Uitspraak
2. de vennootschap naar vreemd recht
SAMSUNG ELECTRONICS CO. LTD.,
gevestigd te Suwon City, Kyungki-Do (Zuid-Korea),
Na verder debat hebben partijen verzocht vonnis te wijzen.
2.De feiten
open sourcebesturingssysteem dat wordt beheerd door Google. Samsung biedt haar Android- smartphones aan met een “softwareschil” van Samsung. De koper van een smartphone van Samsung verkrijgt een licentie op het gebruik van Android en de Samsung-softwareschil.
upgradesen
security updatesuit. Deze software stelt Google online beschikbaar, zodat een fabrikant als Samsung deze kan implementeren.
stagefrightkwetsbaarheid is aangetroffen. Op 1 oktober 2015 is bekend geworden dat een nieuwe variant hierop is aangetroffen,
stagefright 2.0.
stagefrightcybercriminelen toegang tot en controle kunnen krijgen over Android-smartphones. Volgens de brief is
stagefrightook aangetroffen op verschillende Samsungtelefoons. Samsung zou haar klanten niet juist informeren over of waarschuwen voor
stagefright.Daarnaast zou Samsung haar klanten niet of onvoldoende informeren over de vraag of zij bij of na aankoop van een Samsungsmartphone
updatesontvangen. Verder is in de brief opgenomen dat meer dan 80% van de Samsungsmartphones niet beschikt over de laatste Androidversie en dat Samsung klanten met een kwetsbare smartphone onmiddellijk had moeten voorzien van een
update.Samsung is om deze redenen gesommeerd de consument duidelijk te informeren over
stagefright, over toekomstige kritieke beveiligingslekken en over het
updateen
upgradebeleid van Samsung. Ook is Samsung gesommeerd daadwerkelijk
stagefrightevenals toekomstige kritieke beveiligingslekken te
patchen(repareren) door
updatesen
upgradester beschikking te stellen, en gedurende twee jaar na aankoop van een telefoon regelmatig
updatesen
upgradester beschikking te blijven stellen. Tot slot is Samsung met het oog op artikel 3:305a lid 2 BW uitgenodigd voor een gesprek met de Consumentenbond.
3.Het geschil
I. Samsung te bevelen om de informatie dat het
stagefrightlek aanwezig is en wanneer Samsung een
security updatebeschikbaar zal stellen om het
stagefrightlek te dichten, voor alle modellen van Samsung die het
stagefrightlek bevatten (modellen die in de periode van twee jaar voorafgaand aan het bekend worden van
stagefrightaan consumenten in Nederland zijn aangeboden en modellen die direct vanaf de introductie het
stagefrightlek bevatten) per model op verschillende plaatsen op de website www.samsung.com te plaatsen alsmede in gedrukte informatie van Samsung zoals gebruikershandleidingen en reclamemateriaal;
II. Samsung te bevelen om onmiddellijk nadat een door Google als kritiek aangemerkt beveiligingslek in het Android besturingssysteem publiekelijk bekend is geworden de informatie dat dit lek aanwezig is en wanneer Samsung een
security updatebeschikbaar zal stellen om dit lek te dichten voor alle modellen van Samsung die die dit kritieke beveiligingslek bevatten per model op verschillende plaatsen op de website www.samsung.com te plaatsen alsmede in gedrukte informatie van Samsung zoals gebruikershandleidingen en reclamemateriaal;
III. Samsung te bevelen om voor alle smartphones die de afgelopen twee jaar in Nederland zijn aangeboden alsmede voor nieuwe modellen direct vanaf de introductie in Nederland per model de informatie over de periode dat Samsung
security updatesen
upgradester beschikking stelt en de frequentie hiervan op verschillende plaatsen op de website www.samsung.com te plaatsen alsmede in gedrukte informatie van Samsung zoals gebruikershandleidingen en reclamemateriaal;
IV. Samsung te bevelen voor alle smartphones die het
stagefrightlek bevatten en die in de periode van twee jaar voor het bekend worden van dit lek aan consumenten in Nederland zijn verkocht en voor modellen die nog worden verkocht en het
stagefrightlek bevatten een
security updateaan te bieden waardoor
stagefrighten
stagefright 2.0daadwerkelijk worden gedicht;
V. Samsung te bevelen voor alle smartphones die een door Google als kritiek aangemerkt beveiligingslek in het Android besturingssysteem bevatten en die in de periode van twee jaar voor het bekend worden van dit lek aan consumenten in Nederland zijn verkocht en voor modellen die nog worden verkocht met een door Google als kritiek aangemerkt beveiligingslek een
security updateaan te bieden waardoor dit kritieke beveiligingslek daadwerkelijk wordt gedicht;
VI. Samsung te bevelen voor alle modellen smartphones die de afgelopen twee jaar aan consumenten in Nederland zijn verkocht en voor alle modellen die in de toekomst zullen worden verkocht gedurende twee jaar na verkoop die
upgradesbeschikbaar te stellen die nodig zijn voor normaal gebruik van die smartphones;
