Achtergrondartikel


IT-jurist Peter van Schelven over...

Schade bij dataverlies: wie betaalt?

Wie draait er op voor de financiële schade als een IT-bedrijf bij de uitvoering van systeembeheerdiensten door een stomme fout gegevens van een klant vernietigt? Die vraag staat centraal in een interessante uitspraak die het Gerechtshof in Den Haag eind september in hoger beroep deed in een langlopend geschil tussen Alhra, een groep bedrijven die actief zijn op het gebied van de verkoop en montage van kozijnen, glas en glasconstructies, en het IT-bedrijf IT Creation. De zaak laat zien dat dataverlies ingrijpende gevolgen kan hebben.

Het geschil waarover geprocedeerd werd, was in feitelijke zin niet echt complex. IT Creation had in het najaar van 2011 een Dell Precision 1600 verkocht en geleverd, inclusief een back-upvoorziening die elke dag automatisch een back-up van de volledige database van Alhra moest maken. Het systeem was zo geconfigureerd dat steeds na vier dagen automatisch over de oudste van de vier back-ups heen geschreven moest worden door daar de nieuwste back-up op te slaan. Daarnaast was er nog een incrementeel back-upsysteem dat bestemd was om wekelijks een back-up te maken. Enige dagen na de levering bleek dat systeem niet goed te werken.

Robycopy: foute instructie
Vervolgens heeft een medewerker van IT Creation remote aan de server van Alhra herstelwerkzaamheden verricht. Via een externe verbinding had hij toegang tot de server. Bij dit werk heeft hij in Robocopy, een faciliteit om op veilige wijze mappen te kopiëren, een foute instructie ingevoerd, als gevolg waarvan de data die zich op de server van Alhra bevonden volledig werden overschreven. Daardoor was het terugplaatsen van een back-up niet meer mogelijk. De database van Alhra was definitief verloren gegaan.

In de procedure die volgde, claimde Alhra de vergoeding van zijn bedrijfsschade, die op bijna 3,9 miljoen euro was becijferd. Een fors bedrag dus. De vordering was gebaseerd op de stelling dat IT Creation bij de uitvoering van het systeembeheer een wanprestatie had gepleegd. Het IT-bedrijf voerde daartegen verweer en beriep zich onder meer op zijn toepasselijke algemene voorwaarden. In deze voorwaarden was een bepaling opgenomen die zei dat iedere aansprakelijkheid van het IT-bedrijf voor ‘verminking of verlies van data’ was uitgesloten.

Vierogenprincipe?
Hield het beroep van IT Creation op ‘de kleine lettertjes’ stand? In de ogen van Alhra kon dat niet zo zijn, want als er sprake is van opzet of grove schuld, dan moet het beroep op een bepaling in algemene voorwaarden die aansprakelijkheid van de dienstverlener uitsluit, sneuvelen. Volgens Alhra was de fout van IT Creation zo stom, dat er sprake was van opzet of grove schuld aan de zijde van IT Creation. Ter onderbouwing daarvan voerde het gedupeerde bedrijf onder meer aan dat het verkeerde commando had kunnen worden voorkomen als er gewerkt zou zijn volgens het vierogenprincipe: de herstelprocedure had, aldus Alhra, door twee personen uitgevoerd moeten worden. Nu dit niet was gebeurd, moest IT Creation volgens die visie integraal op de financiële blaren komen te zitten.

Het Gerechtshof volgde die gedachte van Alhra echter niet. In het arrest valt te lezen: “… in het licht van de overgelegde stukken kan het hof niet vaststellen dat altijd wanneer gegevens verloren kunnen gaan, met vier ogen moet worden gewerkt.” Er is volgens het Gerechtshof dus geen aanleiding om bij systeembeheer toepassing van het vierogenprincipe te verlangen. Ik heb er geen enkele twijfel over dat de uitspraak van het Gerechtshof op dit punt juist is. Het door Alhra geponeerde vierogenprincipe is een gelegenheidsargument dat er in de procedure met de haren bij is gesleept. Wellicht bij gebrek aan beter. Het gestelde principe is in de wereld van het systeembeheer non-existent. De rechters trapten terecht dus niet in de val van het argument van Alhra.

Zure grap
Met dat oordeel bleef het beroep van IT Creation op haar algemene voorwaarden dus overeind. Het IT bedrijf hoefde, aldus het Gerechtshof, niet op te draaien voor de schade van Alhra. Voor die laatste moet dat uiteraard een zure grap zijn; het bleef zelf met de financiële schade zitten.

De clausule waarop IT Creation zich beriep, is vrijwel gelijkluidend aan een bepaling in de algemene voorwaarden van Nederland ICT, de brancheorganisatie voor de Nederlandse IT-industrie. Veel IT-bedrijven in ons land maken bij de uitvoering van hun IT-werkzaamheden gebruik van die voorwaarden. Het moet nog eens worden beklemtoond: het gebruik van die voorwaarden kan dus een flinke duit schelen.


Lees meer over