Kroniek IT-recht

Kenmerkend voor IT-contracten is dat zij meestal kwalificeren als een overeenkomst van opdracht in de zin van artikel 7:400 Burgerlijk Wetboek (BW). Daarbij moet de IT-leverancier de zorg van een goed opdrachtnemer betrachten, en in het verlengde daarvan de afnemer tussentijds informeren over de werkzaamheden ter uitvoering van de opdracht.

Dat bij de uitvoering van IT-opdrachten (programmeer)fouten ontstaan, is op zichzelf niet opmerkelijk. In de rechtspraak leiden dergelijke fouten daarom niet per se tot een zorgplichtschending. Zo oordeelde de Rechtbank Overijssel in een zaak over een ICT-project waarbij koppelingen met bestaande applicaties moesten worden gemaakt. In het kader van de zorgplicht was het volgens de rechter belangrijker dat de leverancier de redelijke belangen van de opdrachtgever over het bereiken van toegezegde resultaten en kostenbeheersing van de uit te voeren taken, ondanks de daarbij gemaakte fouten, in het oog hield.¹

Zorgplicht en kostenbeheersing

Kostenbeheersing is een terugkerend thema bij de invulling van de zorgplicht. Het Gerechtshof Arnhem-Leeuwarden boog zich over een geschil tussen leverancier Ctac en afnemer Partners Network naar aanleiding van een mislukte automatisering. Partijen werden het niet eens over het budget voor 150-200 mandagen (later bijgesteld naar 182 mandagen), terwijl de uiteindelijke implementatieovereenkomst tussen partijen, een uitgebreide – met waarborgen voor Partners Network omgeven – urenfacturatieprocedure inhield zonder vast mandagenaantal. Op basis daarvan oordeelde het gerechtshof dat een overschrijding van het budget van 182 mandagen geen wanprestatie betrof.² Toch gelastte het gerechtshof nog een deskundigenbericht, omdat Ctac mogelijk haar zorgplicht had geschonden vanwege de verhouding tussen enerzijds de voortgang en kwaliteit van de software-implementatie en anderzijds het aantal in rekening gebrachte uren. Dit mede in het licht van de doelstellingen van de implementatieovereenkomst.³

Het is in IT-projecten ‘eerder regel dan uitzondering … dat de “scope” van de werkzaamheden gaandeweg steeds verandert en dat daarbij ook vaak aanzienlijke vertraging wordt opgelopen’, zoals ook de Rechtbank Amsterdam onderkende in een ander conflict met leverancier Ctac.⁴ In casu meldde Ctac in een reeds maanden lopende realisatiefase slechts twee dagen voor de afgesproken deadline aan afnemer LeaseWeb dat deze deadline niet gehaald zou worden. Daarbij meldde Ctac dat een aanvullende termijn van twee weken wel voldoende zou zijn. De rechtbank oordeelde dat Ctac met die laatste mededeling haar zorgplicht schond. Achteraf bezien was de eigen inschatting van Ctac op dat moment namelijk dat er nog vele maanden werk vereist was, waarbij de oorspronkelijke door Ctac gegeven kostenraming zou verdubbelen. ‘Van een redelijk handelend en redelijk bekwaam IT-deskundige mag tenminste worden verwacht dat een redelijk overzicht bestaat van de nog te verrichten werkzaamheden,’ aldus de rechtbank.⁵ Door deze zorgplichtschending was de ontbinding volgens de rechtbank gerechtvaardigd, ook al had LeaseWeb zelf ook een aandeel in de ontstane vertraging door (onder meer) haar gebrekkige informatievoorziening aan Ctac.

Zorgplicht en het testen van resultaten

Dat de scope van werkzaamheden in IT-projecten vaak wijzigt, geldt des te meer bij toepassing van de agile-methodiek.⁶ Bij die methodiek zijn testwerkzaamheden van belang voor het implementeren van feedback in nieuwe sprints (tijdsblokken waarbinnen een bepaald onderdeel van een project afgrond wordt) en het slagen van het project als geheel. De Rechtbank Noord-Holland oordeelde in dit kader dat leverancier Betty Blocks haar zorgplicht had geschonden door de onervaren en tijdig klagende afnemer VGB onvoldoende te assisteren bij het uitvoeren van deze tests.⁷ Volgens Betty Blocks ontstond er bij de uitvoering van de tests een ‘mismatch in de communicatie’, maar had VGB al het een en ander over de diverse functionaliteiten, het maken van een logische indeling en het opstellen van use cases duidelijk moeten zijn. De rechtbank oordeelde daarover dat Betty Blocks’ zorgplicht eruit bestond om VGB, juist omdat haar al het een ander duidelijk had moeten zijn, des te strakker bij de hand te nemen toen deze meldde niet te slagen in de testwerkzaamheden.⁸

