Grootschalige verzameling van IP-adressen door Stichting BREIN

Eind 2015 heeft de Stichting BREIN aan de Autoriteit Persoonsgegevens een voorgenomen verwerking van persoonsgegevens gemeld. BREIN gaat een nieuw softwaresysteem gebruiken dat in staat is tot het opsporen van gebruikers van illegale content via het Bittorent netwerk. De Autoriteit Persoonsgegevens oordeelde al in januari dat deze verwerking van persoonsgegevens rechtmatig is, maar hoe gaat BREIN eigenlijk te werk?

Op 14 maart 2016 kondigde BREIN via haar website www.anti-piracy.nl aan dat zij een systeem in werking stelt waarmee “op basis van IP-adressen grotere aantallen eerste en/of grote uploaders van recente titels kunnen worden geïdentificeerd.” Met dit systeem verzamelt BREIN de IP-adressen en gebruikersnamen van gebruikers. Vervolgens zal BREIN van de internetserviceproviders de NAW-gegevens kunnen behorend bij de IP-adressen moeten krijgen. Dat is echter geen gemakkelijke opgave, zo schreef ik eerder in een blog.

Aan welke juridische verplichtingen moet BREIN zich houden wanneer zij illegale uploaders registreert? Hoe werkt het systeem van BREIN? En hoe komt iemand erachter of hij of zij is opgenomen in de database van BREIN? Dit alles (en meer) komt in dit artikel aan bod.

BREIN verwerkt in het softwaresysteem persoonsgegevens van personen die verdacht worden van schending van de Auteurswet (in het bijzonder van de artikelen 31 t/m 35d). Deze persoonsgegevens zijn aan te merken als strafrechtelijke persoonsgegevens in de zin van artikel 16 Wbp. Artikel 16 Wbp merkt strafrechtelijke gegevens aan als bijzondere persoonsgegevens. De verwerking van bijzondere persoonsgegevens is in beginsel verboden, tenzij een van de uitzonderingsgronden van artikel 22 of 23 Wbp van toepassing is.

Het softwaresysteem van BREIN voldoet aan de uitzonderingsgrond van artikel 22 lid 4 Wbp. Deze uitzondering vereist dat er voldoende passende en specifieke waarborgen zijn getroffen, en het softwaresysteem voorafgaand aan de verwerking is onderzocht door de Autoriteit Persoonsgegevens. Daarnaast valt het systeem van BREIN onder de algemene uitzondering van artikel 23 lid 1 sub c Wbp: de verwerking is “noodzakelijk voor de verdediging van een recht in rechte.”

Eenieder die persoonsgegevens verwerkt, moet dit melden aan de betrokkene (degene over wie de persoonsgegevens gaan). Dit zou voor BREIN het nut van het verzamelen van de gegevens wegnemen. Wanneer iemand weet dat hij wordt gevolgd door BREIN, zal hij of zij waarschijnlijk niet doorgaan met uploaden. Gelukkig voor BREIN bestaat een uitzondering op deze informatieplicht, welke is opgenomen in artikel 43 Wbp. Een van de uitzonderingsgronden is dat de verwerking noodzakelijk is ter voorkoming, opsporing en vervolging van strafbare feiten.

Indien BREIN, via de internetserviceprovider, meer persoonsgegevens dan een gebruikersnaam en IP-adres verkrijgt, dan dient de betrokkene hiervan persoonlijk op de hoogte te worden gesteld. Voor de uploader is het dan al te laat, want dan heeft BREIN al de gegevens over het uploaden verzameld.

Niemand mag in Nederland persoonsgegevens verwerken, zonder hier een grondslag voor te hebben. De grondslag waar BREIN voor heeft gekozen is de behartiging van een gerechtvaardigd belang. Het belang van BREIN is gelegen in de grote schaal waarop er via Bittorent ongeautoriseerde uitwisseling van auteursrechtelijk beschermde werken plaatsvindt. Het verwerken van gebruikersnamen en IP-adressen zijn in deze context het enige aanknopingspunt om de personen die vermoedelijk inbreukmakende handelingen verrichten op het spoor te komen.

De belangenafweging, die dient plaats te vinden op grond van artikel 8 sub f Wbp, valt in dit geval dan ook positief uit voor BREIN. Er is een duidelijke afbakening gemaakt van het type bestanden dat wordt onderzocht en er worden prioriteringscriteria gehanteerd aan de hand waarvan wordt bepaald welke gebruikersgegevens verder worden onderzocht en welke niet.

