Rb. Rotterdam, 03-02-2010, nr. AWB 08/3102 TELEC-T1

Bij besluit van 5 november 2007 heeft verweerder wegens overtredingen van artikel 4.1, eerste lid, van het Besluit universele dienstverlening en eindgebruikersbelangen (hierna: Bude) aan 1) A, 2) B en C, gezamenlijk, en 3) X en 4) Y een boete opgelegd van respectievelijk 1) € 200.000,-, 2) € 300.000,-, 3) € 200.000,- en 4) € 300.000,-.

Tegen dit besluit hebben eisers gezamenlijk bij brief van 13 december 2007 bezwaar gemaakt. Bij brief van 29 februari 2008 hebben eisers de gronden van bezwaar ingediend.

Bij besluit van 18 juni 2008 heeft verweerder het bezwaar van eisers ongegrond verklaard.

Tegen dit besluit (hierna: het bestreden besluit) hebben eisers bij brief van 29 juli 2008 beroep ingesteld. Bij brief van 22 oktober 2008 hebben eisers de beroepsgronden ingediend.

Verweerder heeft bij brief van 1 juli 2009 een verweerschrift ingediend.

Bij brief van 18 september 2009 hebben eisers aanvullende producties ingediend.

Het onderzoek ter zitting heeft plaatsgevonden op 30 september 2009. Namens eisers zijn hun gemachtigden verschenen, alsook X en Y. Verweerder heeft zich laten vertegenwoordigen door mr. R.W. Veldhuis en mr. F.W. Bleichrodt. Tevens waren zijdens verweerder aanwezig mr. D.R. Molenaar, mr. L.H. la Roi en S.M. van den Berg en C.A. Fesseur.

Juridisch kader

Artikel 4.1 van het Bude luidt:

Artikel 4.1 van het Bude vormt een implementatie van artikel 5, derde lid, van Richtlijn 2002/58/EG betreffende privacy en elektronische communicatie (hierna: de Privacyrichtlijn e-communicatie).

Deze bepaling luidt voor zover relevant:

“De lidstaten dragen er zorg voor dat het gebruik van elektronische-communicatienetwerken voor de opslag van informatie of voor het verkrijgen van toegang tot informatie die is opgeslagen in de eindapparatuur van een abonnee of gebruiker, alleen is toegestaan op voorwaarde dat de betrokken gebruiker voorzien wordt van duidelijke en volledige informatie onder andere over de doeleinden van de verwerking, overeenkomstig Richtlijn 95/46 EG, en het recht krijgt aangeboden door de voor verwerking verantwoordelijke om een dergelijke verwerking te weigeren. (..).”

Artikel 15.1, derde lid, van de Telecommunicatiewet (hierna: Tw) luidt als volgt:

“Met het toezicht op de naleving van het bepaalde bij of krachtens andere bepalingen van de

wet dan bedoeld in het eerste en tweede lid, zijn belast de bij besluit van het college

aangewezen ambtenaren."

Artikel 15.4, vierde lid, van de Tw bepaalt:

Artikel 15.10 van de Tw luidt als volgt:

Verweerder heeft beleidsregels met betrekking tot het opleggen van boetes (hierna: Boetebeleidsregels) vastgesteld. Met deze Boetebeleidsregels geeft verweerder invulling aan zijn beleidsvrijheid ten aanzien van het vaststellen van de hoogte van boetes ingevolge artikel 15.4 van de Tw en wordt inzicht verschaft in de factoren die de hoogte van de boete bepalen.

Achtergrond, feiten en omstandigheden

De gedragingen van eisers die door verweerder als overtredingen zijn gekwalificeerd zouden plaats hebben gevonden in het kader van een samenwerkingsverband tussen eisers met de naam DollarRevenue. Het doel van DollarRevenue was inkomsten te verwerven door het plaatsen van zo veel mogelijk reclamesoftware op computers van eindgebruikers.

Mede naar aanleiding van informatie verkregen via diverse tips en berichten op het internet,

werd bij toezichthoudende ambtenaren het vermoeden gewekt dat onder de naam

DollarRevenue in strijd met artikel 4.1 van het Bude toegang werd verkregen tot en gegevens werden geplaatst op de computers van internetgebruikers.

Toezichthoudende ambtenaren hebben op 5 november 2006 een (onaangekondigd)

controlebezoek gebracht aan de bedrijfsruimte van C en B, het woonhuis van diens

directeur/bestuurder Y, het kantooradres van A (tevens het woonhuis van diens

directeur/bestuurder X), alsmede de ruimten waar de betrokken rechtspersonen

computerservers voor de verspreiding van software hadden geplaatst. Toezichthoudende

ambtenaren hebben daarbij inzage gekregen in de administratie en de aanwezige

computersystemen op de betreffende locaties. Tijdens de bezoeken en ook nadien hebben de

directeuren/bestuurders en een enkele medewerker van de betrokken rechtspersonen

verklaringen afgelegd. Deze verklaringen zijn als bijlagen toegevoegd aan het boeterapport van 15 augustus 2007.

In het boeterapport worden door de toezichthoudende ambtenaar de volgende overtredingen geconstateerd:

Gronden beroep

In beroep hebben eisers – uiterst summier samengevat – aangevoerd dat de (gestelde) overtreden norm zeer onduidelijk is, dat verweerder een bevoegdheid ontbeert, dat verweerder niet heeft voldaan aan de op hem rustende bewijslast, dat er sprake is van onrechtmatig verkregen bewijs, dat zij niet als overtreders zijn aan te merken en dat de boetes onevenredig hoog zijn.

Beoordeling

Onrechtmatig verkregen bewijs

De rechtbank stelt voorop dat de toezichthoudende ambtenaren hebben verklaard dat zij bij het onderzoek uitdrukkelijk toestemming alsmede volledige en vrijwillige medewerking van eisers hebben verkregen. In het geval eisers geen vrijwillige medewerking of toestemming zouden hebben verleend aan de toezichthoudende ambtenaren, betekent dat voorts niet dat daaraan gevolgen zijn verbonden, nu niet door eisers is aangetoond noch aannemelijk is gemaakt dat bij het onderzoek onrechtmatig gebruik is gemaakt van bevoegdheden.

