Spam, spammer,... Analyse van het recht en de techniek rond elektronische ongevraagde commerciële communicatie, in het bijzonder via

Transcriptie

1 Spam, spammer,... Analyse van het recht en de techniek rond elektronische ongevraagde commerciële communicatie, in het bijzonder via A.R. Lodder H.W.K. Kaspersen M. Briët D.F. Groenevelt M.C. Steeman C. Suen Computer/Law Institute Vrije Universiteit Amsterdam i

2

3 Voorwoord Dit ITeR-onderzoek is uitgevoerd aan het Computer/Law Institute van de Vrije Universiteit door A.R. Lodder en H.W.K. Kaspersen. De overige auteurs, M. Briët, D.F. Groenevelt, M.C. Steeman en C. Suen allen als student-assistent werkzaam (geweest) aan hetzelfde instituut. De eerste twee genoemden waren als speciale spam student-assistenten bij het onderzoek betrokken, de laatste twee hebben hebben belangrijke tekstbijdragen geleverd. Het onderzoek is uitgevoerd in de periode , met name in de eerste helft van Voorafgaand aan 2003 zijn enkele annotaties verschenen in JAVI en Computerrecht (Lodder) en een artikel in het NJB (Lodder & Bergfeld). Omdat behalve deze indirecte input Jan Peter Bergfeld verder niet bij het onderzoek betrokken is geweest, is hij niet als auteur vermeld. Het in dit onderzoek gebruikte bestaande materiaal is vrijwel overal zeer grondig herzien en aangepast aan de actualiteit. Het onderzoek is per 1 augustus 2003 afgesloten. De behandeling in de Tweede Kamer van de implementatie Richtlijn 2002/58/EG en Richtlijn 2000/31/EG zijn derhalve niet meegenomen. 1 De behandeling heeft overigens niet tot ingrijpende wijzigingen aanleiding gegeven. 2 Na afronding van het rapport heeft onze collega Paul Huygen nuttige suggesties ter verbetering van hoofdstuk 4 gedaan en daarbij zelfs stukken geherstructureerd en enkele nieuwe teksten aangedragen. Wij danken hem hiervoor zeer hartelijk. Vlak voor het afsluiten van het onderzoek op 23 juni 2003 opperde Weisglas tijdens de behandeling van de Raming uitgaven en ontvangsten voor de Tweede Kamer 2004 : Als spam de zaak doet vastlopen, dan worden er maatregelen genomen. Zo simpel is het natuurlijk niet, maar zo simpel is het ook weer wel. (...) Als de zaak vastloopt, moet dat zoals iedere andere storing opgelost worden. Dus dan zet je er een spamfilter op. 3 Het voorliggende onderzoek zal duidelijk maken dat het allemaal veel minder eenvoudig is dan door de Kamervoorzitter gesteld. Amsterdam, januari 2004 Arno R. Lodder Rik Kaspersen Menno Briët Douwe Groenevelt Marcel Steeman Celine Suen 1 Zoals bijvoorbeeld de amendementen van Van Dam (Kamerstukken II 2003/ , nrs. 14, 15, 16, 18 en 42) en Blok (Kamerstukken II 2003/ , nrs. 17, 40, 49). 2 Aangenomen zijn de amendementen 14, 15 en 17 (Kamerstukken II 2003/ , nr. 50). 3 Handelingen II, 2002/03, nr. 82, p iii

4

5 Voorwoord... iii 1. Inleiding Spam en andere ongevraagde communicatie De betrokken partijen De maatschappelijke discussie Recente geschiedenis Onderwerp van dit onderzoek Opbouw van deze studie Het verschijnsel spam Drie kenmerkende eigenschappen van spam Definities van spam Oorsprong begrip spam Technische varianten op spam Virussen en wormen Jokes, hoaxes (nepvirusmeldingen) en forwards (elektronische kettingbrieven) IT-aspecten van spam Hoe werkt ? Massavergaring van adressen en bulkverzending Spyder server detector Send-safe mailer catcher&sender Power Harvester Bemoeilijken traceerbaarheid Bulk met een dynamisch IP-adres Open mail relays Blind open mail relays Open proxyservers Technische maatregelen tegen de doorgifte en de ontvangst van spam Maatregelen op gebruikersniveau Beschermen van adressen Handmatig filteren Automatische filters Slot Maatregelen op het niveau van de Internet Service Provider Versturen van spam beperken Tarpitting Filterprogramma s Honey pots Domein naam controle Verzenders Conclusie Regulering van spam: Europese Richtlijnen en Nederlandse wetgeving Inleiding De rol van de ISP De Wbp Twee privacyaspecten Toepasbaarheid van de Wbp Het vergaren van adressen door de spammer Conclusie De Telecommunicatiewet en boek 7 BW Wetsvoorstel elektronische handel (Richtlijn 2000/31/EG) Wetsvoorstel: Richtlijn 2002/58/EG De opt-in regeling, artikel 13 lid De opt-out regeling, artikel 13 lid 2 (soft opt-in) v

6 5.6.3 Overige bepalingen Implementatie in nationale wetgeving Artikel 11.7 voorstel wijziging Telecommunicatiewet Wijziging van het Burgerlijk Wetboek en de Wet Economische Delicten Wetsvoorstel: Richtlijn 2002/65/EG Totstandkoming Spam regulering in 2002/65/EG Wetsvoorstel Tw Strafrechtelijke bepalingen Vergaren van adressen Spam-berichten Slot Nederlandse rechtspraak XS4ALL vs. Ab.fab Spoedeisend karakter Vervoersplicht en toepasselijkheid voorwaarden XS4ALL De Telecommunicatiewet De Wbp Hinder en omgekeerde groepsaansprakelijkheid Slotopmerking Staat vs. Rath Matthias Rath c.s Spoedeisend karakter Jurisdictie Vrijheid van meningsuiting Commercieel karakter Privacy Hinder Netwise vs NTS Slotopmerkingen Verenigde Staten: wetgeving en rechtspraak Common Law en Spam Trespass to chattels Overige Common Law theorieën Slot Federale wetgeving - algemeen Computer Fraud and Abuse Act Federal Trade Commission Act Telephone Consumer Protection Act Slot Wetgeving op statelijk niveau Inhoud van de statelijke wetgeving: overeenkomsten en verschillen Effectiviteit van de statelijke wetgeving Federale anti-spam wetgeving Federale anti-spamwetgeving zinvol? De toekomst van spam in de USA Zelfregulering Elektronische handel en zelfregulering Wetgeving Elektronische Snelweg: georganiseerde doelgroepen DMSA EMMA-nl Thuiswinkel.org en ECP.NL Conclusie vi