Zorgplicht bij migratie

De zorgplicht speelt ook een rol na afloop van de dienstverlening, bijvoorbeeld wanneer de afnemer de dienstverlening migreert naar een andere leverancier. Zo sloten leverancier Stepco en afnemer ANVA een partnerovereenkomst die van toepassing was op nadere overeenkomsten waarin dienstverlening geregeld werd, die ANVA op haar beurt aan klanten in de financiële sector doorleverde. Vervolgens zegde Stepco eerst de partnerovereenkomst op, en daarna tegen een termijn van ruim een maand ook de nadere overeenkomsten. Geconfronteerd met de onmogelijkheid om tegen deze termijnen een migratie te bewerkstelligen, dagvaardde ANVA Stepco in kort geding. De voorzieningenrechter van de Rechtbank Midden-Nederland refereerde aan de afspraak die in de context van de partnerovereenkomst was gemaakt. Stepco diende bij beëindiging van de partnerovereenkomst de overeengekomen diensten gedurende de resterende looptijd van de nadere overeenkomsten voort te zetten en daarbij tegen een redelijke vergoeding alle nodige medewerking te verlenen aan de migratie ervan. De nadere overeenkomst was weliswaar tegen een termijn van ruim een maand opgezegd, maar de rechter oordeelde dat Stepco de dienstverlening nog eens drie maanden moest voortzetten, mede vanwege de ‘bijzondere zorgplicht’ van Stepco jegens ANVA en diens klanten. Dit gelet op onder meer het wezenlijk belang van de software en diensten voor ANVA en zijn klanten, de aard van de (financiële) dienstverlening van de klanten van ANVA waarbij ook gevoelige klantengegevens werden verwerkt, en de kans op en potentiële omvang van schade.⁹

Voor het vaststellen van een tekortkoming van een contractspartij is in de regel verzuim nodig. IT-afnemers doen in dit kader regelmatig een beroep op de regel over fatale termijnen in artikel 6:83 onder a BW: het verzuim treedt zonder ingebrekestelling in, wanneer een voor de voldoening bepaalde termijn verstrijkt zonder dat de verbintenis is nagekomen, tenzij blijkt dat de termijn een andere strekking heeft.

Fatale termijnen na het arrest-Fraanje / Alukon

Volgens de letter van de wet rust de stelplicht en de bewijslast dat een termijn niet fataal is op de IT-leverancier. Rechters gaan er echter regelmatig vanuit dat termijnen in principe indicatief zijn.¹⁰ Dit is gezien de wetsgeschiedenis van de artikelen 6:82 en 6:83 BW niet onbegrijpelijk. De Hoge Raad benadrukte onlangs in het (niet IT-specifieke) arrest-Fraanje / Alukon dat deze artikelen geen strakke regels bevatten. ‘Deze bepalingen beogen veeleer de rechter de mogelijkheid te geven om in de gevallen dat partijen – zoals meestal – zonder gedetailleerde kennis van de wet hebben gehandeld, tot een redelijke oplossing te komen naar gelang van wat in de gegeven omstandigheden redelijkerwijs van [partijen] mocht worden verwacht.’¹¹ Hierbij weegt volgens de Hoge Raad mee dat de schuldenaar in de meeste gevallen niet zal mogen wachten met voorbereidende handelingen tot hij wordt aangemaand. Dat betekent dat eerder gestelde termijnen, ook al waren die niet fataal en eerdere sommaties van belang kunnen zijn bij de boordeling van de redelijkheid van de in een aanmaning gestelde termijn. Ook door de schuldenaar zelf gewekte verwachtingen ten aanzien van de termijn van nakoming wegen daarbij mee.¹²

Nog voor deze uitspraak van de Hoge Raad oordeelde het Gerechtshof Arnhem-Leeuwarden in vergelijkbare zin. Leverancier E2Design en afnemer SBO kwamen volgens het gerechtshof geen fatale termijnen overeen. Toen E2Design de afgesproken planning niet nakwam, bracht SBO een ingebrekestelling uit met daarin een termijn voor het uitvoeren van een interne test en een termijn voor het live gaan van de website. Na het verstrijken van beide termijnen gaf E2Design aan alsnog te willen nakomen. SBO bracht daarop echter nogmaals twee ingebrekestellingen uit, waarin E2Design meer tijd werd gegund. Het hof deelde hierbij de mening van SBO dat zij haar rechten uit de eerste ingebrekestelling niet had prijsgegeven, voor zover E2Design binnen de nieuw gestelde termijnen niet alsnog zou nakomen.¹³ Dit was in casu belangrijk, omdat SBO vervolgens voor het verstrijken van de termijnen genoemd in de laatste ingebrekestelling overging tot omzetting van de verbintenis tot levering van de website in een verbintenis tot vervangende schadevergoeding. Deze bevoegdheid bestaat alleen wanneer sprake is van verzuim.