Ten aanzien van het, aldus eisers, zonder toestemming meenemen van de servers van A merkt de rechtbank in de eerste plaats op dat artikel 5:17, eerste en tweede lid, van de Algemene wet bestuursrecht aan toezichthouders de bevoegdheid verschaft om inzage te vorderen in zakelijke gegevens en bescheiden en daarvan kopieën te maken. Verweerder was dus zonder meer bevoegd gegevens van de A-servers te kopiëren. Naar het oordeel van de rechtbank heeft verweerder voldoende aannemelijk gemaakt dat het te tijdrovend en technisch niet (goed) mogelijk was ter plaatse kopieën te maken van de servers. Bovendien stonden de servers van A in een serverruimte die van Essent werd gehuurd. Aangezien in casu derde partijen bij de uitvoering van het onderzoek betrokken waren, hebben de toezichthouders in redelijkheid kunnen besluiten de servers voor korte tijd mee te nemen om de benodigde kopieën te maken. Van enig onrechtmatig handelen is dan ook geen sprake.

Overigens is de rechtbank van oordeel dat ook in het geval de servers wel ten onrechte meegenomen zouden zijn, het bewijs dan nog rechtmatig verkregen is. Het kopiëren en meenemen van de gegevens zijn immers twee verschillende bevoegdheden. Niet in geschil is dat verweerder bevoegd is de op de servers vastgelegde informatie te kopiëren. Die bevoegdheid wordt niet aangetast door het feit dat het kopiëren wellicht ten onrechte niet ter plaatse maar bij verweerder heeft plaatsgevonden. Bovendien is bewijsuitsluiting alleen aan de orde indien dat bewijs is verkregen op een wijze die zozeer indruist tegen hetgeen van een behoorlijk handelende overheid mag worden verwacht, dat dit gebruik onder alle omstandigheden ontoelaatbaar moet worden geacht. Daarvan is in dit geval geen sprake.

Overtreding(en)

Uit het hiervoor onder 2.1 aangehaalde juridisch kader volgt dat verweerder bevoegd is tot het aan de overtreder(s) opleggen van een boete als er sprake is van een overtreding van artikel 4.1 van het Bude. Eerst dient derhalve te worden vastgesteld of er al dan niet sprake is van overtreding(en) van artikel 4.1 van het Bude. Daarbij acht de rechtbank het van belang op te merken dat de in de onderdelen a en b van het eerste lid van artikel 4.1 van het Bude neergelegde eisen cumulatief zijn. Reeds als niet aan één van de twee eisen is voldaan, is sprake van een overtreding van de bepaling.

Het standpunt van eisers dat artikel 4.1, eerste lid, van het Bude een vage en open norm is, waarbij het onduidelijk is tot wie de norm is gericht en wat deze norm inhoudt, wordt niet door de rechtbank gedeeld.

In de eerste plaats is de rechtbank van oordeel dat, hoewel het begrip ‘een ieder’ in artikel 4.1 van het Bude noch in het Bude noch in de Tw wordt gedefinieerd, dit begrip niet anders gelezen dient te worden dan ‘iedereen’, daaronder in elk geval begrepen de ‘verantwoordelijke’ in de zin van artikel 5, derde lid, van de Privacyrichtlijn e-communicatie. Uit deze richtlijn volgt tevens dat het begrip ‘verwerking van persoonsgegevens’ dient te worden opgevat als ‘de opslag van informatie of het verkrijgen van toegang tot informatie’. In het geval dat blijkt dat eisers (zijnde een ieder) zich ten doel stelden dan wel het oogmerk hadden om toegang te verkrijgen tot gegevens van dan wel gegevens op te slaan op zo veel mogelijk computers van eindgebruikers en zij deze wens zelf dan wel samen met anderen door middel van diverse technische middelen hebben uitgevoerd, zijn zij als verantwoordelijke aan te merken.

De rechtbank kan eisers evenmin volgen in hun standpunt dat het volstrekt onduidelijk is wat nu precies informatie is die “duidelijk en nauwkeurig moet zijn” als bedoeld in artikel 4.1 van het Bude.

De invulling van de informatieplicht zoals bedoeld in artikel 4.1, aanhef en onder a, van het Bude brengt naar het oordeel van de rechtbank in elk geval met zich dat de gebruiker moet worden geïnformeerd over de identiteit van degene die gegevens op de computer van de eindgebruiker wenst op te slaan. Verder zal aan de gebruiker nadere informatie gegeven dienen te worden voor zover dat nodig is om een behoorlijke en zorgvuldige verwerking van de gegevens te waarborgen. De eindgebruiker moet nauwkeurig en duidelijk worden geïnformeerd, in die zin dat er openheid moet worden gegeven over de software die op de computer van de eindgebruiker wordt geplaatst. De eindgebruiker moet immers zelf kunnen beslissen of hij met het door deze software voorgestane gebruik akkoord gaat (betrokkene moet weten waarvoor hij toestemming geeft en wat daarvan de gevolgen zijn). De ratio daarvan is dat de gebruiker greep houdt op de gegevens die op zijn computer worden opgeslagen en op de gegevens die er vanaf worden gehaald.

Naar het oordeel van de rechtbank zal de gebruiker op grond van artikel 4.1, eerste lid, aanhef en onder b, van het Bude evenzeer op voldoende kenbare wijze de mogelijkheid moeten worden geboden om de plaatsing van gegevens dan wel de toegang tot zijn gegevens te weigeren. Ook hier geldt dat de gebruiker op een begrijpelijke wijze moet worden geïnformeerd over de door hem te maken keuze. Daarbij moet voorkomen worden dat de keuze in te impliciete bewoordingen (kale weigeringsgrond) aan de abonnee of gebruiker wordt voorgelegd. De eindgebruiker moet weten voor de plaatsing van welke software hij toestemming geeft.