7 9. Spam nader beschouwd Enge definitie spam: Ongevraagd: concrete en abstracte verzoeken Ruime definitie en nadere inperking Abonnees, consumenten, afnemers van elektronische diensten: opt-in for all? Spam anders dan via Ruime definitie spam: elektronische communicatie Conclusies Spam, spammer, de bevindingen Verbod van spam en de vrijheid van meningsuiting Strafrecht? Opt-in De juridische toelaatbaarheid van filters Vragenlijst verzender Internationale aanpak De omvang van verleende toestemming Overlaten aan de markt De trechter Aanbevelingen De kern Spam dient ruim te worden opgevat Watermerk en aanpassing protocol Overige aanbevelingen Voorlichting Collectieve opt-out door lidstaten EU in onder andere Amerika Online geschillenoplossing Agents Slot Literatuur Bijlage 1 - Relevante artikelen uit Europese richtlijnen en Nederlandse wetgeving Wet bescherming persoonsgegevens Boek 3 BW Telecommunicatiewet Richtlijn 2000/31/EG inzake elektronische handel Richtlijn 2002/58/EG betreffende privacy en elektronische communicatie Richtlijn 2002/65/EG inzake financiele overeenkomsten op afstand) Bijlage 2 Praktijkonderzoek Inleiding Deel 1 Algemene, feitelijke analyse De categorieverdeling Algemene analyse Conclusie Deel 2 Juridische analyse Inleiding Toelichting bij de verplichtingen Resultaat Toelichting per categorie Totaal Conclusie Tabellen Tabel 1: Dienstentabel Tabel 2: Onderzoekstabel Tabel 3: Opt-out tabel Bijlage 3 Monty Python s SPAM vii

8 1. Inleiding 1.1 Spam en andere ongevraagde communicatie Dit onderzoek gaat over ongevraagde, elektronische commerciële communicatie, 4 kortweg veelal aangeduid als spam. Ongevraagde commerciële communicatie is van alle tijden, pogingen van potentiële ontvangers te voorkomen dat zij benaderd worden ook. Aan de huisdeur van vroeger bevond zich vaak een bordje met de mededeling Aan de deur wordt niet gekocht, een voldoende duidelijke aanwijzing voor stofzuigerverkopers en ander ongeregeld handelsvolk om dat huisnummer maar over te slaan of in voorkomende gevallen een krachtig argument om eventuele discussies te beëindigen. In hoeverre de vroeger ook frequent aangetroffen mededeling Ongevraagd drukwerk wordt niet teruggegeven een remmende invloed op de bezorging van reclamedrukwerk heeft gehad, is de auteurs niet bekend. Wel kan men constateren dat de meer modernere variant ervan in de vorm van de Nee/Nee of Nee/Ja-sticker een redelijke garantie vormt om geen ongeadresseerd reclamedrukwerk te ontvangen. Inzake geadresseerd reclamedrukwerk was het tot het faillissement van de DMSA (Nederlandse Associatie voor Direct Marketing, Distance Selling and Sales Promotion) eind oktober 2002 mogelijk zich te registreren via het speciale antwoordnummer 666 in Amsterdam. Met betrekking tot telefonische colportage stelde de DMSA een gratis telefoonnummer ter beschikking, alwaar men kon aangeven geen prijs te stellen op telefonische aanbiedingen. Een systeem waarbij de potentiële ontvanger aangeeft dat hij of zij geen prijs stelt om via genoemde communicatievormen te worden benaderd, en waarbij de verzender dat respecteert, omschrijft men wel met de term opt-out. Ook voor spam (door de DMSA edm, electronic Direct Marketing genoemd) werd door de DMSA een optout register bijgehouden. 5 De bedrijven die bij de DMSA aangesloten waren naar verluid 80% van de branche- onthielden zich van het benaderen van geregistreerden. 6 Het voordeel van een centraal opt-out register zoals dat van de DMSA is evident. De ontvanger hoeft zich niet bij iedere individuele marketeer van wie hij ongevraagde communicatie ontvangt af te melden, maar volstaan kan worden met één afmelding bij het centrale opt-out register. In aanvulling op de registers per communicatiemiddel (post, telefoon, ) is rond de zomer van 2002 door de DMSA gelijktijdige inschrijving in deze drie registers via internet mogelijk gemaakt. Gedurende de surseance van betaling van DMSA en na het uitspreken van het faillissement werden deze bestaande registers via het internet 4 De term commerciële communicatie is terug te vinden in art. 3:15e lid 3 BW en wordt omschreven als: elke vorm van communicatie bestemd voor het direct of indirect promoten van de goederen, diensten of het imago van een onderneming, organisatie of persoon, die een commerciële, industriële of ambachtelijke activiteit of een gereglementeerd beroep uitoefent. Zie voorstel voor aanpassingswet richtlijn 2000/31/EG inzake de elektronische handel, Kamerstukken II 2001/02, , nrs. 1-2, p. 3. De definitie is gebaseerd op art. 2(f) van genoemde richtlijn. 5 < thans < Een vergelijkbare dienst wordt aangeboden via bijvoorbeeld < 6 Kamerstukken II 1999/2000, , nr. 5, p. 14.

