Stel: u besluit te stoppen met uw IT-leverancier. Of de samenwerking loopt spaak. U vraagt om de inloggegevens van uw eigen domein, uw cloudomgeving, uw e-mailserver. En dan: stilte. Of erger, een ronduit weigering. Uw eigen systemen, uw eigen data, en u komt er niet bij.
Dit is geen fictief scenario. Het overkomt ondernemers, stichtingen en organisaties van alle formaten. In de praktijk noemen we dit informeel “gegevens gijzeling”: de situatie waarin een IT-dienstverlener de toegang tot uw eigen digitale infrastructuur inhoudt, al dan niet om druk uit te oefenen bij een conflict over betaling of de beëindiging van de samenwerking.
Wat zegt het recht hierover? En wat kunt u doen?
Wie is eigenaar van uw digitale infrastructuur?
De kern van het probleem is eenvoudig: een IT-dienstverlener beheert uw systemen, maar dat maakt hem niet de eigenaar. Het domein dat u hebt aangevraagd, de Microsoft-tenant die op uw bedrijfsnaam staat, het e-mailsysteem dat uw medewerkers dagelijks gebruiken, dat zijn uw bedrijfsmiddelen. De beheerder is een huurder met een sleutel, niet de huiseigenaar.
Zodra u om die sleutel vraagt en de beheerder weigert die terug te geven, betreedt u juridisch terrein.
De juridische grondslag: twee routes
1. Wanprestatie
Als er een overeenkomst bestaat tussen u en de IT-dienstverlener — en die is er bijna altijd, al is het maar een mondelinge afspraak of een factuurhistorie — dan geldt op grond van artikel 6:74 van het Burgerlijk Wetboek dat iedere tekortkoming in de nakoming de schuldenaar verplicht de schade te vergoeden. Als de beheerder contractueel gehouden was de systemen beschikbaar te houden en over te dragen bij beëindiging, levert weigering een toerekenbare tekortkoming op.
2. Onrechtmatige daad
Zelfs als er geen geschreven contract is, of als de contractuele verplichtingen betwist worden, biedt artikel 6:162 BW een zelfstandige grondslag. Wie een ander de toegang tot zijn eigen systemen onthoudt, handelt in strijd met hetgeen in het maatschappelijk verkeer betaamt. Met andere woorden: ook zonder een expliciete contractuele bepaling is het inhouden van beheertoegang in beginsel onrechtmatig.
Wat zeggen de rechters?
De Nederlandse rechtspraak is op dit punt verrassend eenduidig.
In 2021 oordeelde de Rechtbank Overijssel in een zaak waarbij een IT-beheerder weigerde de wachtwoorden en toegangsgegevens van een computersysteem af te geven. De voorzieningenrechter gelastte afgifte met een dwangsom, te voldoen binnen 24 uur. De redenering was recht door zee: de systemen waren eigendom van de opdrachtgever, niet van de beheerder. Zie ECLI:NL:RBOVE:2021:4721.
In 2023 speelde eenzelfde situatie bij de Rechtbank Amsterdam. Het kunstbedrijf GRIMM had de overeenkomst met haar IT-dienstverlener opgezegd. Die weigerde daarna de wachtwoorden (inclusief administrator-wachtwoorden) te verstrekken en drong erop aan het geschil via een bodemprocedure te beslechten. De voorzieningenrechter wees de vordering van GRIMM toe en overwoog daartoe:
“GRIMM heeft immers recht en belang op de wachtwoorden van haar eigen netwerk en systemen.”
De dwangsom bij niet-naleving volgde. Zie ECLI:NL:RBAMS:2023:7175.
Ook op het vlak van domeinnamen is de lijn duidelijk. Het Gerechtshof Arnhem-Leeuwarden oordeelde in 2019 dat een weigering om een domeinnaam over te dragen — ingegeven door een conflict tussen partijen — onrechtmatig was. Het hof stelde:
“De, door gekrenktheid ingegeven weigering van [appellant] om nog langer uitvoering te geven aan wat partijen beoogden en zijn pogingen om de domeinnaam bij een derde partij onder te brengen, [moet] onder deze omstandigheden als onrechtmatig jegens HBVA worden aangemerkt.”
De overdracht werd gelast. Zie ECLI:NL:GHARL:2019:7332.
Het kort geding: uw snelste wapen
Als uw bedrijf operationeel geblokkeerd is, kunt u niet wachten op een bodemprocedure van anderhalf jaar. De wet biedt daarvoor een oplossing: het kort geding. Op grond van artikel 254 van het Wetboek van Burgerlijke Rechtsvordering kan de voorzieningenrechter in spoedeisende zaken een onmiddellijke voorziening geven. In de praktijk betekent dit: een zitting binnen één tot twee weken, een vonnis binnen dagen daarna, en een bevel tot afgifte van de gegevens op straffe van een dwangsom per dag dat de leverancier weigert.
Het spoedeisend belang is in dit soort zaken doorgaans niet lastig aan te tonen. Geen toegang tot uw e-mail, geen controle over uw website, verstoorde bedrijfsprocessen — dat zijn concrete, aantoonbare schadeposten die de rechter serieus neemt.
Wat kunt u concreet doen?
Stap 1: Sommeer schriftelijk. Stuur een aangetekende brief of e-mail met leesbevestiging. Beschrijf nauwkeurig welke gegevens u opeist, stel een korte responstermijn (24 tot 48 uur is gebruikelijk in spoedeisende situaties) en kondigt aan dat u bij uitblijven van medewerking juridische stappen zet.
Stap 2: Stel aansprakelijk. Vermeld in dezelfde sommatie dat u de IT-dienstverlener aansprakelijk stelt voor alle schade die u lijdt door het uitblijven van de gegevensoverdracht. Dit is relevant voor een latere schadeclaim.
Stap 3: Schakel een advocaat in. Als de sommatie geen resultaat oplevert, is een kort geding de aangewezen route. Een advocaat kan binnen één à twee werkdagen een dagvaarding opstellen en indienen.
Stap 4: Documenteer de schade. Houd bij hoeveel uur u en uw medewerkers niet kunnen werken, welke klanten u niet kunt bedienen, welke contractuele verplichtingen u niet kunt nakomen. Die documentatie is de basis voor uw schadeclaim in de bodemprocedure die op het kort geding kan volgen.
Talha Yilmaz
Advocaat – Compliance Expert
Ter preventie: afspraken vooraf zijn goud waard
De beste remedie is voorkomen. Zorg dat uw IT-overeenkomst een overdrachtsclausule bevat die regelt dat bij beëindiging van de samenwerking alle gegevens, wachtwoorden en toegangen onverwijld worden overgedragen. Leg ook vast wie de contractant is bij Microsoft, Google of andere clouddiensten: u, niet uw beheerder. En bewaar altijd een eigen kopie van de aanmeld- en eigendomsdocumentatie van uw systemen.
Meer weten?
Klaar om cyber security en compliance eenvoudig en toegankelijk te maken?