Naar het oordeel van de rechtbank kan over de uitleg van de verplichtingen die volgen uit artikel 4.1, eerste lid, van het Bude geen enkel misverstand bestaan. Een nadere invulling van de norm is daarvoor niet nodig. In het geval er toch enige twijfel zou bestaan omtrent de omvang van de informatieplicht ligt het op de weg van betrokkene verweerder hieromtrent te bevragen.

Het betoog van eisers, dat verweerder ten onrechte heeft vastgesteld dat het gebruik van ActiveX om de software te installeren in dit geval een overtreding van artikel 4.1 van het Bude inhoudt, faalt.

Eisers hebben in dit verband aangevoerd dat ActiveX een standaardmethode is van het Windowsbesturingssysteem om bestanden ter installatie aan te bieden aan eindgebruikers.

De wijze van aanbod van ActiveX – hoe de gebruiker het installatieproces met ActiveX

ervaart en moet doorlopen – is met de upgrade van de XP versie van Windows van

Service Pack 1 (hierna: XP) naar Service Pack 2 (hierna: XP SP2) aanzienlijk aangepast.

De ActiveX methode onder XP SP2 kent een veelvoud van door de gebruiker te

verrichten handelingen en afwegingen voordat hij tot installatie over kan gaan ten opzichte van de methode onder XP en eerdere Windows versies. Bij XP SP2 dient de gebruiker een veelvoud aan vensters en informatie en daarmee keuzemomenten te doorlopen voordat de DollarRevenue software geïnstalleerd kan worden. De eindgebruiker wordt met de ActiveX methode dan ook op verschillende momenten in het proces dat tot een installatie kan, maar niet hoeft te leiden, geïnformeerd over en begeleid in de door hem te maken keuzes en het doel van de hem ter installatie aangeboden software. Als de gebruiker daarna de geïnformeerde keuze wil maken tot installatie over te gaan, dan kan dat. De gebruiker wordt echter evengoed de geïnformeerde keuze geboden niet te installeren. Als de gebruiker op ‘Nee’ (Don’t install) drukt, dan wordt er ook niet geïnstalleerd.

De rechtbank deelt niet de opvatting van eisers dat bij het gebruik van Active X, ook onder XP SP2, sprake is van uitgebreide informatie over de doeleinden van de plaatsing van de DollarRevenue software. Bij XP SP2 wordt immers uitsluitend algemene informatie verstrekt over de toepassing van ActiveX en wordt er geen informatie gegeven over de doeleinden en plaatsing van de downloader, de loader.exe en de advertentiebundel. Het duidelijk verschaffen van informatie komt neer op de invulling van 'Name' en 'Publisher’ in het standaard ActiveX venster. Met betrekking tot de naam is het vermelden van 'Click here to agree to this download’, zoals bij DollarRevenue, ontoereikend. Deze ruimte dient immers gebruikt te worden om de naam van de software kenbaar te maken. In bijvoorbeeld het ActiveX venster van Adobe Flash Player staat duidelijk om welke software het gaat, namelijk de Flash Player. Dit is met de naam 'click here to agree to this download niet het geval. Anders dan eisers stellen blijkt hieruit niet dat het om de software van DollarRevenue gaat. Dat de gebruiker dan naar de website van DollarRevenue werd doorverwezen en aldaar de EULA te zien kreeg, betekent niet dat zodoende de gebruiker toch nog voldoende werd geïnformeerd over de (doeleinden van de) software, aangezien de EULA onvolledig en misleidend was (zie de overwegingen hierna). Aldus werd er bij de installatie door middel van ActiveX niet voldoende informatie getoond, hetgeen strijdig is met artikel 4.1 van het Bude.

Met betrekking tot de kale mogelijkheid te kunnen weigeren, overweegt de rechtbank dat het in dit geval niet duidelijk was welk programma (met welke doeleinden) de gebruikers weigerden, zodat ook hiermee in strijd is gehandeld met artikel 4.1 van het Bude.

Het standpunt van eisers dat de EULA van Dollar Revenu voldeed aan artikel 4.1 van het Bude, aangezien deze zo was opgesteld dat direct aan de gebruiker duidelijk werd gemaakt dat deze eveneens betrekking had op de software van adverteerders van DollarRevenue en dat de EULA’s van adverteerders waarnaar de EULA van DollarRevenue verwijst, onverbloemd aangaven wat het doel was van hun software, mist naar het oordeel van de rechtbank doel.

Eisers hebben in dit verband aangevoerd dat de onderstaande inleidende paragraaf van de DollarRevenue EULA de kern raakt van de informatievoorziening aan de eindgebruiker:

“OPGELET! Door in te stemmen met installatie wordt niet alleen DollarRevenue software geïnstalleerd, maar ook software van andere partijen. Ook de EULA’s van deze partijen zijn van toepassing.”

Ook de informatievoorziening in de EULA’s van adverteerders laat er volgens eisers geen enkel misverstand over bestaan waar hun software toe dient en wat de eindgebruiker kan verwachten. De gebruiker ging door instemming met de EULA ook akkoord met het installeren van updates van de geïnstalleerde adverteerderssoftware en dat er interactie met

servers van adverteerders plaats kon vinden. Eisers hebben de eindgebruiker daar direct en in meest toegankelijke en gebruikelijk vorm op gewezen door het aanbrengen van hyperlinks naar de EULA’s van de adverteerders. De EULA van DollarRevenue was derhalve afgestemd en ingericht op de door DollarRevenue gebruikte bundelmethode om de adverteerderssoftware aan te bieden.

Eisers betwisten voorts verweerders beschuldiging dat zij bewust essentiële informatie hebben achtergehouden, doordat niet alle EULA’s van alle adverteerders vermeld zijn in de DollarRevenue EULA. De norm verplicht de eindgebruiker te informeren over het doel van de opslag van de aangeboden gegevens. Dat betekent volgens eisers niet dat eindgebruikers totaal gespecificeerd en gekwantificeerd informatie dienen te verkrijgen over de aangeboden bestanden. Een overschot aan informatie draagt immers niet bij tot een beter begrip van de materie. Eisers hebben er daarom juist voor gekozen kernachtig en toegankelijk aan te geven wat het doel van de aangeboden software was. Van het bewust misleiden van eindgebruikers was geen sprake.