9 beschikbaar gehouden. De opvolger van de DMSA, de DDMA, beheert inmiddels dit register onder de naam Infofilter 7. Het zal aanstonds duidelijk zijn dat de meeste SPAM die internetgebruikers in hun boxen aantreffen niet afkomstig is van marketingorganisaties die tot de DMSA of zijn opvolger behoren. Duidelijk is ook dat er aan de kant van de ontvangers een behoefte bestaat niet te worden lastiggevallen met berichten waar zij niet om hebben gevraagd. Hoe dit in een internationale context kan worden bereikt is niet eenvoudig te beantwoorden. Zoals bij zoveel onderwerpen uit de IT-wereld, vraagt de beheersing van SPAM om een samenspel tussen de techniek en het recht. In het voorliggende Spam, spammer,... Analyse van het recht en de techniek rond elektronische ongevraagde commerciële communicatie, in het bijzonder via wordt vanuit beide invalshoeken uitgebreid op het verschijnsel spam ingegaan en gezocht naar werkbare middelen ter controle ervan. Het onderzoek concentreert zich op spam waarbij gebruik gemaakt wordt van . Andere vormen van ongevraagde elektronische communicatie, zoals via SMS, komen slechts terloops ter sprake. De reden voor deze beperking is dat -spam vooralsnog de meest voorkomende vorm is, zowel in de praktijk als ook in wetgeving en rechtspraak. Een blik op de toekomst kan in een maatschappij waarin de verschillende technieken elkaar snel opvolgen niet ontbreken. Om die reden zal in hoofdstuk 9 kort aandacht worden besteed aan de toepasselijkheid van de bestaande en door ons voorgestelde oplossingen voor -spam op andere vormen van op de persoon gerichte reclame zoals via banners, pop-ups, imode en SMS. 1.2 De betrokken partijen Bij het verschijnsel spam kan men in hoofdzaak drie partijen onderscheiden. In de eerste plaats de verzenders, die spam in de meeste gevallen voor reclamedoeleinden gebruiken. Zij hebben weinig of geen belang bij een regulering die de mogelijkheden van spam zou verminderen. De gemiddelde internetgebruiker, de ontvanger van spam, kan het slachtoffer van de activiteiten van de verzender zijn. In het algemeen waardeert de ontvanger spam niet en stoort hij zich aan -berichten waarom hij zowel in algemene als in specifieke zin niet heeft gevraagd. De ontvanger is aldus letterlijk het lijdend voorwerp van spam-activiteiten. De derde groep bestaat uit de internetproviders van wie vanwege de omvang en de frequentie van SPAM extra computer- en transportcapaciteit als ook menskracht nodig is. Uit een oogpunt van kosten zijn ook de internetproviders slachtoffer van spam. De slachtoffers van spam stellen zich in het algemeen op het standpunt dat al dan niet door overheidsingrijpen de schadelijke gevolgen van spam moeten worden tegengegaan. 1.3 De maatschappelijke discussie Spam wordt terecht als een maatschappelijk probleem gezien. Naast de direct betrokkenen worden standpunten ingenomen door ondermeer de politiek, de rechterlijke macht en de wetenschap. De politiek neemt nu eens duidelijk het voortouw in het maatschappelijk debat. Vooral binnen de Europese Unie wordt al jaren gesproken over of, en zo ja op welke wijze, spam gereguleerd dient te worden. Over de uitkomsten van die discussie wordt in dit onderzoek nader bericht. Ook de rechterlijke macht heeft zich inmiddels over de toelaatbaarheid van spam uitgesproken. 8 De wetenschappers, tenslotte, mengen zich vooral in het debat vanuit het oogpunt van handhaven van de communicatievrijheid en de bescherming van de persoonlijke levenssfeer. 9 7 Zie Zie vooral jurisprudentie in de Verenigde Staten (hoofdstuk 7), maar ook Nederlandse jurisprudentie (hoofdstuk 6). 9 Onder meer Edwards 2000, Sorkin 2001 en Kabel