Fatale termijn en afwijkende afspraken

Tegenover het gebruik van dergelijke eerdere sommaties en gestelde termijnen staat wel dat de afnemer het fatale karakter aan termijnen kan ontnemen indien hij gedurende de looptijd van een overeenkomst akkoord gaat met afwijkende afspraken. Zo erkende een leverancier in een zaak voor de Rechtbank Rotterdam vlak na het verstrijken van een overeengekomen fatale termijn dat deze niet was gehaald, mede als gevolg van allerlei wensen aan de zijde van de afnemer. In reactie daarop spraken partijen een nieuwe opleverdatum af. Vervolgens gingen partijen vooruit met de ontwikkeling, belegden zij werk- en stuurgroepvergaderingen, maakten ze nadere afspraken en gingen zij in alle opzichten door met de uitvoering van de onderliggende ontwikkelovereenkomst. Als gevolg hiervan oordeelde de rechtbank dat de afnemer niet aan leverancier kon tegenwerpen dat die de eerder als fataal overeengekomen termijn niet had gehaald.¹⁴

In situaties waar leveranciers en afnemers met elkaar in discussie raken over de deugdelijkheid van de prestatie van de leverancier, gebeurt het regelmatig dat beide partijen, overtuigd van hun eigen gelijk, hun verplichtingen opschorten. Afnemers schorten periodieke betalingen op voor al dan niet opgeleverde deelopdrachten; leveranciers schorten daarop de oplevering van de volgende deelovereenkomst op. Indien de prestatie van de leverancier later als deugdelijk wordt beoordeeld, rechtvaardigt de betalingsachterstand de opschorting van de leverancier, zoals in het al besproken geschil tussen Ctac en Partners Network.¹⁵

De haalbaarheid en risico’s van opschorting

Opschorting door de leverancier is echter niet zonder risico. Stillegging van het IT-project kan immers voor de bedrijfsvoering van de afnemer consequenties hebben die veel groter zijn dan het stilzetten van betalingen door de afnemer. Zoals de Rechtbank Oost-Brabant oordeelde in een geschil tussen Alert en een aantal zorginstellingen komen de gevolgen van die stillegging dan voor rekening van de leverancier indien de rechter achteraf oordeelt dat zijn prestatie ondeugdelijk was. Daarmee kwalificeerde de opschorting zelfs als ‘gross negligence’, althans bewuste roekeloosheid.¹⁶

In de praktijk zal een leverancier daarom niet snel overgaan tot opschorting, ook niet bij gebrek aan een contractueel opschortverbod. Overigens kunnen leveranciers een dergelijk opschortverbod ook niet altijd tegen hun afnemers inroepen. Het Gerechtshof Den Haag oordeelde in een geschil tussen leverancier Infogroen en een afnemer, groothandel voor plantenkwekers, dat een beroep op de opschortingsbepaling in de algemene voorwaarden van de leverancier naar maatstaven van redelijkheid en billijkheid onaanvaardbaar was. Dit mede omdat de tekortkomingen van de leverancier die van de afnemer aanzienlijk overtroffen en de niet-betaalde factuur geen betrekking had op de hoofdovereenkomst waarin de leverancier tekortschoot, maar op supportdiensten gedurende het jaar na installatie.¹⁷

Een schuldeiser kan bij tekortkoming van iedere prestatie volgens artikel 6:265 BW ontbinden, tenzij de schuldenaar stelt en zo nodig bewijst dat de tekortkoming de ontbinding niet rechtvaardigt.

Ontbinding na het arrest Fraanje / Alukon

Een belangrijke ontwikkeling hierbij is dat de Hoge Raad in Fraanje / Alukon niet uitsloot dat een schuldeiser al rechtsgeldig kan ontbinden op het moment dat de schuldeiser zich niet binnen een gestelde, eerdere termijn (deugdelijk) heeft uitgelaten over de vraag of en hoe hij moet nakomen. Welke omstandigheden bepalen of een termijn van uitlating door de schuldenaar redelijk is, moet nog worden bepaald in de lagere rechtspraak. Volgens de Hoge Raad kan in ieder geval een rol spelen of de gestelde termijn gebruikelijk is in de branche waarin partijen actief zijn.¹⁸