De rechtbank stelt vast dat eisers een EULA hebben opgesteld en deze, naar eigen zeggen, ook kenbaar hebben gemaakt aan de affiliates. Gelet op het bepaalde in artikel 4.1 van het Bude diende deze EULA duidelijke en nauwkeurige informatie omtrent de werking en strekking van de software, eventueel in combinatie met een verwijzing naar de andere EULA’s, te bevatten.

Anders dan eisers is de rechtbank van oordeel dat de DollarRevenue EULA niet duidelijk en nauwkeurig aangaf welke software precies werd geïnstalleerd en wat de doeleinden van de te installeren software waren. De EULA’s van de eisers bevatten een omschrijving in het Engels van de werking van het desbetreffende programma.

Uit de zin “This agreement applies to the “DollarRevenue” software, including the following software by our partners” blijkt niet wat het doel van de DollarRevenue software is. Deze zin verstrekt alleen informatie over het toepassingsbereik van de EULA. Bezwaarlijk kan worden volgehouden dat dit als duidelijke en nauwkeurige informatie kan worden aangemerkt als bedoeld in artikel 4.1 van het Bude. Het doel van de DollarRevenue software kan ook niet uit de overige bepalingen van de EULA worden afgeleid. De indirecte doorverwijzing naar de EULA’s van een klein deel van geplaatste advertentiesoftware is daartoe onvoldoende.

Dat de bovenvermelde zin aan de gebruiker duidelijk maakt dat de EULA niet alleen betrekking had op software van DollarRevenue maar eveneens op software van adverteerders, doet er voorts niet aan af dat in het midden blijft om welke software van DollarRevenue en de "partners" het dan gaat. De mededeling dat de EULA ook van toepassing is op andere, deels niet genoemde en evenmin toegelichte software van onbekende partijen acht de rechtbank onvoldoende voor de conclusie dat aan artikel 4.1 van het Bude is voldaan.

Evenmin kan de stelling van eisers worden aanvaard dat zij aan artikel 4.1 van het Bude hebben voldaan door de hieronder weergegeven algemene passage, die op geen enkele wijze inzicht verschaft welke software wordt geïnstalleerd en wat de gevolgen daarvan zijn:

De vertaling die eisers van deze passage geven in hun beroepschrift komt niet overeen met de Engelse tekst.

Nergens in de EULA staat vermeld "OPGELET! Door in te stemmen met installatie wordt niet alleen DollarRevenue software geïnstalleerd, maar ook software van andere partijen. Ook de EULA’s van deze partijen zijn van toepassing" .

Bovendien wordt in de bovenstaande Engelse tekst niet gesproken van “andere partijen” maar van "partners". Gelet op de in de eigen EULA gegeven definitie kunnen alleen die partijen als partners worden aangemerkt die zijn genoemd in de eerste paragraaf van de EULA. Vast staat dat ook software van andere niet-genoemde partijen is geïnstalleerd. Dit betekent dat eisers in strijd handelen met hun eigen EULA, door ook software van niet genoemde adverteerders te plaatsen die dus niet als "partner" konden worden beschouwd. De EULA was in zoverre dan ook misleidend. Een misleidende EULA is per definitie in strijd met artikel 4.1 van het Bude. Dat de EULA's van de adverteerders waarnaar wel werd verwezen aangeven wat het doel van die betreffende software is, betekent niet dat daarmee de eindgebruiker werd geïnformeerd over de plaatsing en aard van de overige geïnstalleerde software. Evenmin is de eindgebruiker op kenbare wijze gelegenheid geboden de plaatsing van deze automatisch meegeïnstalleerde software te weigeren.

In de EULA van DollarRevenue is voorts geen informatie opgenomen over de werking en strekking van de te installeren (advertentie)software, anders dan door verwijzing naar een aantal EULA’s van een (klein) deel van de adverteerders. Uit het onderzoeksrapport is gebleken dat er negen 'variabele' softwareprogramma’s zijn geplaatst en zes softwareprogramma's in de categorie van 'always install'. Deze zes softwareprogramma’s zijn dus door partijen (middels de DollarRevenue server) bij elke installatie van de downloader geplaatst. Daarbij werd alleen de Bundleware EULA altijd vermeld, de IDownload EULA regelmatig en de overige vier nooit. Met het plaatsen van de 'always install' softwareprogramma’s werd aldus niet conform de informatie in de EULA en daardoor in strijd met artikel 4.1 van het Bude gehandeld. De EULA bevatte bovendien geen duidelijke informatie over de werking of gevolgen van de plaatsing van de downloader en de loader.exe. Ook dit is in strijd met artikel 4.1 van het Bude.

De rechtbank kan eisers verder niet volgen in hun standpunt dat artikel 4.1 van het Bude er niet toe verplicht dat de eindgebruikers geïnformeerd moeten worden over alle software die geplaatst wordt en dat voldoende zou zijn als de eindgebruiker over de doeleinden van het opslaan/toegang verkrijgen wordt geïnformeerd. Artikel 4.1 van het Bude verplicht immers tot het informeren “op een duidelijke en nauwkeurige wijze”. De plaatsing van de downloader heeft vergaande gevolgen voor de computers van de eindgebruiker. Van eisers had mogen worden verwacht dat zij de eindgebruiker voorafgaand aan de installatie van die gevolgen op de hoogte hadden gesteld.