10 1.4 Recente geschiedenis Het jaar 2002 was een bijzonder spamjaar voor Nederland. Terwijl nog niet eerder een spammer voor de Nederlandse rechter was gedaagd, konden in 2002 maar liefst drie spamzaken worden opgetekend. 10 In één procedure is zelfs beroep in cassatie ingesteld. Saillant is dat de verweerder in cassatie (Ab.fab) in januari 2003 wegens gebrek aan klanten, onder andere vanwege de negatieve publiciteit rond deze rechtszaak, haar activiteiten staakte. Waar in eerste aanleg nog van een win-win situatie sprake was, 11 is het hoger beroep in deze zaak een klassiek voorbeeld van lose-lose. Ab.fab, de winnaar in hoger beroep, kon de proceskosten niet dragen en zou waarschijnlijk ook niet in hoger beroep zijn gegaan zonder toezegging van de DMSA de kosten hiervan te dragen. 12 Zoals gezegd ging de DMSA in oktober 2002 failliet en moest Ab.fab dus alsnog de proceskosten zelf dragen. Overigens had niet alleen Ab.fab, maar ook de Nederlandse wetgever op het voortbestaan van de DMSA gerekend. Het op basis van de Richtlijn 2000/31/EG in te stellen nationale opt-out register zou door de DMSA beheerd moeten worden. 13 Dit register is overigens minder relevant geworden door aanvaarding van de Richtlijn 2002/58/EG waarin voor consumenten 14 is vastgelegd dat alleen verstuurd mag worden als daar om verzocht is (opt-in). 15 Tenslotte verschenen er in 2002 verschillende juridische beschouwingen over spam. 16 Het is inmiddels Berichten over het percentage -berichten dat spam is, geven de indruk dat er nochtans niet sprake is van een verschijnsel dat zijn beste tijd gehad heeft. 17 Wat betreft de aanpak van spam bevinden we ons in de Europese Unie op de grens van een nieuw tijdperk. Na jarenlange discussie en de tot stand koming van verschillende richtlijnen waarin diverse aspecten van spam zijn gereguleerd, is in de zomer van 2002 besloten spam te verbieden Onderwerp van dit onderzoek De hierboven besproken recente geschiedenis en de bij spam betrokken partijen maken duidelijk dat er verschillende, vaak tegenovergestelde belangen spelen inzake het verzenden van spam. De verzenders van spam beroepen zich onder andere op hun vrijheid van meningsuiting. Voor nette, zich aan de wet houdende Direct Marketing organisaties gaat dit argument mogelijk op, te meer daar het maken van reclame onder de bescherming van artikel 10 EVRM valt. 19 Voor de archetypische spammer die zijn identiteit verhult door de van valse adresinformatie te voorzien is een beroep van artikel 10 EVRM minder vanzelfsprekend. Een 10 Zie voor een bespreking hoofdstuk Beide partijen gaven aan gewonnen te hebben, zie de noot van Lodder in Computerrecht , p Aldus berichten in populaire (online) media, die ten onzen zijn bevestigd door een van de advocaten van Ab.Fab. 13 Kamerstukken II 2001/02, , nr. 3, p. 22: Een opt-out register waarbij natuurlijke personen zich gratis kunnen aanmelden en dat zich onder meer uitstrekt tot commerciële communicatie via elektronische post is bereikbaar via Antwoordnummer 666. Zoals in paragraaf 1.1 aangegeven werd dit antwoordnummer door de DMSA beheerd. Voorts Kamerstukken II 2001/02, , nr. 3, p : Het instellen van «opt-out» registers vindt in Nederland overigens plaats door middel van zelfregulering. Zo heeft de Nederlandse Associatie voor Direct Marketing, Distance Selling en Sales Promotion sinds enige tijd een «opt-out» register voor ingesteld. 14 Meer precies: natuurlijke personen die abonnees zijn bij dienstverleners in de sector elektronische communicatie (uitbreiding van voorheen telecomoperators), zie verder In theorie is het register niet zonder betekenis (Gardeniers 2002), praktisch gezien wel (zie 9.2). 16 Onder andere Lodder & Bergfeld 2002, Noorda 2002, Alberdingk Thijm 2002 en Gardeniers In Intermediair , p meldt S.I. Rispens dat in de maand april van 2003 het aantal ongewenste berichten het aantal gewenste oversteeg. In mei 2003 zou al meer dan 55% van alle spam zijn. 18 Zie Zie de heldere analyse over het EVRM en spam van Dijkstra

11 ander argument in het voordeel van de verzenders is dat de huidige maatschappij eenvoudig niet zonder reclame kan en spam een van de vormen van reclame bedrijven is. Het publiek wil in beginsel ook op de hoogte zijn en blijven van aanbiedingen en andere promotionele activiteiten. Zowel voor het macroeconomische belang van de stimulering van de economie als het microeconomische belang van de individuele onderneming zal een prijs betaald moeten worden. Ontvangers en vervoerders (ISP s) brengen vanuit hun belangen bezwaren in tegen spam. Cost-shifting is een voor beide partijen opgaand argument. 20 Het wordt niet redelijk gevonden dat de ontvanger voor het bekijken en downloaden van spam moet betalen, respectievelijk de ISP s voor het transport en de (tijdelijke) opslag, terwijl de verzender in verhouding zijn promotionele activiteiten vrijwel kosteloos kan bedrijven. Voor de ontvanger wordt verder de niet gevraagde inmenging in de persoonlijke levenssfeer als bezwaarlijk gezien. Dit is indirect ook een bezwaar van de ISP s, die door een abonnee die spam ontvangt worden aangesproken of die zien dat abonnees om die reden hun abonnement beëindigen. In de navolgende hoofdstukken zal meer uitgebreid op de hierbovenstaande en aanvullende argumenten voor en tegen spam worden ingegaan. Het zal duidelijk zijn dat er een scherpe belangentegenstelling tussen de betrokken partijen bestaat. In dit onderzoek zal hierop worden ingegaan aan de hand van de volgende vraagstelling. Welke technische en regelgevende maatregelen kunnen worden toegepast opdat het verschijnsel spam beantwoordt aan een redelijke afweging van de legitieme belangen van de bij spam betrokken partijen, en naar welke oplossing(en) dient vervolgens de voorkeur uit te gaan? 1.6 Opbouw van deze studie De rest van deze studie is als volgt opgebouwd. \In hoofdstuk 2 worden niet alleen de karakteristieken van spam behandeld, maar ook enkele aan het verschijnsel verwante vormen van ongevraagde communicatie. In hoofdstuk 3 wordt de techniek rond spam besproken. Aan de orde komt onder meer hoe grote aantallen -adressen verkregen kunnen worden, hoe eenzelfde bericht aan veel geadresseerden tegelijk kan worden verzonden en op welke wijze de verzender zijn identiteit kan verhullen. In de hoofdstukken 4-6 wordt achtereenvolgens ingegaan op technische maatregelen, wettelijke maatregelen en rechtspraak. Hoofdstuk 7 behandelt de wetgeving en rechtspraak in de VS. In hoofdstuk 8 wordt op zelfregulering ingegaan. In hoofdstuk 9 volgt mede op basis van het voorafgaande een nadere beschouwing inzake spam, waarbij ondermeer een ultieme definitie van spam wordt gegeven en ingegaan wordt op de praktische haalbaarheid van de binnen de EU voorgestelde opt-in. 20 Zie ook overweging 40 van Richtlijn 2002/58/EG: De verzending van dergelijke ongewenste commerciële mededelingen kan betrekkelijk gemakkelijk en goedkoop geschieden en anderzijds een belasting en/of kosten voor de ontvanger met zich meebrengen, alsmede overweging 42: Andere vormen van direct marketing die duurder zijn voor de verzender en geen financiële kosten voor de abonnees en gebruikers met zich brengen, zoals spraaktelefonieoproepen van persoon tot persoon, kunnen de instandhouding van een systeem rechtvaardigen waarbij abonnees of gebruikers kunnen aangeven dat zij dergelijke oproepen niet wensen te ontvangen. 4

