Het it-incident dat sinds zondag de dienstverlening van Albert Heijn, Etos en Gall & Gall verstoort, roept niet alleen vragen op over de oorzaak, maar ook over de financiële gevolgen. Bij wie komt de bon van dergelijke schade te liggen? Op die vraag is niet één antwoord te geven, stelt Blenheim Advocaten.
Websites, apps en klantenservice zijn tijdelijk niet beschikbaar en online bestelde boodschappen kunnen niet worden geleverd. Hoewel de winkels open blijven, is een belangrijk deel van de dienstverlening van de Ahold Delhaize-winkels weg. De schade van dit netwerkbeveiligingsprobleem kan snel oplopen. Albert Heijn behaalt online gemiddeld circa 6,2 miljoen euro omzet per dag. Bij een marge van 4 procent komt dat neer op ongeveer 251.000 euro aan misgelopen winst per dag, becijfert Blenheim Advocaten in een blog met als centale vraag: wie draait voor dergelijke schade op?
In de ogen van Blenheim Advocaten is daar geen eenduidig antwoord op te geven. De aansprakelijkheid hangt af van contractuele afspraken, de omstandigheden van het incident en de verdeling van verantwoordelijkheden tussen klant en leverancier.
SLA als vertrekpunt
Een belangrijke rol is weggelegd voor de service level agreement (SLA). Daarin staat welke diensten een leverancier levert, welk serviceniveau geldt en wie waarvoor verantwoordelijk is. Volgens de advocatenpraktijk kunnen daarin verschillende soorten verplichtingen zijn opgenomen.
Zo kan sprake zijn van een inspanningsverplichting, waarbij een leverancier zich aantoonbaar moet inzetten zonder een concreet resultaat te garanderen. Bij een resultaatsverbintenis wordt juist een bepaald prestatieniveau afgesproken, zoals een beschikbaarheid van 99 procent of het oplossen van een incident binnen een vastgestelde termijn. Daarnaast kunnen garanties zijn opgenomen, bijvoorbeeld over beveiligingsmaatregelen.
Ook buiten de sla heeft een leverancier vaak een zorgplicht. Die moet handelen zoals van een redelijk bekwaam it-dienstverlener mag worden verwacht en klanten tijdig informeren over risico’s, aldus het advocatenkantoor.
Beperking van aansprakelijkheid
Zelfs als een leverancier tekortschiet, betekent dat niet automatisch dat alle schade kan worden verhaald. Veel it-contracten bevatten een exoneratiebeding dat de aansprakelijkheid beperkt tot een bepaald bedrag of specifieke schadeposten uitsluit. Omzetverlies, gederfde winst en gevolgschade vallen daar vaak onder.
Volgens Blenheim Advocaten respecteren rechters dergelijke afspraken doorgaans in zakelijke relaties. Alleen bij opzet, grove schuld of bewuste roekeloosheid kan een beperking buiten toepassing worden gelaten. Ook de redelijkheid en billijkheid kunnen daarbij een rol spelen.
Overmacht en datalekken
Een beroep op overmacht ligt bij it-incidenten niet vanzelfsprekend voor de hand, meldt het kantoor in de blog. Of een cyberincident onder overmacht valt, hangt af van de afspraken tussen partijen en van de vraag binnen wiens risicosfeer het incident valt.
Wanneer ook persoonsgegevens betrokken zijn, kan bovendien sprake zijn van een datalek. In dat geval kunnen verplichtingen uit de AVG gelden, inclusief meldingen aan toezichthouders en betrokkenen.
Volgens de advocaten laat de storing zien hoe belangrijk het is om vooraf afspraken te maken over aansprakelijkheid, beveiliging, verzekeringen en de verdeling van risico’s. Juist voordat de digitale kassa stilvalt, moet duidelijk zijn wie uiteindelijk de rekening betaalt.