VII. een en ander op straffe van dwangsommen;
VIII. met veroordeling van Samsung in de buitengerechtelijke kosten; en
IX. met veroordeling van Samsung in de kosten van dit geding, te vermeerderen met de wettelijke rente.
stagefrightlek is geconstateerd. Op het moment van het opstellen van de dagvaarding is alleen de Samsung Galaxy A7
gepatcht(gerepareerd)
.Samsung informeert haar consumenten niet over het
stagefrightlek, terwijl dit een van de ernstigste softwarebeveiligingsproblemen in de geschiedenis is en consumenten hierdoor aanzienlijke risico’s lopen (denk aan internetbankieren). Informatie over het
stagefrightlek is weliswaar (na de sommatiebrief van 2 december 2015, zie 2.6) te vinden op de website van Samsung, maar die informatie is zo onopvallend gepresenteerd dat consumenten daardoor feitelijk onvoldoende worden geïnformeerd. Ook geeft Samsung geen of zeer onduidelijke informatie over de vraag of een consument na de aankoop van een smartphone
security updateszal ontvangen, en zo ja voor welke periode, en over de vraag binnen welke termijn kritieke beveiligingslekken worden gedicht. De beveiligingsupdates die Samsung wel aanbiedt zijn beperkt tot de duurste en nieuwste modellen en worden niet snel genoeg aangeboden. Na de sommatiebrief van 2 december 2015 (zie 2.6) heeft Samsung het
stagefrightlek in een aantal van haar modellen
gepatcht, maar ten tijde van de zitting in dit kort geding heeft zij nog steeds éénderde van haar toestellen niet
gepatcht.
Samsung en de Consumentenbond hebben meerdere besprekingen gevoerd. Naar aanleiding hiervan heeft Samsung enige aanpassingen aangebracht op haar website, maar zij is op vele essentiële punten nog altijd niet aan de sommaties van de Consumentenbond tegemoet gekomen. De Consumentenbond rest dan ook geen andere mogelijkheid dan om dit kort geding te starten.
De vorderingen van de Consumentenbond in dit kort geding zijn gegrond op een oneerlijke (misleidende) handelspraktijk van Samsung. Samsung laat immers na om essentiële informatie te verstrekken die de gemiddelde consument nodig heeft om een goed geïnformeerd aankoopbesluit te kunnen nemen. Informatie over
stagefrighten over het (blijven) uitvoeren van
security updatesen
upgradesis essentieel. Ook beroept de Consumentenbond zich op artikel 7:17 BW. Op grond van dit artikel moeten de verkochte smartphones die eigenschappen bezitten die de consument op grond van de koopovereenkomst mag verwachten. De bepalingen omtrent conformiteit en nakoming zijn eveneens van toepassing op de licentie op Android. Op deze gronden moet het
stagefrightlek en toekomstige kritische beveiligingslekken hersteld worden en moeten daadwerkelijk
upgradesbeschikbaar worden gesteld. Dit is Samsung ook verplicht op grond van haar algemene zorgplicht (artikel 6:162 lid 1 BW). Tot slot is de Consumentenbond van mening dat Samsung haar verplichtingen op grond van de Wet Bescherming Persoonsgegevens (Wbp) overtreedt, met name artikel 13 van die wet. Samsung is verantwoordelijk om passende technische en organisatorische maatregelen te nemen om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking. Ook op deze grond dient Samsung alle kritieke beveiligingslekken te dichten.
Verder dient Samsung aan consumenten gedurende twee jaar na aankoop van een smartphone regelmatig
updatesen
upgradester beschikking te stellen. Uit onderzoek is gebleken dat consumenten verwachten een smartphone gedurende 2,26 jaar te kunnen gebruiken, dit terwijl uit informatie op de website van Samsung blijkt dat Samsung voor een aantal van haar modellen smartphones die op dit moment nieuw aan consumenten worden verkocht nog maar enkele maanden ondersteuning blijft bieden. Mede om deze reden heeft de Consumentenbond een spoedeisend belang bij toewijzing van haar vorderingen. Daarnaast heeft de Consumentenbond een spoedeisend belang omdat Samsung smartphones blijft verkopen met het kritieke beveiligingslek
stagefrighten
stagefright 2.0en een aantal van haar modellen smartphones tot op heden niet is beveiligd tegen
stagefright. Ook is er sprake van een spoedeisend belang ten aanzien van het daadwerkelijk
patchenvan toekomstige beveiligingslekken. De Consumentenbond verwijst in dit verband naar een ander lek, genaamd
Certifigate.Dit lekt bevindt zich niet in Android, maar in applicaties van derden die met Samsung samenwerken. Ook is op 19 januari 2016 bekend gemaakt dat sprake is van een “Linux-lek”. Linux vormt de kern van Android en volgens onderzoekers die dit lek hebben ontdekt , is het lek aanwezig in 66% van alle Android smartphones.