12 Tenslotte volgen in hoofdstuk 10 de belangrijkste bevindingen en wordt het geheel afgesloten met een hoofdstuk Aanbevelingen. In de bijlagen zijn de belangrijkste bepalingen uit nationale en Europese regelgeving opgenomen en het script van de Monty Python sketch waar spam haar naam aan ontleend. Tevens is een praktijkonderzoek opgenomen waarin de aard en de toepasselijkheid van regelgeving op spam wordt besproken. Waar relevant zal naar dit praktijkonderzoek verwezen worden. 5

13

14 2. Het verschijnsel spam 2.1 Drie kenmerkende eigenschappen van spam Iedereen kent wel de berichten waarin een zonnige reis, een aantrekkelijke financiële dienst, een diploma of het prachtigste bloot wordt aangeboden. Zeker met een gratis account bij bijvoorbeeld hotmail wordt de inbox overspoeld met allerlei ongevraagde commerciële mailtjes die in aantal al snel de gewenste overstijgen. 21 Vaak wordt de geadresseerde op een (quasi-)persoonlijke manier benaderd: You were referred to me today as someone who is seeking a financial miracle. ( ) I can help you make $2,000. per week from your HOME with your computer and phone. This is not some scam or mlm 22 opportunity. (.) Simply take a moment to take the next step by calling me at my Home Office and I will provide you with all the details. Call Art at Ext Dit is een duidelijk voorbeeld van spam. Een bericht waar je niet om gevraagd hebt, met een commercieel karakter en dat tegelijkertijd naar een groot aantal mensen gestuurd is. Deze kenmerken verdienen nadere beschouwing. a) grootschalige verzending, ook wel bulk genaamd; b) ongevraagd c.q. ongewenst voor de ontvanger; c) commercieel karakter. Ad a) De grootschaligheid veroorzaakt overlast voor de computernetwerken en vormt daardoor een bedreiging voor een goed functionerend internet. 23 De mogelijkheid van grootschaligheid is tevens de reden waarom spam als een goedkope en effectieve vorm van reclame maken wordt gezien: indien bijvoorbeeld slechts 1 promille van 100 miljoen mensen reageert, zijn dat nog altijd mensen. De in de marketing- en reclamewereld niet ongebruikelijke kwalitatieve analyses (respons) vinden voorzover ons bekend niet plaats bij spam. Ad b) Het ongevraagde karakter levert spanning op met het recht van de burger en dus ook van de consument om met rust te worden gelaten (privacy) en kan de bescherming van minderjarigen doorkruisen wegens de ontvangst van niet voor de betreffende leeftijdsgroep geschikte commerciële aanbiedingen. Ad c) Het commerciële karakter levert bezwaren op waar de verzender mogelijk inkomsten verwerft, terwijl de kosten van spam vrijwel uitsluitend voor rekening van de ontvangers (voor het downloaden, bekijken) en de transporteurs (kosten personeel, bandbreedte, etc.) komen. Dit wordt wel aangeduid als cost-shifting. 24 Hiermee is nog niet precies duidelijk wanneer verkeer nu als spam moet worden aangemerkt. Er is namelijk zowel verkeer dat niet aan alle drie genoemde eigenschappen voldoet, maar dat men toch als spam zou willen karakteriseren, als ook verkeer dat men 21 Zoals ook blijkt uit het praktijkonderzoek zoals opgenomen in bijlage Multi-Level Marketing. Er wordt ook wel gezegd dat deze afkorting staat voor Makes Lots of Money. In dat geval zou de opsteller van het bericht 2 duizend dollar per week verdienen kennelijk niet veel vinden. 23 Zie ook Edwards Zie ook 1.5.

15 niet als spam zou willen aanmerken, terwijl het wel alle gegeven kenmerken bezit. Daarnaast beperkt spam zich niet noodzakelijk tot , maar kan ook met andere technische middelen worden verspreid. Vanuit een oogpunt van regulering is het van belang tot een zo precies mogelijke omschrijving of definitie van spam te komen, reden waarom hierna een nadere beschouwing van in de literatuur en regelgeving gevonden definities aan een nader onderzoek worden onderworpen. 2.2 Definities van spam Een gebruiker is geneigd een bericht dat zijn of haar irritatie opwekt als spam te kwalificeren. Een vooral op Nederlandse websites te vinden verklaring voor het begrip spam drukt dit treffend uit: Sending People Annoying Messages. Of iets irritatie wekt is echter een subjectieve ervaring van de individuele ontvanger. In navolging van het in de straftoemeting gehanteerde verbazingscriterium, 25 zouden wij hier een irritatiecriterium willen hanteren: is spam indien op grond van objectieve factoren kan worden vastgesteld dat het bericht irritatie wekt. Erg behulpzaam bij het kwalificeren van als spam is een dergelijk criterium echter niet. Het kwam aan onze faculteit bijvoorbeeld regelmatig voor dat een zelfde bericht aan alle medewerkers werd gezonden en dat een individuele ontvanger een reactie niet alleen aan de afzender stuurde (reply), maar abusievelijk aan alle geadresseerden (reply all). Dit wekt uiteraard irritatie bij de ontvangers, maar vanwege het onopzettelijke karakter kan dit verkeer niet als spam worden aangemerkt, hoewel het in ieder geval aan (a) en (b) voldoet en in voorkomende gevallen ook aan (c). Aan de andere kant is het mogelijk dat ongevraagde commerciële slechts aan een kleine groep geadresseerden wordt gestuurd (er wordt niet voldaan aan (a)). Ook is het mogelijk dat een verzender in groten getale commerciële verstuurt waar, althans naar de mening van de verzender, door de geadresseerden om is verzocht (niet voldaan aan (b)). 26 Ook kan in groten getale verstuurde ongevraagde een commercieel karakter ontberen (niet voldaan aan (c)). Een aantal van dergelijke gevallen zou men vanwege de schadelijke effecten toch tot spam willen rekenen. Het commerciële karakter (c) wordt in de Nota wetgeving voor de elektronisch snelweg niet als beslissend gezien. Spamming wordt daar beschreven als: Oorspronkelijk het plaatsen van niet relevante berichten in Usenet-nieuwsgroepen. Tegenwoordig ook een aanduiding voor het versturen van ongevraagde , meestal voor commerciële doeleinden. 27 Wat verder opvalt is dat het grootschalige karakter niet genoemd wordt, iets wat overigens ook in de Europese regelgeving geen onderdeel van de omschrijving van het begrip spam uitmaakt. 28 De (Nederlandse) literatuur levert ook niet een eenduidige definitie van het begrip spam op. In Juridische aspecten van 29 verstaat Westerveld onder spam ongevraagde, zakelijke , junk mail, unsolicited commercial (UCE). 30 Hierin zijn de kenmerken (a)-(c) terug te vinden. In hetzelfde boek maakt Artz een onderscheid in twee hoofdsoorten ongevraagde commerciële , te weten enerzijds spam en anderzijds junk mail. 31 Onder spam verstaat hij enkel het ook in de Nota wetgeving voor de elektronisch snelweg genoemde plaatsen van niet relevante berichten in nieuwsgroepen. Onder junkmail schaart hij die aan (a)-(c) voldoet. Merkwaardig genoeg gebruikt hij als equivalent van junkmail de term unsolicited commercial . Door dit te doen wordt een van de hoofdsoorten van 25 Dit houdt in dat de rechter de opgelegde straf van een aanvullende motivering moet voorzien als deze in het licht van eerdere gevallen en de vigerende maatschappelijke normen verbazing wekt. 26 Een voorbeeld is bericht uit het in bijlage 2 opgenomen praktijkonderzoek. 27 Kamerstukken II 1997/98, , nrs. 1-2, p Zie Kaspersen & Stuurman Westerveld 2001, p Artz 2001, p

