Twee voorstellen voor verordeningen

In een eerder artikel schreef ik al over de Verordening Digitale Markten (DMA), één van de twee hefbomen van de tang waarmee de Europese Commissie de digitale markt wil beschermen én doen groeien. In dit artikel bespreek ik de tweede hefboom, de Verordening Digitale Diensten, beter bekend onder de Engels naam Digital Services Act (DSA).

Richtlijn inzake elektronische handel (2000)

De DSA is bedoeld als een aanvulling op de Richtlijn inzake elektronische handel uit 2000. Deze richtlijn is in Nederland geïmplementeerd in het boek 6 van het Burgerlijk Wetboek. De relevante wetsartikelen bepalen (onder andere):

• de regels die gelden bij totstandkoming van overeenkomsten langs elektronische weg (grotendeels opgenomen in afdeling 2b van boek 6 BW, bijvoorbeeld via een webshop);
• informatieverplichtingen van de dienstverleners in de informatiemaatschappij (identiteit en (elektronisch) adres, afdeling 2a van boek 6 BW); en
• de aansprakelijkheid van dienstverleners die slechts als een soort tussenpersoon functioneren (bijvoorbeeld providers, afdeling 4a van boek 6 BW).

Web 2.0

Inmiddels zijn we een twintig jaar verder en moest de richtlijn hoognodig geüpdatet worden. In die twintig jaar is internet veranderd van een medium waar gebruikers passief informatie konden vergaren naar een interactief medium waar gebruikers vaak zelf de auteurs van content zijn. Denk daarbij aan social media en videodeelsites.

Tot voor kort werd dit Web 2.0 genoemd. Veel van die diensten worden gratis aangeboden, en dan geldt meestal de regel: waar zaken gratis zijn, is de gebruiker het product. De Algemene Verordening Gegevensbescherming is de eerste reactie van de Europese Unie op deze ontwikkeling. Het boek van Shoshana Zuboff  (the age of surveillance capitalism, 2019) maakte echter duidelijk dat deze ontwikkeling ook andere grondrechten dan alleen privacy betreft, zoals de vrijheid van meningsuiting. Een derde bijkomend probleem is dat de overvloed van door gebruikers gegenereerde informatie niet altijd betrouwbaar is. Internet is inmiddels verworden tot veruit de grootste bron van nepnieuws, racisme, seksisme, haatzaaien en dergelijke. De coronacrisis en de oorlog in Oekraïne maakten dat op pijnlijke wijze duidelijk.

User-generated content: de Digital Services Act (DSA)

De Europese Unie wil met de DSA platforms, die door gebruikers gemaakte informatie openbaar maken, reguleren. Denkt u daarbij aan grote spelers als Meta (Facebook) Google (Youtube), of – in Nederland – GeenStijl (via de comments) en Dumpert (video-uploads). De DSA kijkt dus naar de markt voor “user generated content”. Daarmee worden internetdiensten bedoeld die de door gebruikers geleverde informatie via een openbaar toegankelijk platform worden verspreid.  De DSA voor alle aanbieders van digitale diensten, dus, onafhankelijk van de vraag of ondernemingen nu groot of klein zijn. Wel kent de DSA weer extra verplichtingen voor grote spelers.  De regel is: hoe groter het platform, hoe meer verantwoordelijkheid voor de aanbieder van het platform.

Aansprakelijkheid aanbieders van internetdiensten

De DSA handhaaft het aansprakelijkheidsregime voor aanbieders van internetdiensten dat eerder door Richtlijn inzake elektronische handel was geïntroduceerd. Ook het onderscheid tussen het enkel doorgeven van data (mere conduit, zoals de internettoegangsdienst), het tijdelijk opslaan van data om sneller toegang daartoe te krijgen (caching) en het opslaan van data (hosting, zoals hostingbedrijven van websites) blijft gehandhaafd. Dus?

