragen. De doorslag gaf de contractuele risicoverdeling in de toepasselijke algemene voorwaarden. Het vonnis is een illustratie van het belang van IT-beveiliging, contractvoorwaarden en de bewijslast bij ongeautoriseerd gebruik van zakelijke systemen.
Wat was er gebeurd?
De klant exploiteerde een deurwaarderskantoor. In een weekend, toen het kantoorpand gesloten was, werden via de zakelijke telefonieverbinding grote aantallen internationale gesprekken naar een nummer in Oostenrijk gevoerd. De gesprekken waren niet door medewerkers van het kantoor gemaakt. De rechtbank ging ervan uit dat derden frauduleus toegang hadden gekregen tot de telefonieomgeving.
KPN bracht de gesprekskosten in rekening. De zakelijke klant betwistte de factuur en stelde onder meer dat de fraude niet via de eigen telefooncentrale kon zijn gepleegd. De klant verwees naar een onderzoek van haar telecompartner, die de beveiliging van de centrale had beoordeeld en geen ongeautoriseerde toegang in de beschikbare logbestanden had gevonden.
Waar vond de fraude volgens de rechtbank plaats?
De rechtbank vond onvoldoende onderbouwd dat de fraude elders op het netwerk van KPN was gepleegd. KPN had uiteengezet welke beveiligingsmaatregelen op haar netwerk aanwezig waren en waarom misbruik via de geleverde aansluiting volgens haar niet aannemelijk was. De klant had daar onvoldoende concrete feiten tegenover gesteld.
Ook het argument dat de logbestanden van de telefooncentrale geen inbraak lieten zien, was niet doorslaggevend. Een technisch medewerker van KPN had verklaard dat hackers bij dit soort fraude sporen kunnen wissen. De rechtbank nam die toelichting mee omdat deze onvoldoende was weersproken. Daarmee werd in deze procedure aangenomen dat de fraude via de telefooncentrale van de klant had plaatsgevonden.
Waarom moest de klant betalen voor gesprekken die hij niet zelf had gevoerd?
Het centrale juridische punt was artikel 11.5 van de toepasselijke algemene voorwaarden. Daarin was bepaald dat de contractant instond voor het gebruik van de aansluiting vanaf zijn locatie. De bijbehorende toelichting vermeldde dat ook gebruik door anderen zonder toestemming voor rekening van de contractant kon komen.
De rechtbank oordeelde dat deze bepaling het risico van misbruik van de eigen telefooncentrale bij de zakelijke klant legde. KPN was daarom in beginsel gerechtigd de gesprekskosten te factureren, ook al stond vast dat de klant zelf de gesprekken niet had gevoerd.
Had KPN een waarschuwings- of zorgplicht geschonden?
De klant stelde dat KPN eerder had moeten waarschuwen voor het frauderisico en het afwijkende belgedrag. De rechtbank volgde dit verweer niet. De telefooncentrale was geleverd door een andere partij en het beheer en de beveiliging daarvan vielen niet zonder meer onder de verantwoordelijkheid van KPN.
Ook de timing van de waarschuwing was volgens de rechtbank onvoldoende voor aansprakelijkheid van KPN. Uit de verklaringen volgde dat het systeem in het weekend niet op dezelfde manier op misbruik werd gecontroleerd en dat de afwijkingen op maandagochtend waren gesignaleerd. Niet was aangetoond dat KPN de fraude eerder had ontdekt en toen had moeten ingrijpen.
Wat betekenden redelijkheid en billijkheid en overmacht?
De klant voerde aan dat het onaanvaardbaar zou zijn om de volledige fraudekosten te moeten betalen. De rechtbank verwierp dit beroep op de redelijkheid en billijkheid, mede gelet op de overeengekomen risicoverdeling en de omstandigheden rond de beveiliging. Ook het beroep op overmacht in de zin van artikel 6:75 BW slaagde niet: de fraude kwam volgens de contractuele en maatschappelijke risicoverdeling niet voor rekening van KPN.