Geen contractueel bedongen ingebrekestelling

In een al langer lopend geschil tussen leverancier Alert en afnemer Tweesteden Ziekenhuis was volgens de bepalingen uit de tussen partijen gesloten overeenkomst voor ontbinding altijd een ingebrekestelling vereist. Het Gerechtshof Den Bosch schoof deze eis voor ontbinding door het Tweesteden Ziekenhuis echter terzijde, omdat Alert niet meer in staat was om na te komen en het Tweesteden Ziekenhuis al meermaals duidelijk had gemaakt dat Alert tekort was geschoten.¹⁹ Daarmee sloot het hof aan bij de systematiek van artikel 6:265 lid 2 BW, waaruit volgt dat verzuim geen vereiste is voor ontbinding indien nakoming blijvend of tijdelijk onmogelijk is. Verder concludeerde het hof dat het Tweesteden Ziekenhuis geen aanspraak kon maken op zowel een ongedaanmaking van de betaling alsook een schadevergoeding. De aansprakelijkheidsbeperking werd namelijk ook geacht terugbetalingsverplichtingen te omvatten. Volgens het hof kon vastgesteld worden dat de vordering tot ongedaanmaking niet was uitgesloten, wat volgens haar betekende dat TsZ slechts éénmaal een vergoeding kon vorderen uit welke hoofde dan ook bij beëindiging van de overeenkomst. Deze conclusie van het hof is opmerkelijk, omdat de letterlijke tekst duidelijk enkel sprak over ‘liability’.²⁰

Zorgplichtschending

Een schending van de zorgplicht van de opdrachtnemer rechtvaardigt niet altijd een ontbinding van de overeenkomst als geheel, zo blijkt uit de uitspraak van de Rechtbank Noord-Holland in het geschil tussen VGB en Betty Blocks. Na een sommatie door VGB raakten partijen namelijk in discussie over de vraag of resterende werkzaamheden als meerwerk kwalificeerden. Betty Blocks had het in deze discussie bij het juiste eind volgens de rechtbank. Betty Blocks had samengevat weliswaar haar zorgplicht geschonden, en is na het uitbrengen van de sommatiebrief zonder overleg verder gegaan met het ontwikkelen van de software, maar voor de rechtbank woog zwaarder dat de afronding van het project als geheel mede niet gelukt is door de rechtens onjuiste opstelling van VGB in de meerwerkdiscussie. VGB hield er immers onterecht aan vast dat een deel van de resterende werkzaamheden als meerwerk kwalificeerden. Bij de vraag of de zorgplicht was geschonden, woog de rechtbank ook mee dat Betty Blocks na de sommatie open bleef staan voor afronding van het project.²¹

In het geschil tussen Ctac en LeaseWeb oordeelde de Rechtbank Amsterdam dat de ontbinding daarentegen wel gerechtvaardigd was. Ten tijde van de ontbinding was de deadline voor de oplevering van resultaten in de realisatiefase immers al acht maanden verstreken, terwijl de resultaten binnen vier maanden opgeleverd zouden worden en nog geen uitzicht bestond op de daadwerkelijke oplevering ervan. Bij de berekening van de waarde van de ongedaanmakingsverbintenissen kwam vervolgens weer tot uitdrukking hoe verstrekkend stilgevallen automatiseringen kunnen zijn. LeaseWeb was volgens de rechtbank in zijn geheel niet gebaat geweest bij de geleverde diensten. Ten tijde van de ontbinding was de status van het project onduidelijk, en kon een derde daardoor niet zomaar verder gaan waar Ctac was gebleven. Ongeacht de inhoud van de reeds verrichte prestatie, werd de waarde hiervan daarom vastgesteld op nihil.²² Dat de rechtbank tot dit oordeel kwam, is naar onze mening begrijpelijk. Het komt vaker voor dat derden de draad niet zomaar kunnen oppakken, zeker indien de leverancier de enige partij is die de werking van de software begrijpt. Afnemers hebben dan ook baat bij zorgvuldig uitgewerkte exitstrategieën bij het sluiten van IT-overeenkomsten, zodat zij niet afhankelijk zijn van de kennis en kunde van de leverancier bij beheer en onderhoud.