Gelet op hetgeen hiervoor en onder 2.4.2.3 is overwogen, staat naar het oordeel van de rechtbank vast dat bij de plaatsing van de reguliere downloader artikel 4.1 van het Bude is overtreden. In de eerste plaats omdat in het ActiveX venster dat voorafgaand aan de installatie van de (reguliere) downloader werd getoond, elke naam of aanduiding van de te installeren software ontbrak evenals een duidelijke verwijzing naar de EULA van DollarRevenue. In de tweede plaats omdat ook de EULA van DollarRevenue niet op duidelijke en nauwkeurige wijze informatie verstrekte omtrent de doeleinden waarvoor eisers de verschillende software op de computers van eindgebruikers wilden plaatsen. Beide redenen zijn op zichzelf bezien reeds voldoende grond voor de conclusie dat artikel 4.1 van het Bude is overtreden. Bovendien werd de eindgebruiker niet op voldoende kenbare wijze de mogelijkheid geboden de desbetreffende handeling te weigeren.

Terzake van het gegeven dat, naast de ActiveX methode, aan affiliates ook de mogelijkheid werd geboden de DollarRevenue software te bundelen met een eigen softwarebestand van de affiliate overweegt de rechtbank dat het bundelen van verschillende softwareprogramma's op zichzelf niet onrechtmatig is, mits er bij de installatie voldoende informatie wordt getoond omtrent de doeleinden van alle softwareprogramma's van de bundel.

Eisers stellen zich in dit kader op het standpunt dat verweerder ten onrechte suggereert dat de EULA van DollarRevenue door affiliates die de bundelmethode gebruikten in de praktijk niet getoond werd. Ten aanzien van het zogenaamde “silent installeren” stellen eisers dat dit niet inhoudt dat affiliates de DollarRevenue EULA niet moesten tonen aan gebruikers. Zij waren dit immers verplicht onder de affiliate agreement. Het silent installeren, en het daartoe verstrekken van een silent exe aan affiliates, hield in dat affiliates de DollarRevenue silent exe (de downloader) konden bundelen met hun eigen exe, waarbij dan niet automatisch de DollarRevenue EULA verscheen bij het aanbod tot installatie. De affiliate kon zo voorkomen dat van elk programma dat hij met zijn eigen software bundelde verschillende EULA’s zouden verschijnen. Het silent maken van adverteerders exes was er derhalve op gericht een overdaad aan installatieschermen bij het installeren van de met de DollarRevenue software geleverde adverteerderssoftware te voorkomen.

Dat de silent downloader uitsluitend was bedoeld om te voorkomen dat de eindgebruiker zou worden geconfronteerd met een overdaad van installatieschermen, acht de rechtbank weinig geloofwaardig. Uit gesprekken van Y, zoals gepresenteerd in verweerders onderzoeksrapport, kan worden vastgesteld dat onder silent wel degelijk het silent installeren werd verstaan, in die zin dat eindgebruikers in het geheel niet werden geïnformeerd.

Los van de vraag of het eisers dan wel de affiliates is toe te rekenen dat bij de bundelmethode de EULA van DollarRevenue niet werd getoond, volgt uit het feit dat dit in de praktijk niet gebeurde dat er sprake is van een overtreding van artikel 4.1 van het Bude. Bij het plaatsen van de downloader door middel van een misleidend of onschuldig ogend bestand werd er immers in het geheel geen informatie getoond, in ieder geval geen informatie over de downloader. De eindgebruiker ging er van uit dat hij niet de downloader van DollarRevenue aan het downloaden was, maar een ander bestand. Verspreiding van de software door middel van een bundel en een misleidend of onschuldig ogend bestand is derhalve in strijd met artikel 4.1 van het Bude.

Een botnet is een netwerk van op het internet aangesloten computers. Deze zijn geïnfecteerd met kwaadaardige software waardoor een derde (de botherder) de controle over de geïnfecteerde computers kan overnemen. Plaatsing door middel van botnets betekent derhalve naar haar aard dat de eindgebruiker in het geheel niet wist dat de software werd geplaatst en dat de eindgebruiker dus ook nooit voldoende kon worden geïnformeerd. Op basis van de uitgebreide chatlogs tussen eisers (meestal [naam2], een pseudoniem van Y) en de affiliates, zoals deze uit verweerders onderzoek naar voren komen, kan de conclusie worden getrokken dat botnets werden gebruikt voor de verspreiding van de DollarRevenue-software. Bovendien bevestigen de klachten het gebruik van de botnets als installatiemethode. Nu bij deze installatiemethode naar haar aard geen EULA/informatie werd getoond en geen adequate weigeringsmogelijkheid werd geboden, heeft ook de plaatsing van de DollarRevenue-software door middel van botnets in strijd met artikel 4.1 van het Bude plaatsgevonden.

De rechtbank stelt daarnaast vast dat uit het onderzoeksrapport genoegzaam blijkt dat voor de verspreiding van de DollarRevenue-software tevens gebruik is gemaakt van exploits. Een exploit is een kwaadaardig programma, dat een kwetsbaarheid in een software product misbruikt om binnen te dringen op een computer. Aangezien ook deze methode (naar haar aard) met zich brengt dat eindgebruikers niet over de doeleinden van de software werden geïnformeerd of dat eindgebruikers geen adequate weigeringsmogelijkheid werd geboden, volgt ook hieruit dat daarmee in strijd werd gehandeld met artikel 4.1 van het Bude.

Gelet op al hetgeen hiervoor onder 2.4.2 is overwogen is de rechtbank van oordeel dat onomstotelijk vast staat dat bij de hierbovengenoemde installatie(s)(methoden) van de DollarRevenue software op computers van eindgebruikers artikel 4.1, eerste lid, van het Bude (een groot aantal maal) is overtreden. Van een overtreding was zowel sprake in de situatie dat de (reguliere) downloader werd geplaatst met verwijzing naar de EULA als in de situatie waarin de (silent) downloader, de loader.exe en de advertentiebundel werden geplaatst zonder verwijzing naar een EULA en evenmin een (kenbare) mogelijkheid werd geboden de installatie van de downloader te weigeren.