Het vonnis laat zien dat een cyberincident niet automatisch betekent dat de kosten bij de leverancier terechtkomen. De uitkomst hangt af van de overeengekomen verantwoordelijkheden, de feitelijke beveiliging en de vraag wie welke omstandigheden moet bewijzen.
Wat besliste de rechtbank?
De zakelijke klant moest € 7.753,61 aan KPN betalen, vermeerderd met wettelijke handelsrente vanaf 8 april 2010. Daarnaast werd de klant veroordeeld in € 1.421,55 proceskosten. De gevorderde buitengerechtelijke incassokosten werden afgewezen omdat de opgevoerde werkzaamheden volgens de rechtbank niet voldoende boven de gebruikelijke voorbereiding van de procedure uitstegen.
Wat kunnen ondernemers hiervan leren?
Bij telefonie, cloudsoftware, hosting en andere IT-diensten is het belangrijk om vast te leggen wie verantwoordelijk is voor toegangsbeheer, wachtwoorden, monitoring en misbruik van accounts of verbindingen. Controleer welke schadecategorieën de leverancier uitsluit en of ongeautoriseerd gebruik voor rekening van de klant komt.
Bewaar bij een incident de logbestanden, meldingen, facturen, correspondentie met leveranciers en eventuele rapporten van IT-beveiligingsspecialisten. Laat zo snel mogelijk vaststellen welke systemen zijn getroffen en welke contractuele bepalingen gelden. De technische oorzaak en de juridische risicoverdeling zijn twee verschillende vragen die allebei moeten worden onderzocht.
Is deze oude uitspraak nog relevant?
Het vonnis dateert uit 2012 en gaat over de toenmalige telefonie-infrastructuur en contractvoorwaarden. Moderne cloudtelefonie en cybersecurity kennen andere technische risico’s en soms andere contractuele afspraken. Het onderliggende leerstuk blijft relevant: een rechter kan de kosten van fraude contractueel toerekenen aan de partij die zelf geen toestemming voor het gebruik heeft gegeven. De concrete overeenkomst en het toepasselijke recht bepalen de uitkomst.
Veelgestelde vragen
Moet een bedrijf altijd betalen na een hack van zijn telefooncentrale?
Nee. In deze zaak volgde de betalingsplicht uit de specifieke algemene voorwaarden en de feitelijke beoordeling van de fraude.
Is de leverancier aansprakelijk als hij niet onmiddellijk waarschuwt?
Dat hangt af van de contractuele en wettelijke verplichtingen en van de vraag wanneer de leverancier het incident kende of had moeten kennen. De rechtbank stelde in deze zaak geen schending van een zorgplicht vast.
Wat als een factuur voor ongeautoriseerde gesprekken onjuist lijkt?
Vraag om gespreksgegevens en een gespecificeerde factuur en onderbouw concreet welke gegevens niet kunnen kloppen. Een algemene betwisting was in deze procedure onvoldoende.
Kunnen algemene voorwaarden de risico’s van cyberfraude verdelen?
Ja, maar de toepasselijkheid en geldigheid van de bepaling en de omstandigheden van het incident moeten afzonderlijk worden beoordeeld.
Lees ook onze artikelen over exoneratiebedingen in zakelijke telecomcontracten, algemene voorwaarden voor ondernemers, wanprestatie bij zakelijke contracten en bedrijfsrecht en ondernemingsrecht.
Bron: Rechtbank Amsterdam 25 juli 2012, ECLI:NL:RBAMS:2012:BY5981, met name rechtsoverwegingen 4.1–4.13 en het dictum. De uitspraak vermeldt mr. O. Arslan als voormalige advocaat van KPN; bij het eindvonnis was mr. S. El Hadouchi procesadvocaat. Dit artikel is een juridische analyse en presenteert de einduitkomst niet als een persoonlijk behaald resultaat van mr. Arslan.