16 ongevraagde commerciële aangeduid met een Engelse vertaling van datzelfde begrip: Unsolicited Commercial (UCE). UCE wordt tamelijk veel gebruikt als synoniem van spam. Zo heet een bekende organisatie die zich met het bestrijden van spam bezighoudt CAUCE: Coalition Against UCE. 32 Naast UCE wordt spam ook wel als UBE aangeduid: Unsolicited Bulk . In geval van UCE is voldaan aan (b)-(c), in geval van UBE aan (a)-(b). Het ongevraagde karakter komt in beide omschrijvingen derhalve tot uitdrukking. Het onderscheid tussen UCE en UBE lijkt academisch, 33 omdat vrijwel alle spam zowel UCE als UBE is. 34 Elke term heeft echter zijn eigen definitieprobleem. In geval van UBE is er slechts sprake van bulk indien wordt voldaan aan een bepaald aantal identieke berichten dat binnen een bepaalde periode wordt verzonden. Hierbij moet worden bedacht dat door de naam van de geadresseerde in de te noemen, of door eenzelfde bericht door verschillende afzenders te laten verzenden, er geen sprake meer is van identieke berichten en dus niet bulk in de zin van de definitie, terwijl dat voor de belasting van de transporteurs en de ontvangers geen enkel verschil maakt. Wel onder de definitie van UBE valt bulk- zonder commercieel doel, bijvoorbeeld de aan een groot aantal personen gestuurde uitnodiging voor een reünie, terwijl men zich af kan vragen of het niet onwenselijk is ook aan dat verkeer beperkende voorwaarden te verbinden. Ingeval van UCE moet duidelijk zijn wanneer een een commercieel karakter heeft. Dit vaststellen zal doorgaans niet bijzonder problematisch zijn. Een heeft een commercieel karakter als de goederen, diensten of imago van een onderneming worden gepromoot. 35 Om vast te kunnen stellen of een een commercieel karakter heeft moet echter wel de inhoud van het bericht worden gelezen, waar bij UBE voor het bepalen van de omvang van een verzending een niet geopend hoeft te worden. Bovendien staat (een deel van) de door spam veroorzaakte overlast los van de inhoud. Desalniettemin beperkt zowel regelgeving als zelfregulering zich doorgaans tot UCE. Op grond van bovenstaande blijkt hoe moeilijk het is precies aan te geven wat spam nu is. Centraal kenmerk is in ieder geval het ongevraagde karakter (b) dat in combinatie met de omvang (bulk verzending) (a) of het oogmerk (doorgaans commercieel (c), maar niet noodzakelijk) tot de kwalificatie spam leidt. In de voorhanden regelgeving, waar merkwaardig genoeg zonder veel aandacht aan een goede definitie van spam te besteden maatregelen worden bedacht deze te bestrijden, 36 ligt, zoals hierna zal blijken, de nadruk op (b) en wordt in de meeste gevallen ook (c) vereist. Als werkdefinitie voor spam wordt om de hierboven geschetse definitieproblemen voor dit onderzoek gekozen de in de openingszin van dit hoofdstuk gegeven, zeer ruime omschrijving: elke ongevraagde, elektronische commerciële communicatie. Onderwerp van dit onderzoek is mede te komen tot een definitie van spam als mogelijk object van regelgeving. Bovenstaande werkdefinitie zal in hoofdstuk 9 nader worden afgegrensd. 32 Zie < en < Een andere relevante site is bijvoorbeeld < 33 Voor een overzicht van de belangrijkste verschillen tussen deze twee definities van, overigens, een voorstander van de UBE definitie, zie < 34 Zie ook Sorkin 2001, p. 333 en hoofdstuk Zie de definitie in noot Sorkin 2001, p. 384: it is quite easy to declare get rid of spam, but the definition of spam is sufficiently controversial that the first step may be the most difficult. 9

