De Telecommunicatiewet geeft de Autoriteit Consument en Markt de bevoegdheid om op te treden tegen het niet-naleven van de informatieplicht over veiligheid en beveiliging van aangeboden diensten en netwerken.
De Autoriteit Consument en Markt geeft in dit document invulling aan zijn handhavingsbeleid voor overtredingen van de informatieplicht en formuleert zijn specifieke bevoegdheid in dezen. Hierdoor wordt structuur gegeven aan de uitvoering van de handhaving van de informatieplicht en wordt willekeur voorkomen. Tevens geeft de Autoriteit Consument en Markt invulling aan zijn beleidsvrijheid ten aanzien van de keuze voor een bepaald handhavingsmiddel.
In elke individuele situatie wordt rekening gehouden met de specifieke omstandigheden van het betreffende geval. Een besluit om over te gaan tot handhaving en de keuze voor het handhavingsmiddel is immers altijd maatwerk.
Dit handhavingsbeleid wordt extern bekend gemaakt door plaatsing ervan in de Nederlandse Staatscourant en op de website van OPTA.1 Zie www.opta.nl.
Treedt in werking op het tijdstip waarop artikel 2 van de Instellingswet Autoriteit Consument en Markt in werking treedt.
Internetveiligheid is een onderwerp dat een brede maatschappelijke belangstelling kent. Iedereen die zich regelmatig op internet begeeft, wordt geconfronteerd met aanzienlijke aantallen ongewenste e-mailberichten.2 In 2007 bestond naar schatting 90 tot 95 procent van het e-mailverkeer uit spam. Zie bijvoorbeeld http://www.nu.nl/news/1353927/50/'Slechts_1_op_20_e-mails_is_geen_spam'.html Vele Nederlanders zullen via het nieuws gehoord hebben over e-mails waarin argeloze PC-gebruikers wordt gevraagd hun inloggegevens voor elektronisch bankieren terug te sturen,3 Klanten van banken krijgen met regelmaat e-mailberichten waarin om hun creditcardgegevens wordt gevraagd. Zie bijvoorbeeld het bericht van 22 juli 2008 op http://www.zdnet.nl/smartbiz.cfm?id=88513. En in juni 2008 ontvingen houders van een Zonnet e-mail abonnement een bericht waarin hen werd gevraagd hun inloggegevens te verstrekken. De afzender van dit bericht deed zich voor als Zonnet. Zie http://www.websonic.nl/nieuws/062008/tele2_phishing_mail.php. of over personen die ongemerkt PC’s van anderen gebruiken voor criminele activiteiten.4 Zie bijvoorbeeld het bericht van 2 augustus 2008 op http://www.techzine.nl/nieuws/17269/19-jarige-hacker-opgepakt-vanwege-verkoop-botnet.html. Ouders zijn vaak bezorgd over hoe zij hun kinderen kunnen beschermen tegen pesten via internet, of tegen kwaadwillende personen die zich voordoen als iemand anders, of tegen het risico dat hun kinderen terechtkomen op een webpagina die niet voor kinderen is bestemd. Kortom, er is brede maatschappelijke aandacht voor de risico’s die zijn verbonden aan het gebruik van internet en het is voor de leek – en vaak ook voor de meer ervaren internetgebruiker – niet altijd duidelijk wat deze risico’s zijn en hoe deze tegengegaan kunnen worden.
De wetgever heeft in de Telecommunicatiewet (hierna: de Tw) meerdere bepalingen opgenomen die ertoe moeten leiden dat de veiligheid van internetgebruik toeneemt. Artikel 11.3 Tw is gericht op aanbieders van openbare elektronische diensten en netwerken en bestaat uit twee delen: het eerste lid betreft een verplichting aan netwerk- en dienstaanbieders (hierna: aanbieders) om hun diensten en netwerken te beveiligen (hierna: beveiligingsplicht) en het tweede lid betreft de verplichting aan aanbieders om hun abonnees voor te lichten over veiligheidsrisico’s (hierna: informatieplicht). Tezamen worden deze verplichtingen vaak aangeduid als de zorgplicht. De Autoriteit Consument en Markt heeft de taak toezicht te houden op de naleving van deze bepaling.
Treedt in werking op het tijdstip waarop artikel 2 van de Instellingswet Autoriteit Consument en Markt in werking treedt.
Gezien het grote maatschappelijk belang en de omvang van de risico’s van internetgebruik, geeft de Autoriteit Consument en Markt hoge prioriteit aan deze taak. Daarin staat de Autoriteit Consument en Markt niet alleen. Ook in Europees verband is er veel aandacht voor internetveiligheid. De Europese Commissie heeft diverse voorstellen gedaan om de internetveiligheid te vergroten. Ook ENISA,5 European Network and Information Security Agency. het agentschap van de Europese Unie voor netwerk- en informatiebeveiliging, heeft onlangs een rapport6 Security Economics and the Internal Market, R. Anderson et al., februari 2008. uitgebracht waarin aanbevelingen staan hoe lidstaten in de toekomst informatiebeveiliging zouden moeten nastreven. Eén van de aanbevelingen uit dit rapport is bijvoorbeeld de invoering van een wettelijke plicht om beveiligingsincidenten te melden aan een toezichthouder, onder welke plicht dus ook aanbieders van elektronische communicatiediensten en -netwerken zouden komen te vallen.