Aan de hand van prioriteringscriteria bepaalt BREIN welke IP-adressen (en bijbehorende gebruikersnamen) in worden opgenomen in het softwaresysteem van BREIN. De prioriteringscriteria zijn:

1. Enkel IP-adressen met een Nederlandse oorsprong;
2. IP-adressen die zich vroeg in de zwerm bevinden, dat wil zeggen: degene die het bestand als eerste aanbiedt (“eerste uploader”) of degene die kort (seconden) na de eerste publicatie van een torrent begint met downloaden;
3. IP-adressen van gebruikers die het bestand volledig in bezit hebben en beschikbaar stellen (100% seeding);
4. IP adressen komen in aanmerking voor nader onderzoek als de betreffende gebruiker relmatig voorkomt in meerdere zwermen als aanbieder van vermoedelijk inbreukmakend materiaal ("grote uploader").

Alle IP-adressen die voldoen aan de prioriteringscriteria worden gedurende 12 weken in het softwaresysteem bewaard. IP-adressen welke in deze twaalf weken slechts eenmalig in een zwem worden aangetroffen, worden na 12 weken weer verwijderd. Ditzelfde geldt voor IP-adressen die meer dan eens in een zwerm worden aangetroffen, maar waarvan niet wordt vermoedt dat ze toebehoren aan een “eerste uploader” of “grote uploader”.

IP-adressen waarvan wel wordt vermoedt dat ze aan een van deze twee soorten uploaders toebehoren, maar waarnaar binnen zes maanden geen verder onderzoek is ingesteld, worden na zes maanden verwijderd. Indien er binnen zes maanden wel nader onderzoek is ingesteld, zullen deze IP-adressen door een medewerker van BREIN worden opgenomen in een onderzoeksdossier en worden overgeheveld naar het anti-piraterij databestand van BREIN.

Om “eerste uploaders” en “grote uploaders” te kunnen opsporen laat BREIN medewerkers deelnemen aan zwermen in een Bittorrent-netwerk. Indien er vervolgens een vermoedelijke “eerste uploader” of “grote uploader” is opgespoord neemt BREIN contact op met de internetserviceprovider om aan de hand van het IP-adres en de gebruikersnaam, al dan niet via de rechter, verdere contactgegevens te verzoeken. Op het moment dat deze contactgegevens zijn verkregen, informeert BREIN de betreffende gebruiker over het onderzoek en de opname van diens persoonsgegevens in het anti-piraterij databestand. Aan deze informatieverstrekking wordt daarnaast één van de onderstaande vijf sancties gekoppeld:

1. BREIN stuurt een waarschuwing aan de betrokkene;
2. BREIN treft een minnelijke schikking met de inbreukmaker en vraagt deze een onthoudingsverklaring met boetebeding te ondertekenen;
3. BREIN treft een schikking, vraagt een onthoudingsverklaring met boetebeding en verhaalt de gemaakte kosten op de betrokkene;
4. BREIN stuurt de inbreukmaker een dagvaarding waarin een verbod en vergoeding van de kosten wordt gevorderd; of
5. BREIN stuurt een dagvaarding waarin naast een verbod en kostenvergoeding ook schadevergoeding wordt gevorderd. In deze gevallen treedt naast BREIN ook de rechthebbende als eisende partij op.

De Wbp kent een inzagerecht, wat betekent dat iedereen het recht heeft om te weten welke gegevens van hem of haar worden verwerkt. Wie BREIN hiertoe verzoekt, moet informatie krijgen over de gegevens die BREIN van hem of haar verwerkt.

Indien BREIN gegevens over iemand verwerkt, heeft deze ook het recht op verbetering, aanvulling, verwijdering of afscherming van deze persoonsgegevens, bijvoorbeeld wanneer deze feitelijk onjuist zijn. Hieraan valt bijvoorbeeld te denken als het IP-adres niet toebehoort aan jouw computer of de opgenomen gebruikersnaam onjuist is.

Kortom, wie slechts eenmalig via een Bittorent-netwerk auteursrechtelijk beschermde materiaal uploadt hoeft niet te vrezen voor opname in het anti piraterij databestand. Het softwaresysteem van BREIN is enkel gericht op “eerste uploaders” en “grote uploaders”. Wel kan BREIN, al is het maar uit interesse, verzocht worden om gegevens te verstrekken over de gegevens die BREIN over je heeft verzameld.

Heeft u vragen over dit artikel, neemt u dan contact op met ons team IT, Privacy & Cybersecurity.