De Nederlandse regering wil met een reeks maatregelen, vooral via EU-regulering, de veiligheid van smartphones verbeteren. Zo wordt er in EU-verband onderhandeld over een richtlijn die de verkoper van smartphones verplicht om beveiligingsupdates te verstrekken. Dat geeft Staatssecretaris Mona Keijzer van Economische Zaken en Klimaat (EZK) aan in reactie op vragen van SP Tweede-Kamerlid Mahir Alkaya.
Die verwees in zijn vragen naar een uitspraak eind mei in een bodemprocedure tussen de Consumentenbond en Samsung. Daarbij wees de rechtbank de eis van de Consumentenbond af dat Samsung haar updatebeleid met beveiligingspatches voor oudere smartphones zou aanscherpen. De meeste leveranciers van Android-smartphones leveren minder dan twee jaar beveiligingsupdates. Dit maakt oudere toestellen kwetsbaar voor cybercriminelen.
Omdat Samsung marktleider is, had de Consumentenbond hier voor de tweede keer een rechtszaak tegen aangespannen met als doel een precedent te scheppen voor een langer updatebeleid. Dat zou minimaal twee jaar moeten zijn. De rechter ging hier echter niet in mee.
Volgens Keijzer hangt het recht op een deugdelijk product mede af van de beloftes die een producent doet in reclame-uitingen en de betaalde prijs (zoals premium versus instap-smartphone). Ook digitale veiligheid is geen zwart-witsituatie. Zij wil daarom geen algemene uitspraken doen over wanneer een product ondeugdelijk is vanwege (gebrekkige) digitale veiligheid.
Bevorderen digitale veiligheid
Wel vindt de staatssecretaris het belangrijk om de digitale veiligheid van producten zoals telefoons te bevorderen. De ministeries van Economische Zaken en Klimaat (EZK) en Justitie en Veiligheid (J&V) hebben daarom, mede op basis van inbreng van publieke en private partijen, de Roadmap Digitaal Veilige Hard- en Software opgesteld. Die bevat volgens Keijzer een samenhangende set van maatregelen om onveiligheden in hard- en software te voorkomen, kwetsbaarheden te detecteren, en om de gevolgen daarvan te beperken.
‘Wetgeving maakt hier ook onderdeel van uit,’ schrijft Keijzer. ‘Zo onderzoekt het kabinet welke minimale veiligheidseisen gesteld kunnen worden aan apparaten via de Europese Radio Equipment Directive (RED, in 2017 ingevoerd, red). Daarnaast wordt met de Cybersecurity Act op Europees niveau gewerkt aan een raamwerk voor (vrijwillige) cybersecurity-certificatie. Omdat digitale veiligheid bij uitstek een grensoverschrijdend onderwerp is, vind ik het van belang om hierover op EU-niveau afspraken te maken.’
Regelen leveren beveiligingsupdates
Verder stelt Keijzer dat er in EU-verband wordt onderhandeld over een richtlijnvoorstel ‘betreffende bepaalde aspecten met betrekking tot de contracten voor de levering van digitale inhoud’ (zoals films, muziek, software). Dit voorstel regelt de rechten voor de consument en de verkoper, zoals contractuele eisen aan de te leveren digitale inhoud en rechtsmiddelen voor de consument als de verkoper de overeenkomst niet nakomt.
Het voorstel waar de lidstaten onderling overeenstemming over hebben bereikt, verplicht de verkoper – kort gezegd – om beveiligingsupdates te verstrekken. Deze verplichting geldt niet als de consument er uitdrukkelijk op is gewezen dat deze updates niet worden verstrekt en hij hiermee uitdrukkelijk heeft ingestemd. Een vermelding in de algemene voorwaarden, bijvoorbeeld, volstaat dus niet. De onderhandelingen tussen de Raad en het Europees Parlement lopen nog.