Treedt in werking op het tijdstip waarop artikel 2 van de Instellingswet Autoriteit Consument en Markt in werking treedt.
De Autoriteit Consument en Markt is er zich terdege van bewust dat internetveiligheid afhankelijk is van veel meer partijen dan alleen de aanbieders van elektronische communicatiediensten en -netwerken: ook leveranciers van soft- en hardware, hosting aanbieders en eindgebruikers zijn verantwoordelijk voor veiligheid op het internet. Het artikel in de Tw heeft echter alleen betrekking op aanbieders van elektronische communicatiediensten en -netwerken en de bevoegdheid van het college gaat dus niet verder dan het toezicht op alleen deze partijen.
Het college heeft aan het begin van 20087 Tijdens de door ECP.nl georganiseerde bijeenkomst ‘Derde Kamer Discussie Zorgplicht’ van 13 februari 2008. aangegeven drie speerpunten te zien op het gebied van de zorgplicht. Ten eerste de informatieplicht van aanbieders, met andere woorden, de voorlichting door ISP’s van hun abonnees over veiligheidsrisico’s. Ten tweede het ontwikkelen van een keurmerk door ISP’s voor hun eigen branche. Met dit keurmerk voor ISP’s zouden abonnees een weloverwogen keuze kunnen maken en zo hun eigen verantwoordelijkheid kunnen nemen bij internetveiligheid door die ISP te kiezen die een pakket biedt dat bij hun veiligheidsbehoefte en kennis aansluit. Ten derde de aanpak van het probleem van zombiecomputers, dat wil zeggen, PC’s waarvan de besturing in handen is gevallen van personen die met deze PC’s criminele activiteiten ontplooien. Het eerste speerpunt, de informatieplicht, staat centraal in deze beleidsregels.
Treedt in werking op het tijdstip waarop artikel 2 van de Instellingswet Autoriteit Consument en Markt in werking treedt.
Op 22 september 2008 heeft het college zijn voorgenomen beleidsregels gepubliceerd. Er is daarop gereageerd door T-Mobile, Scarlet Telecom, en – door middel van een gezamenlijke reactie – door NLKabel, KPN, UPC, XS4ALL, Ziggo, bbned, BT, COLT, Online, Priority, Tele2 en Verizon Business.
Het college constateert dat alle respondenten, met uitzondering van T-Mobile, zich in hoofdlijnen in de voorgenomen beleidsregels kunnen vinden. Een ruime meerderheid van de aanbieders onderschrijft het belang van het verstrekken van adequate informatie aan abonnees over de risico’s van internetgebruik. De voorgestelde manier van handhaving door het college wordt in hoofdlijnen gesteund.
Het college heeft dankbaar gebruik gemaakt van de ontvangen reacties bij het vaststellen van de onderhavige beleidsregels. In een aparte bijlage8 Deze bijlage is gepubliceerd op de website van OPTA. bij deze beleidsregels gaat het college in detail in op de ingebrachte op- en aanmerkingen, zodat de respondenten en andere geïnteresseerden kunnen nalezen hoe het college hiermee is omgegaan.
Allereerst beschrijft de Autoriteit Consument en Markt in hoofdstuk 2 waarom hij beleidsregels noodzakelijk acht voor zijn toezicht op de informatieplicht. Vervolgens wordt in hoofdstuk 3 het juridisch kader beschreven. De beleidsregels beginnen in hoofdstuk 4 en 5, waar de Autoriteit Consument en Markt ingaat op wat er aan informatie dient te worden gegeven. In de woorden van artikel 11.3 Tw: welke bijzondere risico’s minimaal zouden moeten worden genoemd en welke middelen in aanmerking komen om deze risico’s tegen te gaan. Vervolgens beschrijft de Autoriteit Consument en Markt in hoofdstuk 6 en 7 voor wie de informatieplicht geldt en wie geïnformeerd dient te worden. Daarna geeft de Autoriteit Consument en Markt aan hoe en wanneer naar zijn mening een aanbieder de informatie dient te verstrekken (hoofdstuk 8) en tot slot beschrijft de Autoriteit Consument en Markt welke handhavingsmethoden hij zal gaan gebruiken (hoofdstuk 9).
Treedt in werking op het tijdstip waarop artikel 2 van de Instellingswet Autoriteit Consument en Markt in werking treedt.
Artikel 1
Inleiding
Onderdeel van Beleidsregels informatieplicht voor aanbieders over internetveiligheid (artikel 11.3 tweede lid van de Telecommunicatiewet)· Mededingingsrecht
Deze tekst geldt sinds 15 januari 2009