Bevoegdheid verweerder

Volgens eisers miskent verweerder dat artikel 4.1 van het Bude niet dient ter bescherming van abonnees/gebruikers van aanbieders van elektronische communicatiediensten die niet in Nederland actief zijn. In ieder geval kan deze bepaling nooit verder reiken dan de Europese eindgebruikers, nu het artikel een implementatie is van de Privacyrichtlijn e-communicatie, welke richtlijn niet beoogt de eindgebruikers in bijvoorbeeld de Verenigde Staten of Australië te beschermen. Nu het overgrote deel van de installaties buiten Nederland en de EU plaats heeft gevonden, kunnen deze installaties ( in zoverre) niet als een overtreding van het Bude worden beschouwd, aldus eisers.

Naar het oordeel van de rechtbank richt de norm, zoals neergelegd in artikel 4.1 van het Bude, zich tot een ieder die zich in Nederland bevindt. Hoewel de bepaling zich niet expliciet uitspreekt over de (locatie van de) eindgebruiker op wiens computer software wordt geinstalleerd, kan de wetgever niet hebben beoogd toe te staan om vanuit Nederland malware te verspreiden op computers van eindgebruikers die zich buiten Nederland dan wel buiten de EU bevinden. De tekst van de wet noch de toelichting biedt enig aanknopingspunt voor de opvatting van eisers dat verweerder zich had moeten beperken tot de installaties in Nederland dan wel de EU. De in artikel 1.1, aanhef en onder n, p en g, van de Tw gegeven definities van abonnee, gebruiker en openbare telecommunicatiedienst bieden geen steun voor deze beperkte interpretatie van artikel 4.1 van het Bude.

Artikel 4.1 van het Bude normeert in ieder geval alle gedragingen die in of vanuit Nederland zijn verricht, zoals de Privacyrichtlijn e-communicatie gedragingen wil normeren die in of vanuit de Europese Unie zijn verricht. Vast staat dat de servers van DollarRevenue zich in Nederland bevonden en dat eisers via de server vanuit Nederland herhaaldelijk toegang wensten te verschaffen en hebben verschaft tot computers van eindgebruikers om gegevens op te halen en te plaatsen.

Voorts wijst de rechtbank erop dat uit de formulering van artikel 4.1 van het Bude volgt dat niet zozeer de geografische locatie van de feitelijke plaatsing of het daadwerkelijk ophalen van openbare gegevens van belang is maar dat het toegang tot gegevens wensen te verkrijgen en het gegevens wensen op te slaan door middel van elektronische communicatiediensten centraal staat. Wat er overigens verder ook zij van de geografische locatie van de computers van eindgebruikers, het plaatsen van en toegang verkrijgen tot gegevens heeft vanuit Nederlands grondgebied plaatsgevonden. Daarmee is verweerders bevoegdheid om op te treden een gegeven.

Overtreders

DollarRevenue heeft betoogd enkel als intermediair te fungeren tussen adverteerders en affiliates die gebruik wilden maken van de door DollarRevenue aangeboden softwarepakket om hun inhoud te sponsoren. Op grond van de met hen gesloten overeenkomst diende de affiliate altijd de gebruiker te informeren over de doeleinden van de aangeboden software en hem een mogelijkheid te bieden de installatie te weigeren. Op grond hiervan acht DollarRevenu zich niet verantwoordelijk voor de overtredingen door de affiliates waarmee zij een overeenkomst heeft gesloten. Dit betoog kan naar het oordeel van de rechtbank niet slagen.

DollarRevenue is als samenwerkingsverband opgezet om advertentiesoftware op computers van eindgebruikers te plaatsen en zodoende inkomsten te genereren. Hoe meer reclamesoftware kon worden geplaatst, des te meer inkomsten de bij DollarRevenue betrokkenen konden genereren. DollarRevenue was, zo blijkt uit de door verweerder naar voren gebrachte feiten, voortdurend bezig de advertentiesoftware en de downloaders zo aan te passen dat deze op zoveel mogelijk computers konden worden geplaatst. DollarRevenue heeft zelf de downloader, inclusief een silent versie, geprogrammeerd en heeft deze tegen betaling door affiliates laten verspreiden. Het samenwerkingsverband DollarRevenue was dan ook gebaseerd op de wens toegang te verkrijgen tot en gegevens op te slaan in de randapparatuur van de eindgebruikers. Daarmee was DollarRevenu geenszins een intermediair doch behoorde zij bij uitstek tot degenen tot wie de norm van artikel 4.1 van het Bude zich richt.

In navolging van de overwegingen onder 2.4.2.1 en 2.4.2.2 volgt de rechtbank eisers verder niet in hun standpunt dat verweerder ten onrechte een extensieve interpretatie van de woorden “een ieder” in artikel 4.1 van het Bude bezigt. Verweerder heeft terecht vastgesteld dat DollarRevenue in ieder geval ook “verantwoordelijke” in de zin van artikel 5, derde lid, van de Privacyrichtlijn e-communicatie in samenhang met artikel 2, onderdeel d, van die richtlijn is en daarmee “tezamen met anderen (affiliates)” degene is tot wie de norm zich richt. De terminologie "wenst te" maakt duidelijk dat de norm niet beperkt is tot affiliates, maar zich ook uitstrekt tot degene in wiens opdracht software op computers van derden wordt geplaatst.

Voorts kan de verplichting om een wettelijk voorschrift na te leven niet door het sluiten van een overeenkomst met een derde teniet worden gedaan. Daarnaast kan het de affiliates in veel gevallen niet duidelijk zijn geweest welke advertentieprogramma's de door DollarRevenue aangeleverde downloader op de computer van de eindgebruikers plaatste. Immers, ook in de EULA van DollarRevenue werd slechts een klein deel van de geplaatste advertentiesoftware beschreven terwijl de samenstelling van de advertentiebundel van tijd tot tijd wisselde. Onder die omstandigheden konden de affiliates eenvoudigweg niet voldoen aan de in de overeenkomst opgenomen informatieverplichting.