17 2.3 Oorsprong begrip spam Hoewel dit voor velen bekend zal zijn, lichten we voor de volledigheid kort de herkomst van het begrip spam toe. Spam is ingeblikte ham van de firma Hormel. Over hoe dit blikje spam zijn naam aan het in dit onderzoek beschreven verschijnsel heeft geleend doen verschillende verhalen de ronde. In de meeste daarvan wordt verwezen naar een sketch van Monty Python, die zich afspeelt in een café waarvan de menukaart vrijwel geheel uit gerechten met spam bestaat en een groep Vikingen voortdurend luidkeels: Spam, spam, lovely spam, wonderful spam zingt. Door het voortdurend gebruik van het woord spam wordt normaal converseren onmogelijk. 37 In de jaren 80 zou een deelnemer aan een elektronische discussiegroep weinig waardering voor het debat hebben gehad en daarom een computerprogramma om de aantal seconden een bericht hebben laten posten bestaande uit een aantal herhalingen van het woord spam. De man werd uit de groep verwijderd en de gebruikers hadden het nog lang over that asshole who spammed us. Op grote schaal bekend werd het begrip spam nadat in april 1994 de advocaten Laurence Canter & Martha Siegel in meer dan nieuwsgroepen een advertentie hadden geplaatst over de toen op handen zijnde loterij waarbij door mensen een Green Card 38 gewonnen kon worden. De advocaten boden hun diensten aan bij het invullen van het formulier waarmee aan de loterij kon worden deelgenomen. Over hun succesvolle campagne schreven de advocaten het over het algemeen niet bijzonder gewaardeerde boek How to Make a Fortune on the Information Superhighway: Everyone's Guerrilla Guide to Marketing on the Internet and Other On-Line Services Voor het volledige script zie bijlage Degene die in het bezit is van een Green Card, mag in beginsel onbeperkt in de USA verblijven. 39 Bij Amazon.com zijn echter ook positieve reviews te vinden (weliswaar uit 1998): This book is a "must have." Lots of big business types, especially sysops and network administrators, will tell you that you'll lose your internet account and piss people off if you follow the book's instructions. That may be. But the internet is changing and people are making a lot of money on it right now whether the naysayers like it or not. There's no stopping it; you may as well join in!. Van recenter datum (2003) is de volgende meer algemeen gedeelde opinie: This advice is terrible. It is worse than useless. Your Internet account will certainly be canceled if you tried to follow their instructions. ( ) the "send unsolicited bulk s" and "spam thousands of Usenet newsgroups" strategies that this book teaches are not only ineffective (it has been estimated that over 95% of spammers lose money in the long run), but unethical. UCE and spam take advantage of the Tragedy of the Commons: UCE and spam are not free-speech issues. Siegel and Canter should be ashamed. 10

18 2.4 Technische varianten op spam Virussen en wormen 40 Eind 2002 troffen vele hotmail-gebruikers in hun inbox een bericht met als subject Te acuerdas de mi? aan. In de loop van de week kwamen er nog 4 à 5 s per dag met als subject een Spaanse zin, alle 313 kilobyte groot. De ervaren internetgebruiker zou door de grootte en de aankleding van het bericht zijn gealarmeerd. Het ging hier om een worm, bekend als: Win32.Worm.Duni.A. Deze specifiek op hotmail gerichte worm verzond zichzelf naar alle adressen in de lijst met contacten van de ontvanger, zelfs zonder dat de betreffende door de ontvanger werd geopend. Voor hotmail-verzenders een genante ervaring, voor hotmail ontvangers vervuiling van hun inbox, voor Microsoft een veiligheidsprobleem en overbelasting van de hotmail-servers. Naast -wormen zijn er ook -virussen. Op 26 mei deed bijvoorbeeld het Melissa-virus voor het eerst van zich horen. Ook hier zond het virus zichzelf door naar alle adressen in het (outlook) adresboek van de ontvanger. Het hiervoor verantwoordelijke virusdeel bestond uit een zeer eenvoudig visual-basic programma. Anders dan bij de hiervoor genoemde worm moest de ontvanger (nog) wel een attachment aanklikken om het virus te activeren. De vermeldde het adres van de verzender wiens adressenlijst door het virus werd gebruikt en kopieerde elementen uit de bestanden van deze gebruiker in het bericht, waardoor echtheid werd gesuggereerd. Mede hierdoor vond het virus over de gehele wereld een snelle verspreiding. Ook de virussen I love you en Anna Kournikova bleken door de inhoud van het (doorgezonden) bericht door veel mensen geopend te worden en daarmee ook doorgestuurd. Virussen en wormen komen in veel verschillende vormen voor, maar hebben één gezamenlijk kenmerk: de wordt zonder medeweten van de ontvanger aan een grote groep personen doorgestuurd. Een -worm doet niet meer dan zichzelf doorsturen aan de geadresseerden die hij in het geïnfecteerde systeem aantreft (zonder dat een handeling van de ontvanger nodig is), een -virus doet dit (waarbij een handeling van de ontvanger, zoals het openen van een attachment, nodig is) ook maar kan het computersysteem van de ontvanger daarbij op enige wijze ontregelen. Het is denkbaar dat met name wormen gebruikt zouden worden voor de verspreiding van commerciële boodschappen. In dat geval moeten wormen als spam worden aangemerkt. Deze wijze van verspreiden heeft voor de spammer het voordeel dat hij zelf slechts een initiële hoeft te verzenden. Een bulk- -programma is niet nodig en evenmin behoeven adressen te worden vergaard. Bovendien is deze gedwongen mondop-mond spam buiten de initiële niet tot de spammer te herleiden, aangezien in de berichten steeds als afzender de gebruiker van het laatste geïnfecteerde systeem wordt vermeld. Men kan zich echter afvragen in hoeverre een commerciële boodschap het beoogde effect zal hebben als daarin niet op enigerlei wijze naar de belanghebbende wordt verwezen. Het nadeel van dergelijke spam is dat de wijze waarop het wordt uitgevoerd een weinig professionele indruk maakt en door de ontvangers niet snel serieus zal worden genomen. 40 Het verschil tussen een worm en een virus is dat een virus zonder hulp van de gebruiker niet een andere computer kan infecteren. Een worm kan dat wel. Zie de volgende definities uit de Free On-line Dictionary of Computing < Worm: A program that propagates itself over a network, reproducing itself as it goes. Virus: A program or piece of code written by a cracker that "infects" one or more other programs by embedding a copy of itself in them, so that they become Trojan horses (A malicious, security-breaking program that is disguised as something benign, such as a directory lister, archiver, game). 41 < 11