Onvoorziene omstandigheden

Het komt niet vaak voor dat IT-overeenkomsten op grond van onvoorziene omstandigheden worden ontbonden. Deze grond deed zich wel voor in een geschil voor de Rechtbank Amsterdam tussen Zoom.in en Music Nations. Zoom.in had onder een licentieovereenkomst, gesloten met YouTube, toegang tot een zogeheten Content Owner, waarmee zij op de website van YouTube een verzameling kanalen kon plaatsen. Zoom.in en Music Nations hadden vervolgens een overeenkomst met elkaar gesloten waardoor Music Nations een subnetwerk vormde op die Content Owner. Music Nations viel daardoor ook onder de licentie van Zoom.in met betrekking tot het gebruik van de Content Owner. Vervolgens wijzigde YouTube eenzijdig het zogeheten YouTube Guidebook for Multi-Channel Networks, die van toepassing was op de licentieovereenkomst tussen YouTube en Zoom.in. Hierdoor werd het subnetwerk van Music Nations aangemerkt als een onder de licentievoorwaarden ontoelaatbaar subnetwerk. Volgens de Rechtbank Amsterdam leverde deze wijziging van de richtlijnen een gewijzigde omstandigheid op waarmee partijen bij het sluiten van de overeenkomst geen rekening hadden gehouden, wat voldoende grond was voor ontbinding van de overeenkomst. Daarbij passeerde de rechtbank de hardship clause uit de overeenkomst, omdat onduidelijk was hoe de overeenkomst na een wijziging in stand zou kunnen blijven.²³

Acceptatie versus verificatie

In de aanbestedingsprocedure voor de levering van software ten behoeve van Helicon Opleidingen en CITAVERDE College, behield de aanbestedende dienst zich het recht voor ‘de opdracht niet te gunnen op basis van de uitkomst van de acceptatietest’ als zou blijken dat niet volledig aan het programma van eisen was voldaan. Na de voorlopige gunning aan Konica Minolta is de koppeling tussen de software van het Ximedes-betaalsysteem en de multifunctionals van Konica Minolta, na de vertraagde levering door Ximedes, getest met positief resultaat. Voor de Rechtbank Oost-Brabant stelt Canon, mede-inschrijver en zittend dienstverlener, echter dat Konica Minolta op het moment van de definitieve gunning niet kon voldoen aan het knock-outvereiste uit de aanbestedingstukken, althans dat zij niet kon aantonen dat zij de koppeling had gerealiseerd. Om die reden voldeed de inschrijving van Konica Minolta volgens Canon niet aan de gestelde eisen en had de stichting de inschrijving ongeldig moeten verklaren. De rechtbank benadrukte in dit kader dat de acceptatietest moet worden onderscheiden van de verificatie of de winnende inschrijver aan de geschiktheidseisen en uitsluitingsgronden voldoet.²⁴ De rechtbank oordeelde hierover dat de termijn voor de acceptatietest uit de aanbestedingsstukken is overschreden wegens een onvoorziene omstandigheid buiten de invloeds- en risicosfeer van Konica Minolta (het vertraagd beschikbaar komen van Ximedes software) wat niet kan leiden tot een ongeldige inschrijving van Konica Minolta.

Voorwaarde van overdracht IE-rechten niet proportioneel?

In het kader van een aanbesteding van datadiensten door de staat, ging het principaal appel bij het Hof ’s-Gravenhage over de vraag of de staat van inschrijvers mocht verlangen dat zij hun auteursrechten op de door hen te produceren deformatiekaarten (op basis van satelliet-radardata) aan de staat overdragen waarna de staat dit informatieproduct openbaar zou maken.²⁵ Volgens SkyGeo is deze handelwijze onrechtmatig, want in strijd met de Wet hergebruik van overheidsinformatie (Who), de Wet openbaarheid van bestuur (WOB), beginselen van behoorlijk bestuur (met name zorgvuldigheidsbeginselen) en het aanbestedingsrecht (met name het proportionaliteitsbeginsel). Het hof oordeelde dat de Who en de WOB betrekking hebben op de voorwaarden waaronder de overheid informatie aan derden ter beschikking dient te stellen. Deze wetten verbieden de staat niet om van inschrijvers te verlangen dat zij intellectuele eigendomsrechten op de resultaten van de aan hen opgedragen diensten aan de staat overdragen, en ook niet om deze resultaten vervolgens openbaar te maken. Door de Rechtbank Den Haag werd in het kort geding in eerste instantie al geconcludeerd dat de gestelde voorwaarde in het algemeen niet ontoelaatbaar is, maar dat dit onverlet laat dat een dergelijke voorwaarde disproportioneel kan zijn in een specifiek geval.²⁶ Het hof oordeelde echter dat van strijdigheid met het proportionaliteitsbeginsel geen sprake is. Naar het oordeel van het hof gaat de overdracht van de auteursrechten en de eventuele openbaarmaking van het informatieproduct niet verder dan nodig om de hiervoor genoemde doelen van de staat te realiseren.

