Een bespreking van de uitspraak van de Voorzieningenrechter van de Rechtbank Arnhem, van 18 juli 2008 inzake NXP B.V. tegen Stichting Katholieke Universiteit h.o.d.n. Radboud Universiteit Nijmegen (LJN: BD 7578).
Casus
NXP B.V. brengt sinds 1995 de Mifare Classic Chip op de markt. Deze chip wordt wereldwijd veelvuldig gebruikt voor onder andere toegangssystemen in bedrijven en voor toegang- en betaalsystemen in het openbaar vervoer. De bekendste toepassingen van deze chip zijn de OV-Chipkaart in Nederland en de Oyster-kaart in het Londense openbaar vervoer.
De Mifare Classic Chip kan door middel van radiosignalen communiceren met lezers die op vaste plekken zijn aangebracht, bijvoorbeeld bij toegangspoortjes op metrostations. Om deze communicatie te beveiligen en misbruik te voorkomen vindt de informatie-uitwisseling tussen de lezer en de chip plaats via een versleuteling. Hierbij wordt er gebruikt gemaakt van het geheime CRYTP01 encryptie algoritme.
Onderzoekers van de onderzoeksgroep Digital Security van het Institute for Computing and Information Sciences van de Radboud Universiteit Nijmegen hebben de werking van de Mifare Classic Chip onderzocht en een lek in de beveiliging gevonden. Zij willen dit onderzoek en de resultaten daarvan, met inbegrip van de geheime algoritme, in een wetenschappelijk artikel publiceren. Om dit te voorkomen heeft NXP een kort geding aangespannen.
Vorderingen en beoordeling
Ter voorkoming van de publicatie stelt NXP zich allereerst op het standpunt dat het algoritme een auteursrechtelijk beschermd werk is omdat er bij de ontwikkeling eigen, oorspronkelijke keuzes gemaakt zijn. Publicatie van het artikel zou inbreuk zou maken op NXP’s auteursrecht. De Voorzieningenrechter oordeelt hierop dat het mogelijk is dat er eigen en subjectieve keuzes gemaakt zijn bij het ontwerpen van het algoritme, waardoor auteursrechtelijke bescherming mogelijk zou kunnen zijn, maar dat dit in kort geding zonder nadere bewijslevering niet kan worden aangenomen.
Daarnaast doet NXP een beroep op de geschriftenbescherming voor het geval de rechter zou oordelen dat het algoritme onvoldoende oorspronkelijk zou zijn. De Voorzieningenrechter wijst dat ook af. Uit vaste jurisprudentie blijkt namelijk dat voor een beroep op de geschriftenbescherming het voorwerp beschikbaar gesteld moet zijn aan het publiek. Het algoritme is geheim en van beschikbaarstelling aan het publiek is dan ook geen sprake.
De derde pijl die NXP afvuurt is de stelling dat de publicatie onrechtmatig is. Volgens NXP kunnen derden met relevante basiskennis door de publicatie het beveiligingssysteem misbruiken, waardoor er grote schade kan ontstaan voor NXP en voor de maatschappij. Dit levert volgens NXP een dringende maatschappelijke noodzaak op waardoor het recht van vrije meningsuiting voor de Universiteit beperkt mag worden op grond van artikel 10 lid 2 EVRM. De rechter vindt dat de aard en omvang van de veiligheidsrisico’s die kunnen ontstaan door de publicatie van het artikel niet overtuigend door NXP zijn aangetoond. Daarnaast is er met de publicatie een direct maatschappelijk belang gemoeid, namelijk het belang dat de samenleving er spoedig over geïnformeerd wordt dat de chip een manco vertoont. De Voorzieningenrechter wijst de vordering dan ook af.
Conclusie
Het meest interessante in deze zaak is dat de Voorzieningenrechter van oordeel is dat een op zich wiskundig algoritme een auteursrechtelijk beschermd werk zou kunnen zijn. Daarnaast illustreert deze uitspraak dat een bedrijf dat een product met een mogelijk defect produceert van goeden huize moet komen om een wetenschappelijke publicatie daarover te voorkomen, zelfs als het bedrijf aanvoert dat de publicatie anderen kan aanzetten tot hacken.
