Aansprakelijkheid website zonder contract?

[Menesis]

Ik vroeg me het volgende af: stel dat een freelancer een website heeft gemaakt voor een klant. De klant heeft betaald en de website is opgeleverd. Zo nu en dan update de freelancer de website voor de klant, maar er is geen SLA of contract.

Op een dag ondervindt de klant schade doordat de website bijv. gehackt is.
Kan de klant dan schade op de freelancer verhalen? Dit is hypothetisch

[Dysmael]

Dat ligt helemaal aan de kaders en verwachtingen die zijn geschept. Ligt ook aan de aard van de hack. De 'klant' zal volgens mij nalatigheid aantoonbaar moeten maken. Dat lijkt mij nogal lastig.

[Onbekend]

Geen contract betekent niet dat iemand geen verantwoordelijkheid draagt.

Als je er vanuit gaat dat in de afspraken die bij het maken van de website niets over hacken staat, is de freelancer er niet direct verantwoordelijk voor door nalatigheid.
Als hij bewust die mogelijkheden heeft ingebouwd is het natuurlijk een ander verhaal.

[F_J_K]

Te weinig info. Wat is er per mail gezegd? Wat mondeling? Had je het in redelijkheid kunnen voorkomen? Ben je grof nalatig geweest?
Wat voor schade? Wat voor gegevens? Vertrouwelijk? Persoonsgegevens?

En hoe dan ook: wat zegt de rechter er van? Uiteindelijk kom je daar terecht

Edit:

Onbekend schreef op zondag 07 december 2014 @ 22:39:
Als je er vanuit gaat dat in de afspraken die bij het maken van de website niets over hacken staat, is de freelancer er niet direct verantwoordelijk voor door nalatigheid.

Waarom?

Zoek website en hack, vervang door auto en ongeluk. Vind je dan nog steeds dat normale, te verwachten risico's enkel zijn afgedekt als je het in een contract zet? <-- e.e.a. hangt m.i. erg af van de precieze teksten.

[ Voor 47% gewijzigd door F_J_K op 07-12-2014 22:49 ]

[Caelorum]

Vervang het dan door auto en sabotage ^^

[Lan Mandragoran]

Onbekend schreef op zondag 07 december 2014 @ 22:39:
Geen contract betekent niet dat iemand geen verantwoordelijkheid draagt.

Sterker nog, in vrijwel elk contract zal de leverancier aansprakelijkheid beperken. Bij aanbestedingen is het zelfs verplicht voor de aanbestedende dienst om de aansprakelijkheid van de leverancier te beperken. Als je geen contract afsluit is je aansprakelijkheid echter niet beperkt, en zul je in principe op moeten draaien voor de gehele schade die ontstaat als gevolg van je toerekenbare tekortkoming.

[chime]

Caelorum schreef op maandag 08 december 2014 @ 00:05:
Vervang het dan door auto en sabotage ^^

Correcter is auto en fabricagefout.

Had de freelancer de website niet "nu en dan"geupdate - maar wel duidelijk gemaakt bij aflevering (via mailtje ofzo) dat degene die de website ontving die ook moest laten onderhouden, dan zou die nog wat ingedekt zijn.

Maar nu ... die "nu en dan"impliceert toch dat hij het onderhoud op zich heeft genomen.
Het feit dat er geen SLA / onderhoudscontract op papier staat wil niet zeggen dat er geen contract is.

Tevens, hoe is de website opgeleverd? Alle source code beschikbaar gesteld voor de klant?

[naitsoezn]

Wat voor directe schade kan een bedrijf nou eigenlijk ondervinden van een gehackte site? Behalve het fixen van de hack (een schone installatie doet meestal wel de trick) kun je vrijwel alles scharen onder gevolgschade, en dat kun je gewoon prima uitsluiten.

[jan-marten]

@naitsoezn, imago schade door data diefstal? E-mail en andere contact/bankgegevens zijn altijd wel in trek bij bepaalde personen... In het ergste geval gaat je bedrijf failliet. Simpelweg afwimpelen met een schone installatie is niet aan de orde dan.

[ Voor 17% gewijzigd door jan-marten op 09-12-2014 11:36 ]

[naitsoezn]

jan-marten schreef op dinsdag 09 december 2014 @ 11:35:
@naitsoezn, imago schade door data diefstal? E-mail en andere contact/bankgegevens zijn altijd wel in trek bij bepaalde personen... In het ergste geval gaat je bedrijf failliet. Simpelweg afwimpelen met een schone installatie is niet aan de orde dan.