Bij de Rechtbank Midden-Nederland deed zich een soortgelijke vraag voor. In deze zaak ging het om een door de provincie Utrecht georganiseerde aanbesteding tot het sluiten van een dienstovereenkomst voor de ontwikkeling, het beheer en doorontwikkeling van de distributiefunctie van een dynamisch reizigersinformatiesysteem.²⁷ Inschrijver Ferranti stelde zich op het punt dat de eis tot overdracht van de intellectuele eigendomsrechten van de bron- en objectcodes, disproportioneel was en niet aan de maatstaf van artikel 1.10 lid 1 van de Aanbestedingswet 2012 voldeed. Deze maatstaf bepaalt dat een aanbestedende dienst bij het tot stand brengen van de overheidsopdracht uitsluitend eisen stelt die in een redelijke verhouding staat tot het onderwerp van de opdracht. Ferranti stelde dat de winnende inschrijver haar volledige business zou moeten overdragen aan de opdrachtgever, dit terwijl er een minder verstrekkend alternatief openstaat, namelijk het verlenen van een uitgebreid gebruiksrecht. De rechtbank volgde dit standpunt niet, aangezien de eis niet stelt dat alle intellectuele eigendomsrechten overgedragen moeten worden, maar slechts de intellectuele eigendomsrechten met betrekking tot de speciaal (specifiek) voor deze opdracht door opdrachtnemer ontwikkeld bron- en objectcodes (zoals bepaald in artikel 10.1 van de toepasselijke ARBIT-2018-voorwaarden). De rechtbank benadrukte overigens wel dat de eis om alle intellectuele eigendomsrechten met betrekking tot de bron- en objectcode over te dragen aan een opdrachtgever disproportioneel kan zijn.

Proportionaliteit en Proof of Concept

De proportionaliteitstoets wees wél in het voordeel uit van de (uitgesloten) inschrijver in een uitspraak van de Rechtbank Amsterdam.²⁸

Stichting IMN schreef een aanbesteding uit voor exploitatie van het Landelijk Centraal Meldpunt voor incidentmeldingen op de Nederlandse wegen. De winnende inschrijver (CED) kreeg vijf maanden de tijd om het systeem gereed te maken voor een praktijk- en systeemtest (in de IT vaak ook aangeduid als een Proof of Concept), waarna definitieve gunning zou volgen. Indien de testdatum niet werd gehaald, zou twee weken later een tweede test volgen. Indien deze ook niet werd gehaald, zou uitsluiting volgen. Twee dagen voor de tweede praktijktest werd CED erop gewezen dat een onderdeel van haar systeem niet voldeed aan de wensen van Stichting IMN en dat tijdens de tweede test wel aan deze eis moest worden voldaan. CED herstelde het gebrek niet binnen twee dagen en werd uitgesloten van de procedure. De rechtbank oordeelde dat de uitleg van de eis door CED weliswaar minder juist was dan de interpretatie van Stichting IMN, maar dat deze niet onverdedigbaar was. Gegeven het feit dat tijdens de eerste test niet aan het licht was gekomen dat de eis anders werd geïnterpreteerd en dat CED inmiddels veel tijd in het nieuwe systeem had gestoken, achtte de rechtbank het niet proportioneel dat CED slechts twee dagen kreeg om het systeem te herstellen. De uitsluiting van CED werd dan ook ongedaan gemaakt en CED werd een nieuwe praktijk- en systeemtest toegestaan.

De IT-branche heeft zo zijn eigen jargon. De betekenis en uitleg van bepaalde termen binnen het vakgebied staan geregeld ter discussie in geschillen over IT-aanbestedingen, waarbij de cao-norm leidend is.

Uitleg in het perspectief van de IT-branche

Zo maakte de Rechtbank Amsterdam duidelijk wat moet worden verstaan onder het begrip ‘adoptie’.²⁹ Adoptie is een kernbegrip binnen de IT-branche. Het ziet op de menselijke kant van een nieuw IT-systeem en vormt naast de technische kant een belangrijke factor voor succes bij de invoering van het systeem.

Het geschil ging over de aanbesteding van een digitale werkplekinrichting ‘in de cloud’ voor de medewerkers van Pantar, een werk-leerbedrijf voor mensen met een afstand tot de arbeidsmarkt. Als onderdeel van de inschrijving was deelnemers gevraagd een adoptieplan toe te voegen. Het doel van het plan was om medewerkers van Pantar op de hoogte te stellen en vertrouwd te maken met de veranderingen en mogelijkheden binnen hun werkplek. Skysource, een van de inschrijvers, kon zich niet vinden in de beoordeling van het door haar ingediende adoptieplan.