Overigens is de rechtbank verder van oordeel dat eisers hun stelling, dat met elke affiliate rechtsgeldig een overeenkomst is gesloten en dat DollarRevenue daarom geen verwijt kan worden gemaakt - waarmee zij expliciet een beroep doen op een schulduitsluitingsgrond, te weten afwezigheid van alle schuld (AVAS) - onvoldoende hebben onderbouwd dan wel aannemelijk hebben gemaakt. Eisers hebben niet aannemelijk gemaakt dat zij de naleving van de overeenkomst zodanig hebben afgedwongen dat hen geen verwijt kan worden gemaakt. Eisers hebben bewust de aanmerkelijke kans aanvaard dat de affiliates zich niet aan de overeenkomst zouden houden en hebben (blijkens het onderzoeksrapport) in sommige gevallen affiliates zelfs aangespoord de downloader te plaatsen op een wijze die was uitgesloten in de overeenkomst en die in strijd was met artikel 4.1 van het Bude. Bovendien staat vast dat DollarRevenue niet alleen de affiliates opdracht heeft gegeven de door haar ontwikkelde downloader te plaatsen, maar dat zij eveneens zelf software op computers van eindgebruikers heeft geplaatst. Voorts staat vast dat door middel van de always install-methode reclamesoftware van B op de computers van eindgebruikers is geplaatst. Ook in die gevallen waren het niet de affiliates die in opdracht van eisers software plaatsten, maar gebeurde dat door (de servers van) DollarRevenue zelf.

Rol verschillende eisers

Gelet op al hetgeen hiervoor is overwogen staat vast dat bij de plaatsing van software bij eindgebruikers onder de naam DollarRevenue de verplichtingen van artikel 4.1, eerste lid, van het Bude meermalen zijn overtreden. Met betrekking tot het standpunt van verweerder dat de geconstateerde overtredingen door eisers gezamenlijk zijn uitgevoerd (werkzaamheden en gedragingen) op grond van een (bewuste) samenwerking, zodat zowel A, B en C als X en Y hiervoor zelfstandig beboetbaar zijn, overweegt de rechtbank het volgende.

De rechtbank is in de eerste plaats van oordeel dat, anders dan eisers aanvoeren, de bewijsvoering in het onderzoek (voldoende) specifiek is toegesneden op de rol van de individuele natuurlijke personen en de rechtspersonen, zoals blijkt uit hoofdstuk 5 van het Boeterapport.

De rechtbank wijst er in dit kader op dat in de rechtspraak van de bestuursrechter over daderschap wordt aangesloten bij het strafrechtelijke systeem. Zo wordt ook in de bestuursrechtelijke jurisprudentie, zie onder meer de uitspraak van de rechtbank Rotterdam van 15 juli 2002, LJN AE8111, aangenomen dat functionele daders als overtreders kunnen worden aangemerkt aan wie een sanctie kan worden opgelegd.

In casu is bepalend of eisers ieder zelfstandig een essentiële rol vervulden in het kader van het opzetten en uitvoeren van DollarRevenue en dat zij ieder voor zich toegang wensten te verkrijgen tot en gegevens wensten op te slaan in de randapparatuur van abonnees of gebruikers.

DollarRevenue is een handelsnaam van de rechtspersoon A en betreft een samenwerkingsverband, zonder rechtspersoonlijkheid, tussen de rechtspersonen A, B en C. Deze rechtspersonen deden op basis van vertrouwen zaken. Er zijn geen afspraken over DollarRevenue op schrift gesteld. Wel is op de computer van Y een document met de naam “documentnaam” aangetroffen. Op het voorblad van het document staan de logo’s van C, A, en B.

De rechtbank is van oordeel dat, zoals mede blijkt uit het strategiedocument 2006, A kan worden gezien als een belangrijke schakel in het samenwerkingsverband van DollarRevenue. Zij bepaalde in theorie de strategie, voerde de financiële administratie, was de eigenaar van de handelsnaam en het programma DollarRevenue en heeft de EULA opgesteld. Zij wenste door middel van DollarRevenue toegang te verkrijgen en gegevens op te slaan in randapparatuur van abonnees of gebruikers. De activiteiten van A waren in vergaande mate afgestemd op het bereiken van dit doel. Het lag dan ook op haar weg om aan de verplichtingen van artikel 4.1 van het Bude te voldoen. Naar het oordeel van de rechtbank kan verweerder A, nu zij dat heeft nagelaten, daarvoor beboeten.

Anders dan eisers betogen, kan de samenwerking tussen hen niet worden afgedaan als uitsluitend een relatie van opdracht tussen (de bestuurder van) A als opdrachtgever en (de bestuurder van) B als uitvoerder en ondergeschikte. De rol van in ieder geval B bij de opzet en de uitvoering van DollarRevenue wordt daarmee te kort gedaan. Het “document” acht de rechtbank een duidelijk en overtuigend voorbeeld van de verwevenheid tussen A en B. Uit het onderliggende feitenmateriaal, gepresenteerd in het onderzoeksrapport, blijkt dat Y/B:

Boetetoemeting

Bij het vaststellen van de boete heeft verweerder zich gebaseerd op de Boetebeleidsregels. Een overtreding van artikel 4.1 van het Bude wordt daarbij als een minder zware overtreding gekwalificeerd. Deze indeling is relatief en dient primair als uitgangspunt bij de vaststelling van de ernst van de overtreding en bijgevolg de hoogte van de boete.

Gelet op al hetgeen hiervoor is overwogen is vast komen te staan dat een uitzonderlijk hoog aantal eindgebruikers door de overtredingen met betrekking tot installatie van de DollarRevenue software middels diverse (misleidende) installatietechnieken daadwerkelijk in ernstige mate in hun belangen zijn geschaad. Op internet zijn daarover talloze klachten geuit. Ter zitting heeft verweerder middels een presentatie aangetoond wat installatie van de DollarRevenue-software met de computer van de eindgebruiker doet. Zichtbaar is geworden hoe de eindgebruiker hierdoor de controle over zijn computer verliest. Voorts is de software technisch ingewikkeld en alleen met deskundige hulp te verwijderen. De economische schade die de installatie van DollarRevenue op vele miljoenen computers heeft veroorzaakt is dan ook groot. Daarnaast hebben eisers bewust het reële risico aanvaard dat affiliates, waarvan bekend was dat sommigen een dubieuze reputatie in het internet(handels)verkeer hadden, zich niet aan de afspraken zouden houden om zo veel mogelijk installaties en daarmee commissie te genereren. Zij waren bekend, en zelfs akkoord, met verspreiding via misleidende methodes en botnets. Ook de duur van de overtreding, meer dan een jaar, is als lang te kwalificeren.