4.De beoordeling
stagefrighten
stagefright 2.0de voornaamste aanleiding voor de Consumentenbond om dit kort geding aanhangig te maken. Daarnaast heeft de Consumentenbond ter zitting melding gemaakt van
certifigateen van het zogenoemde “Linux-lek” (CVE-2016-9728).
stagefrighten
stagefright 2.0een zo acuut beveiligingsrisico uitgaat als de Consumentenbond stelt. Samsung heeft, mede aan de hand van de verklaringen van twee van haar medewerkers, [naam 4] en [naam 5] (producties 2 en 3) verduidelijkt dat het niet om een beveiligingslek in Android gaat, maar om een zwakke plek in het besturingssysteem, en dat het misbruik maken van deze kwetsbaarheid een bijzonder ingewikkeld, duur en tijdrovend proces is. Hiervoor is vereist dat een
exploitwordt ontwikkeld. Dit is een computerprogramma om op een kwetsbare plek in het besturingssysteem een lek te maken waarmee toegang tot gevoelige informatie op een smartphone wordt verkregen (
hacken). Eén
exploitkan bovendien niet voor meerdere modellen smartphones worden gebruikt. De kans op “succesvol” gebruik van een
exploitis volgens Samsung uitermate gering. Naar het oordeel van de voorzieningenrechter is dit standpunt van Samsung onvoldoende weerlegd door de Consumentenbond. Integendeel, de Consumentenbond heeft als productie 24 een rapport in het geding gebracht van DPA B-Able waaruit voorshands eveneens kan worden afgeleid dat het gevaar van
stagefrightthans gering of niet (meer) aanwezig is. In dit rapport, dat dateert van 30 januari 2016, is immers onder meer opgenomen:
There is no evidence that the Stagefright vulnerability can be actively exploited on Samsung devices…
in the wild”) is
gehackt, laat staan dat hierdoor een gebruiker van een Samsungsmartphone is benadeeld.
stagefright (2.0)zijn beveiligd. Weliswaar zijn er enkele oudere modellen smartphones na juli 2013 verkocht waar nog geen
patchvoor is uitgebracht, te weten de Ace 2, de S3 en de S3 mini, maar dat het hier om substantiële aantallen smartphones gaat is niet duidelijk geworden.
stagefrighten
stagefright 2.0een zodanig acuut risico voor gebruikers van Samsung smartphones vormen dat voldoende spoedeisend belang bestaat om daartegen in kort geding op te komen.
certifigategeen kwetsbaarheid is in Android, maar “
in the software offered by third party application providers and only they can fix it.” Ook volgt uit die mail dat de kwetsbaarheid door de ontwikkelaars van die applicaties reeds is verholpen. De voorzieningenrechter is voorshands van oordeel dat de Consumentenbond tegen deze achtergrond onvoldoende aannemelijk heeft gemaakt dat
certifigatethans (nog) een acuut probleem vormt dat door Samsung kan worden verholpen. Weliswaar heeft de Consumentenbond het hiervoor genoemde rapport van DPA B-Able in het geding gebracht en zou uit pagina 47 van dit rapport kunnen worden afgeleid dat
certifigatewèl een acuut probleem vormt (hierop is een foto afgedrukt van een beeldscherm met een waarschuwing voor
certifigate), maar ook dit is weerlegd door Duart in zijn e-mail van 11 februari 2016. In de e-mail is namelijk onder meer opgenomen dat “
the warning does not say anything meaningful about the likelihood of a threat.”
Updaten!” gestart. De Consumentenbond wil een breed voorkomend probleem aan de kaak stellen. Op zich is dit begrijpelijk gezien de algemene doelstellingen van de Consumentenbond. Het lijkt er bovendien op dat de campagne in zekere mate succesvol is geweest. Al dan niet gestimuleerd door de Consumentenbond heeft Samsung immers haar informatievoorziening over updates en upgrades van haar smartphones verbeterd, zoals hierna ook onder 4.6 wordt besproken, en inmiddels updates voor veel modellen smartphones uitgebracht. Dit neemt echter niet weg dat een kort geding niet de geëigende procedure is om een dergelijk breed probleem zonder een spoedeisende, concrete aanleiding te laten beoordelen.
updatenvan smartphones allerminst eenvoudig is en dat Samsung daarbij afhankelijk is van Google. Bovendien heeft Samsung te maken met tal van versies en modellen en moet zij bij het
updatenzelf prioriteiten kunnen stellen. Ook zou toewijzing van de vorderingen voor Samsung mogelijk tot enorme kosten kunnen leiden, die binnen de beperkte reikwijdte van dit kort geding niet voldoende zijn te overzien. Voor dit standpunt van Samsung wordt verwezen naar de punten 3.16 tot en met 3.22 van de pleitnota van haar raadslieden.
816,00