Skysource heeft echter niet concreet duidelijk gemaakt hoe zij Pantar wilde gaan ‘ontzorgen’ en de impact van het nieuwe systeem minimaliseren, aldus de rechtbank. De doorlooptijd van de adoptie was niet realistisch, aangezien het tijdschema betrekking had op de technische implementatie en nergens duidelijk werd dat en hoeveel tijd was gepland voor de adoptie zelf. Gelet op het omschreven doel van het adoptieplan had het voor Skysource voldoende helder moeten zijn dat het hier om de adoptie ging, en niet om de technische implementatie, aldus de rechtbank. Dat Pantar dit onderdeel als onvoldoende had beoordeeld, vond de rechtbank dan ook begrijpelijk.

Bij de Rechtbank Den Haag stond de uitleg van het begrip ‘operationeel’ centraal.³⁰ De kern van het geschil betrof de uitleg van de eis dat de software ‘bij één of meerdere gebruikers van de aangeboden oplossing operationeel is op het moment van inschrijving’. Inschrijver Nazca meende dat deze eis inhield dat het systeem op het moment van inschrijving klaar moest zijn voor gebruik en werkend en toepasbaar is, terwijl aanbestedende dienst ODMH de betekenis aanhield dat het systeem – meer specifiek de aanlevering naar het landelijk bodemloket – op het moment van inschrijving in gebruik moest zijn genomen en werkend en ingezet moest zijn bij een klant.

De rechtbank vond het betoog dat in de ICT-branche de fase vóór de datum van ingebruikneming als de operationele fase moet worden beschouwd, niet overtuigend, maar volgde de redenatie dat binnen die branche de operationele fase de fase is waarin de software daadwerkelijk in gebruik is genomen na acceptatie. Voordien gaan toekomstige gebruikers weliswaar aan de slag met het systeem, maar met als doel om fouten uit het systeem te halen alvorens tot acceptatie wordt overgegaan. De operationele fase begint dus pas na ingebruikname van het systeem door alle medewerkers, wanneer blijkt dat het systeem in de dagelijkse praktijk werkt; dan is het systeem operationeel.

Eisen voor geavanceerde elektronische handtekeningen (art. 15 eIDAS-verordening)

De ‘natte handtekening’ maakt steeds vaker plaats voor de elektronische handtekening. De eIDAS-verordening, die op Europees niveau wetgeving over de elektronische handtekening harmoniseert, kent drie verschillende vormen van de elektronische handtekening: de gewone, de geavanceerde en de gekwalificeerde elektronische handtekening.³¹ Verder is voor rechtsgeldige ondertekening van processtukken in het civiele en bestuursprocesrecht vereist dat (a) de ondertekenaar zich heeft geauthentiseerd, en (b) de handtekening op zodanige wijze is verbonden aan het elektronische bestand waarop deze betrekking heeft, dat de identiteit van de ondertekenaar, het moment van ondertekening en elke wijziging na ondertekening van het document kunnen worden achterhaald.³²

Ondertekening uitspraken en digitaal dossier rechtspraak

Ook de rechtspraak gaat mee met haar tijd en ondertekent bepaalde uitspraken digitaal. In asiel- en bewaringszaken wordt bij de Rechtbank Den Haag verplicht digitaal geprocedeerd en verloopt de communicatie in een zaak via een digitaal dossier. Uitspraken worden door de rechter en griffier digitaal ondertekend.³³

De Afdeling bestuursrechtspraak van de Raad van State oordeelde in dit kader, in een asielzaak, dat de digitale handtekening van de rechter en griffier op het punt van de tweefactorauthenticatie in bepaalde situaties niet aan de wettelijke eisen voldeed.³⁴ Om toegang te krijgen tot een digitaal systeem voor gegevensverwerking van de rechterlijke instanties moet gebruik worden gemaakt van een middel dat: (i) is uitgegeven door de overheid of een onder toezicht van de overheid staande organisatie; (ii) uitgaat van een tweefactorauthenticatie (bestaande uit een gegeven dat de gebruiker weet, en een gegeven dat de gebruiker heeft); en (iii) is aangewezen door de rechterlijke instanties.³⁵

Indien rechters en griffiers op een mobiele werkplek (een ‘flexplek’) een uitspraak ondertekenen, verkrijgen zij toegang tot hun IT-systeem door middel van een, na identiteitscontrole in persoon ontvangen, versleutelde laptop met een gebruikersnaam en wachtwoord. Indien zij vervolgens een document ondertekenen, wordt er volgens de Afdeling hiermee twee keer gebruikgemaakt van dezelfde authenticatiemethode, namelijk ‘iets wat de gebruiker weet’. Door het ontbreken van ‘iets wat de gebruiker heeft’, is niet aan het tweefactorauthenticatievereiste voldaan.