Enkel indirect het gevolg van de hack .

[418O2]

naitsoezn schreef op dinsdag 09 december 2014 @ 11:25:
Wat voor directe schade kan een bedrijf nou eigenlijk ondervinden van een gehackte site? Behalve het fixen van de hack (een schone installatie doet meestal wel de trick) kun je vrijwel alles scharen onder gevolgschade, en dat kun je gewoon prima uitsluiten.

Bedrijven krijgen echt tientallen orders per dag door hun website! ECHT WAAR HOOR!

Maaruh, in de praktijk niets. En als je een Wordpress site hebt en je update niet, dan is een hack een kwestie van tijd. Ik vind het overigens wel de verantwoording van de bouwer om dat te melden. Ik zie dat niet als algemene kennis.

[Lan Mandragoran]

naitsoezn schreef op dinsdag 09 december 2014 @ 11:25:
Wat voor directe schade kan een bedrijf nou eigenlijk ondervinden van een gehackte site? Behalve het fixen van de hack (een schone installatie doet meestal wel de trick) kun je vrijwel alles scharen onder gevolgschade, en dat kun je gewoon prima uitsluiten.

De wet kent geen onderscheid tussen directe en indirecte schade. Natuurlijk kun je indirecte schade definiëren en vervolgens contractueel uitsluiten, maar het punt van TS is juist dat er geen contract is.

[chime]

naitsoezn schreef op dinsdag 09 december 2014 @ 11:25:
Wat voor directe schade kan een bedrijf nou eigenlijk ondervinden van een gehackte site? Behalve het fixen van de hack (een schone installatie doet meestal wel de trick) kun je vrijwel alles scharen onder gevolgschade, en dat kun je gewoon prima uitsluiten.

Als die website nu een webshop is waarbij je dus wat zaken kan gaan aanpassen op de backend?
Of een site waar visa kaart nummers + cnc worden opgeslagen.
(zonder encryptie al niet goed, maar bij iemand die zonder contract werkt zou me dat ook niet verbazen)

Let op, ik weet dus niet of visa en andere maatschappijen of daar beperkingen rond hebben - indien die dus bepalingen hebben hoe zo een data moet opgeslagen worden en als blijkt dat je dat niet doet + de site wordt gehacked ... dan vrees ik toch dat visa de schade op je site gaat verhalen.
Stellen dat dat indirecte schade is, is dan kort door de bocht.


Is het gewoon een puur informatieve website dan is de schade inderdaad nogal beperkt.

Maar zelfs met een informatieve website => als die een tijdje niet bereikbaar is en de klant kan aantonen dat hij daardoor x inkomen mist (dat aantonen is niet altijd gemakkelijk) dan zit je daar weer wel met schade natuurlijk.

Zelfs al ben je in je recht, als er geen duidelijk contract is zit je toch al snel met hogere kosten als de andere naar de rechter zou stappen => jou advocaat moet dan meer doen dan even verwijzen naar een zin in dat contract.

[ Voor 17% gewijzigd door chime op 09-12-2014 13:17 ]

[Menesis]

Er is gelukkig niets aan de hand en het is ook geen ecommerce site. Er worden wel persoonsgegevens verzameld via een soort vragenlijst die mensen vrijwillig kunnen invullen.
De site is Drupal gebasseerd met een custom module.

De vraag is nu wellicht: is het mogelijk om nu, na oplevering, alsnog een soort overeenkomst te maken met de opdrachtgever?

[MSalters]

"Vrijwillig" maakt niet uit. Persoonsgegevens zijn automatisch een trigger. Daar moet je zorgvuldig en professioneel mee omgaan. Je mag als klant verwachten dat je leveranciers de wet kennen, en dus zorg dragen dat een systeem voor het opslaan van persoonsgegevens afdoende beveiligd is. Dat hoef je niet in een contract te herhalen.

Overigens mag een klant niet verwachten dat zoiets voor een onbeperkte duur gratis gegarandeerd kan worden. Maar als er regelmatig vervolgopdrachten zijn, dan kan je als klant wel aannemen dat regulier klein onderhoud meteen meegenomen wordt.