19 Bovendien is spammen op bovengenoemde wijze een strafbaar feit, 42 zij het dat de anonimiteit van de spammer een ernstige hinderpaal voor zijn opsporing is Jokes, hoaxes (nepvirusmeldingen) en forwards (elektronische kettingbrieven) Zoals de klassieke handelsreiziger zijn klanten vergastte op de laatste actuele moppen, zo wisselen internetgebruikers vaak cartoons, grappige anekdotes of wenskaarten uit. Integere initiatieven om te waarschuwen voor gevaarlijke virussen of tegen het uitsterven van de wilde bunzing-rat kunnen wereldwijd ontaarden in massaal e- verkeer. Niet ongebruikelijk is om de ontvanger van een dergelijke uit te nodigen om het ontvangen bericht naar zo veel mogelijk mensen door te sturen (te forwarden). Dergelijke wordt niettemin ongevraagd ontvangen. Een aantrekkelijke aankleding van het betreffende bericht kan dat sterk bevorderen. Hoewel wij niet op de hoogte zijn van het aanwenden van genoemde middelen door spammers, zouden ze hiervan gebruik kunnen maken voor de verspreiding van commerciële boodschappen. Een link naar de website van de commercieel belanghebbende is eenvoudig aan het bericht toe te voegen. De verspreiding kan een grote omvang hebben. Deze wijze van verspreiding is niet verboden, de spam wordt door iedere ontvanger vrijwillig doorgezonden. Deze vorm van spam kan tegen geringe kosten worden gerealiseerd. Er is geen bulk- -programma nodig en er behoeven ook geen adressen te worden verworven. Verder is het niet nodig om maatregelen te nemen ter verhulling van het IP-adres, omdat dit na de eerste doorzending niet meer terug te vinden is. 42 Zie

20 3. IT-aspecten van spam 3.1 Hoe werkt ? Het vinden van een gebouw of huis in Amsterdam zonder het adres te weten is mogelijk (dat gebouw schuin tegenover Station Zuid WTC met die vogel tegen de gevel geplakt), maar een adres maakt het vinden een stuk eenvoudiger (De Boelelaan 1105), zeker wanneer er post bezorgd moet worden. Om de berichten bij de juiste computer te laten aankomen, heeft iedere computer een uniek IP-adres. Een IP-adres is vergelijkbaar met een gewoon adres, maar het bestaat uit 4 getallen tussen de 0 en 255 met daartussen punten. Het adres bijvoorbeeld is een adres binnen het netwerk van de VU. De eerste twee getallen (130.37) geven aan dat de betreffende computer op de VU staat, de laatste twee getallen geven een specifieke computer aan binnen dat netwerk. Voor de menselijke gebruiker is het onthouden van dergelijke getallencombinaties bijzonder onpraktisch c.q. onmogelijk. Om die reden zijn er domeinamen. Een Domain Name Server (DNS) 43 maakt het mogelijk eerder genoemd IPadres te vertalen naar elgar.rechten.vu.nl en vise versa, net als een postcode en huisnummer door de posterijen vertaald kunnen worden naar een bepaalde straat en een bepaald huis. Als een gebruiker van internet in een browser elgar.rechten.vu.nl intikt zal die browser op zoek gaan naar informatie op de computer met IP-adres Mocht er verstuurd worden naar xxx@elgar.rechten.vu.nl, dan zal het programma de computer met het IPadres aanschrijven. Vaak heeft een computer geen vast IP-adres. De meeste internetproviders kennen aan een op het internet inloggende computer per keer een ander IP-adres toe. Hierdoor kan een groter aantal abonnees toegang tot internet worden gegeven dan wanneer iedere abonnee een eigen IP-adres zou hebben. Zelfs bij een piekbelasting zal immers niet iedere abonnee ingelogd zijn. s die naar zo n dynamische IP-server worden gestuurd, worden opgeslagen op de server van de internetprovider en niet doorgestuurd naar de specifieke computer. De ontvanger logt vervolgens met een aparte gebruikersnaam en wachtwoord in op die server, verkrijgt een tijdelijk IP-adres en kan zo de vinden. Aan de hand van de header van een ontvangen is duidelijk welke route deze heeft afgelegd. Header Uitleg 44 MIME-Version: 1.0 MIME betekent Multipurpose Internet Mail Extensions en is een bepaalde manier om informatie vorm te geven zodat het verstuurd kan worden. Received: from appia.rechten.vu.nl ([ ]) by mc3- f5.law16.hotmail.com with Microsoft SMTPSVC( ); Tue, 1 Oct :06: In dit gedeelte wordt aangegeven hoe de mail bij de ontvanger (in dit geval een hotmail-account) terecht is gekomen. Mc3-f5.law16.hotmail.com heeft op 1 oktober 2002 het bericht ontvangen van appia.rechten.vu.nl. Deze appia-server is via een DNS gekoppeld aan het IP-adres Received: from vurechten2.rechten.vu.nl (vurechten2.rechten.vu.nl [ ])by De server appia.rechten.vu.nl heeft op zijn beurt het bericht ontvangen van vurechten2.rechten.vu.nl, met het bericht er bij dat de bestemd is voor 43 DNS is een lijst waar domeinnamen aan IP-adressen gekoppeld worden (RFC s ). 44 Reading Headers, <