Ook in de situatie waar de ondertekenaar een vaste werkplek heeft, en daarbij een Rijkspas gebruikt om toegang tot de fysieke werkplek te krijgen, voldoet het systeem volgens de Afdeling niet aan het vereiste van de tweefactorauthenticatie. Er ontbreekt een systematische verbinding tussen de controle van de persoon die het beveiligde gedeelte van het gebouw betreedt, en de persoon die door middel van gebruikersnaam en wachtwoord toegang verkrijgt tot het systeem van de rechtspraak. De twee systemen functioneren los van elkaar, wat de betrouwbaarheid van de verbinding tussen de identiteit van de ondertekenaars en de uitspraak raakt. In de onderhavige vreemdelingenzaak had de ondertekenaar zich niet geauthentiseerd met een middel dat uitgaat van tweefactorauthenticatie, aldus de Afdeling.³⁶

Elektronische ondertekening bij maatregel van bewaring

In een andere vreemdelingenzaak stond ter discussie of de maatregel van bewaring op de voorgeschreven wijze was ondertekend.³⁷ De maatregel was voorzien van een (geavanceerd) elektronisch zegel – die de oorsprong en integriteit van de gegevens waarborgde – en niet van een (geavanceerde) elektronische handtekening – die hetzelfde rechtsgevolg heeft als een geschreven handtekening. De rechtsgeldigheid van de maatregel van bewaring vereist dat die (al dan niet elektronisch) is ondertekend, een stempel volstaat dus niet, ongeacht of deze elektronisch is of niet. Het rechtsgevolg van een elektronische handtekening en de toelaatbaarheid ervan als bewijsmiddel in gerechtelijke procedures mogen niet worden ontkend louter op grond van het feit dat de handtekening elektronisch is of niet aan de eisen voor gekwalificeerde elektronische handtekeningen voldoet (art. 25 lid 1 eIDAS-verordening), aldus de rechtbank.

Elektronische handtekeningen in de zorg (art. 3:15a BW jo. art. 4 en 5 lid 1 Wet Bopz)

Ook in de zorg heeft de elektronische handtekening stof doen opwaaien. De Hoge Raad heeft zich uitgesproken over de toelaatbaarheid van de elektronische handtekening onder een geneeskundige verklaring en de eisen daarbij.³⁸ Ingevolge de Wet bijzondere opnemingen in psychiatrische ziekenhuizen (Bopz) moet bij een verzoek om een machtiging tot voortgezet verblijf, een verklaring worden overgelegd die ondertekend is door de geneesheer-directeur van het psychiatrisch ziekenhuis waarin de betrokkene is opgenomen. Volgens vaste rechtspraak moet deze verklaring door de geneesheer-directeur zelf worden ondertekend, zodat blijkt van zijn instemming met en aanvaarding van zijn verantwoordelijkheid voor de inhoud van de verklaring. De wet regelt niet op welke wijze(n) een geneesheer-directeur de geneeskundige verklaring kan ondertekenen, maar de mogelijkheid om digitaal te ondertekenen wordt niet uitgesloten. Volgens de Hoge Raad brengt het doel waarvoor een geneeskundige verklaring wordt gebruikt mee dat een elektronische handtekening onder een geneeskundige verklaring een geavanceerde of een gekwalificeerde elektronische handtekening moet zijn. Het vereiste dat de geneesheer-directeur de geneeskundige verklaring zelf ondertekent en de daaraan ten grondslag liggende ratio (dat dit blijk geeft van zijn instemming met en aanvaarding van zijn verantwoordelijkheid voor de inhoud van de verklaring), brengen mee dat de elektronische handtekening met zodanige waarborgen moet zijn omkleed dat (i) alleen de geneesheer-directeur zelf de elektronische handtekening kan zetten en (ii) elke wijziging in de geneeskundige verklaring na ondertekening moet kunnen worden achterhaald. Omdat zowel de geavanceerde elektronische handtekening als de gekwalificeerde elektronische handtekening aan deze eisen voldoet, bieden zij vergelijkbare waarborgen als een handgeschreven handtekening. Een gestempelde handtekening voldoet niet, omdat deze door iedereen die beschikt over de stempel kan worden gezet.

Ook de Rechtbank Noord-Nederland boog zich over de toelaatbaarheid van de digitale handtekening onder de geneeskundige verklaring.³⁹ Gelet op de technische ontwikkelingen van de afgelopen decennia is de rechtbank van oordeel dat, gelet op de strekking van de eis van een persoonlijke ondertekening, ook kan worden volstaan met een digitale handtekening wanneer deze is gezet na uitdrukkelijk toestemming van de geneesheer-directeur aan degene die de verklaring verstuurt.