Op grond van deze feiten en omstandigheden en de aard van de overtredingen volgt de rechtbank verweerder in zijn beoordeling dat er in het onderhavige geval sprake is van ernstige overtredingen.

De rechtbank gaat niet mee in het betoog van eisers dat zij niet-verwijtbaar hebben gehandeld op grond van onbekendheid met de norm van artikel 4.1 van het Bude. Naast het feit dat een ieder geacht wordt de wet te kennen, hebben eisers er op geen enkele wijze blijk van gegeven zich van professioneel (juridisch) advies te hebben laten voorzien of verweerder om een (juridisch) oordeel te hebben gevraagd over de toelaatbaarheid of invulling van de norm. Eisers hebben de grenzen van de wet opgezocht en daarmee bewust het risico van wetsovertreding aanvaard. Eisers hebben als professionele internetondernemers de gevolgen van hun gedragingen in redelijkheid kunnen overzien. Er is dus geen aanleiding om eisers van de overtredingen geen of in mindere mate verwijt te maken.

Het feit dat eisers zich niet op hun zwijgrecht hebben beroepen, kan naar het oordeel van de rechtbank niet worden aangemerkt als een verdergaande medewerking dan wettelijk is voorgeschreven. Dit is dan ook niet aan te merken als een boeteverlagende omstandigheid. Dit geldt tevens voor het per direct staken van de activiteiten. Alleen door ingrijpen van de toezichthoudende ambtenaren, en dus niet uit eigen beweging, zijn de overtredingen gestaakt.

De bandbreedte van de boetecategorie (ernstige overtredingen) bestrijkt volgens de Boetebeleidsregels € 0 tot maximaal € 300.000,-. In het licht van de maximaal op te leggen boete acht de rechtbank de vastgestelde boete van in beginsel € 200.000,-, alle hiervoor weergegeven relevante feiten en omstandigheden in aanmerking genomen, niet onevenredig ten opzichte van de begane overtreding(en).

Gelet hierop is de rechtbank van oordeel dat verweerder bij het bestreden besluit de aan A opgelegde boete van € 200.000,- wegens strijd met artikel 4.1 van het Bude terecht heeft gehandhaafd.

Anders dan eisers stellen, heeft verweerder de door hen tijdens de duur van de activiteiten behaalde winst van € 1.356.807,06 terecht betrokken bij het vaststellen van de hoogte van de boete. In de Boetebeleidsregels wordt er immers expliciet op gewezen ‘dat in elke individuele situatie rekening wordt gehouden met de specifieke relevante omstandigheden van het geval, zoals (. . .) het behaalde voordeel’.

Conclusie

Uit het voorgaande volgt dat het bestreden besluit voor vernietiging in aanmerking komt, voor zover dit ziet op de boetes opgelegd aan C en X. Het beroep tegen het bestreden besluit dient gelet hierop in zoverre gegrond te worden verklaard. De rechtbank ziet aanleiding zelf in de zaak te voorzien en het primaire besluit in zoverre te herroepen. Het bestreden besluit kan standhouden voor zover dit ziet op de aan A, B en Y opgelegde boetes.

Ten slotte ziet de rechtbank aanleiding verweerder te veroordelen in de kosten die X en C tezamen in verband met de behandeling van het beroep tot aan deze uitspraak redelijkerwijs hebben moeten maken, alsook in de kosten in verband met de behandeling van het bezwaar. De rechtbank bepaalt de proceskosten, uitgaande van het gewicht ‘zeer zwaar’, zowel in beroep als in bezwaar op € 1.288,- aan kosten van door een derde beroepsmatig verleende rechtsbijstand, derhalve in totaal op € 2.576,-.

De rechtbank,

recht doende:

verklaart het beroep gegrond, voor zover dat ziet op het aanmerken en beboeten van X en C als overtreders van artikel 4.1 van het Bude,

vernietigt het bestreden besluit in zoverre en herroept het primaire besluit in zoverre,

verklaart het beroep voor het overige ongegrond,

bepaalt dat verweerder aan X en C het door hun betaalde griffierecht van (in totaal) € 288,- vergoedt,

veroordeelt verweerder in de proceskosten van X en C tezamen, in beroep en in bezwaar, tot een bedrag van in totaal € 2.576,-.

Aldus gedaan door mr. J.H. de Wildt, voorzitter, en mr. M. Schoneveld en

mr. J. Luijendijk, leden, in tegenwoordigheid van mr. A. Vermaat, griffier.

De griffier: De voorzitter:

Uitgesproken in het openbaar op: 3 februari 2010.

Afschrift verzonden op:

Een belanghebbende - onder wie in elk geval eisers worden begrepen - en verweerder kunnen tegen deze uitspraak hoger beroep instellen bij het College van Beroep voor het bedrijfsleven, Postbus 20021, 2500 EA 's-Gravenhage. De termijn voor het indienen van het beroepschrift is zes weken en vangt aan met ingang van de dag na die waarop het afschrift van deze uitspraak is verzonden.

NB. In deze uitspraak is het beroep (deels) gegrond verklaard en is het bestreden besluit vernietigd. Als de rechtbank daarbij gronden van het beroep en/of (een deel van) de grondslag van het bestreden besluit uitdrukkelijk heeft verworpen en belanghebbende en/of verweerder daarin niet wil(len) berusten, moet daartegen binnen bovengenoemde termijn hoger beroep worden ingesteld.