Dit onderscheid is van belang bij het bepalen van de verantwoordelijkheid van de aanbieder. Wanneer er sprake is van onrechtmatige informatie (bijvoorbeeld beledigende berichten) of inhoud die inbreuk maakt op intellectueel eigendomsrechten van een ander (sites die het illegaal downloaden van films en muziek mogelijk maken), dan is de aanbieder van een mere conduit-dienst  (bijvoorbeeld vrije wifitoegang op een terras) in principe niet aansprakelijk zolang deze aanbieder echt alleen als doorgeefluik heeft gefunctioneerd.

Een hostingprovider daarentegen is geen doorgeefluik: hij slaat immers de gegevens echt op. Een hostingprovider moet daarom de opgeslagen bestanden en/of informatie op eerste verzoek (maar na eigen onderzoek) meteen verwijderen.

Verplichtingen voor aanbieders van internetdiensten

De DSA bevat voor alle aanbieders een aantal verplichtingen:

• Iedere aanbieder moet een “notice and takedown”-mechanisme hebben zodat derden de aanbieder op eenvoudige wijze kunnen berichten over illegale inhoud op de dienst (artikel 14 DSA);
• Aanbieders moeten de betrokken gebruikers van hun dienst gemotiveerd informeren waarom zij de inhoud verwijderen, zodat de betrokken gebruikers weten waartegen zij (mogelijk) moeten ageren (artikel 15 DSA);
• Aanbieders moeten met voorrang reageren op de kennisgevingen van zogenaamde “trusted flaggers”. Dit zijn organisaties die een bewezen staat van dienst hebben als het gaat om het tegengaan van illegale inhoud (artikel 19 DSA);
• Aanbieders moeten aangifte doen bij de bevoegde autoriteiten als er sprake is van bepaalde, zeer ernstige en strafbare feiten (artikel 21 DSA);
• Aanbieders moeten maatregelen nemen om het frequent verspreiden van duidelijk illegale inhoud tegen te gaan (artikel 20 DSA). Wat die maatregelen precies moeten zijn, wordt echter niet duidelijk gemaakt;
• Aanbieders die een platformdienst exploiteren waar overeenkomsten op afstand tot stand komen, zijn verplicht ervoor te zorgen dat de handelaren op het platform zijn te traceren (artikel 22 DSA).

Wat betekent de DSA voor MKB-bedrijven?

Voor ICT-bedrijven die een hostingdienst aanbieden, gaat de DSA dus de nodige nieuwe verplichtingen met zich meebrengen. Maar ook iedere ondernemer die een internetplatform exploiteert waar gebruikers zelf inhoud kunnen publiceren zal met de nieuwe verplichtingen uit de DSA worden geconfronteerd.

Big Tech in de tang?

Voor zeer grote aanbieders (meer dan 45 miljoen gebruikers) kent de DSA nog verdergaande verplichtingen. Zo bevat de DSA voorschriften voor verplichte onafhankelijke audits, voor transparantie van het algoritmen voor aanbevelingssystemen, en een verbod om misleidende of manipulatieve technieken te gebruiken.

Het Europees parlement is al akkoord gegaan met zowel de DSA als de DMA. Het is nu aan de Raad van de Europese Unie waarin de individuele lidstaten van de Europese Unie vertegenwoordigd zijn. Als de Raad instemt met de voorstellen, dan is de verwachting dat het nog een maand of 15 duurt voordat de voorstellen van kracht zullen zijn.

Met de gelijktijdige introductie van DSA en DMA lijkt de Europese Commissie Big Tech vast te willen nemen in een tangbeweging. Zal de Europese tang sterk genoeg zijn om Big Tech onder controle te houden? De boetes die aanbieders opgelegd kunnen worden zijn in ieder geval fors (6% van de wereldwijde omzet). De toekomst zal uitwijzen of de Europese Unie Big Tech nu echt in de tang heeft!

Heeft u vragen over aansprakelijkheid van internetdiensten, onrechtmatige publicaties, ICT-recht en/of privacy, neemt u dan contact met mij op: 045 – 57 41 488 | 06 139 37 903 | s.blommendaal@ruttenwelling.nl