Hoe voldoe je als aanbieder aan de Digital Services Act (DSA)?

Een van de belangrijkste wetten in het digitale domein is de Digital Services Act (DSA) die sinds 17 februari 2024 van kracht is. Wat houdt deze wetgeving precies in en waar moet je als aanbieder rekening mee houden?

Achtergrond van de Digital Services Act (DSA)

In de afgelopen 25 jaar heeft digitalisering een grote impact gehad op de maatschappij. In 2000 werd de eerste stap gezet met de Europese e-Commerce-richtlijn. Deze richtlijn werd in het leven geroepen om de interne markt binnen Europa een positieve impuls te geven op het gebied van ‘elektronische handel’. Met de richtlijn werd een juridisch kader geschapen ten behoeve van de rechtszekerheid en het vertrouwen van consumenten in het gebruik van onlinediensten. Ook zijn hierdoor de eerste regels ontstaan waar online dienstverleners aan moeten voldoen op het gebied van elektronische communicatie en handel. Voor het eerst werd de aansprakelijkheid van dienstverleners die enkel optreden als tussenpersonen (mere conduit, caching en hosting) wettelijk vastgelegd. Als tussenpersoon was je onder bepaalde voorwaarden niet aansprakelijk.

Door de toegenomen digitalisering, het gebruik van onlinediensten en de nieuwe manieren van informatieverstrekking, besloot de Europese Commissie om de e-Commerce-richtlijn te herzien. Met de Digital Services Act (DSA) beoogde de Commissie het juridisch kader te moderniseren. Dit resulteerde in 2022 in definitieve tekst van de DSA. De Europese verordening is sinds 17 februari 2024 van kracht in alle Europese lidstaten.

In de verordening van de DSA wordt expliciet benadrukt dat de digitale transformatie van de afgelopen 25 jaar voor nieuwe risico’s en uitdagingen heeft gezorgd voor consumenten, bedrijven en de samenleving als geheel. Het gaat dan bijvoorbeeld over illegale inhoud (content). Enkele voorbeelden hiervan zijn het delen van beelden van seksueel misbruik van kinderen, het onrechtmatig en zonder toestemming delen van privébeelden, online stalking, de verkoop van niet-conforme of namaakproducten, de verkoop van producten of het aanbieden van diensten die een inbreuk vormen op het consumentenbeschermingsrecht en het onbevoegde gebruik van auteursrechtelijk beschermd materiaal zoals films en muziek.

Voor wie geldt de DSA?

Volgens de verordening geldt de DSA voor alle aanbieders van bepaalde diensten in de informatiemaatschappij. Daarnaast wordt in de DSA expliciet benoemd dat de verordening in het bijzonder geldt voor ‘aanbieders van tussenhandeldiensten’. Hierbij wordt géén onderscheid gemaakt met betrekking tot waar de aanbieder is gevestigd.

Er worden drie dienstencategorieën onderscheiden:

Mere conduit (‘doorgeefluik’)
- internetknooppunten, draadloze toegangspunten, virtuele particuliere netwerken, DNS-(omzettings)diensten, topleveldomeinnaamregisters, registrerende instanties, certificatie-instanties die digitale certificaten afgeven, voice over IP en andere interpersoonlijke communicatiediensten.
Caching (wijze van opslag)
- aanbieden van inhoudsleveringsnetwerken, reverse proxy’s of inhoudsaanpassingsproxy’s
Hosting (het beschikbaar maken van)
- cloudcomputing, webhosting, betaalde zoekmachineadvertentiediensten of diensten die het online delen van informatie en inhoud mogelijk maken, waaronder het opslaan en delen van bestanden.

Binnen de derde categorie wordt onderscheid gemaakt tussen aanbieders van enkel hostingdiensten en de subcategorie ‘aanbieders van online platforms’. Hieronder vallen bijvoorbeeld sociale netwerken of platformen die consumenten de mogelijkheid bieden overeenkomsten op afstand te sluiten met handelaren. Daarom worden deze platforms aangemerkt als aanbieders van hostingdiensten die niet alleen informatie opslaan die door de afnemers van de dienst op hun verzoek wordt verstrekt, maar die deze informatie ook verspreiden onder het publiek, op verzoek de afnemers van de dienst. Voor deze online platforms (zoals sociale media platforms) gelden aanvullende regels waaraan zij moeten voldoen.

Is verspreiding bij het publiek slechts een klein onderdeel van jouw dienst? Dan word je alleen aangemerkt als aanbieder van hostingdiensten.

Daarnaast kan een organisatie in meerdere categorieën vallen omdat meerdere soorten diensten worden aangeboden.

Wat zijn jouw rechten en plichten als aanbieder?

Aansprakelijkheidsvrijstellingen

De DSA is voornamelijk gericht op de regels rondom aansprakelijkheid van aanbieders van tussenhandeldiensten. Let wel: dit verschilt per dienstcategorie (mere conduit, caching, hosting).

Over het algemeen geldt dat een aanbieder van een tussenhandeldienst in beginsel niet aansprakelijk is voor de informatie die gebruikers verspreiden via/of opslaan bij de tussenhandeldienst zolang aan de gestelde voorwaarden in de DSA wordt voldaan. In artikel 7 van de DSA wordt verder vermeld dat aanbieders die te goeder trouw en zorgvuldig vrijwillig onderzoek uitvoeren of andere maatregelen nemen tegen illegale inhoud, nog steeds aan deze voorwaarden moeten voldoen.

Bevel om op te treden tegen illegale inhoud

Ontvang je een bevel van een bevoegde autoriteit om actie te ondernemen tegen illegale content? Dan dien je volgens artikel 9 van de DSA hier gehoor aan te geven en de desbetreffende autoriteit ervan op de hoogte stellen dat gevolg is gegeven aan het bevel. Ook wanneer je een bevel ontvangt om specifieke informatie te verstrekken over één of meerdere specifieke afnemers van de dienst, dien je hieraan te voldoen.

De bevoegde autoriteit stuurt vervolgens het bevel samen met de ontvangen informatie vanuit de tussenhandeldienst door naar de digitaledienstencoördinator van de lidstaat van de uitvaardigende autoriteit. In Nederland is de Autoriteit Consument & Markt (ACM) aangewezen als digitaledienstencoördinator en toezichthouder van de DSA.

Als aanbieder van tussenhandeldiensten moet je uiterlijk op het tijdstip waarop gevolg is gegeven aan het bevel, de afnemer van de dienst op de hoogte stellen van het bevel en dat hier actie op is ondernomen. In het bericht dat je naar de afnemer stuurt moet een motivering staan waarin wordt uitgelegd waarom de informatie illegale inhoud vormt.

Zorgvuldigheids- en transparantieverplichtingen

In vergelijking met de e-Commerce-richtlijn bevat de DSA meer verplichtingen voor aanbieders van tussenhandeldiensten rondom zorgvuldigheid en de transparantie voor een veilige online-omgeving voor burgers. De onderstaande verplichtingen gelden voor alle tussenhandeldiensten.

Centrale contactpunten voor bevoegde autoriteiten en jouw gebruikers

Je moet als aanbieder van een tussenhandeldienst een centraal contactpunt voor de bevoegde autoriteiten vanuit de Europese lidstaten (artikel 11) hebben om daarmee te kunnen communiceren. Daarbij hoort dat je de informatie over hoe het contactpunt kan worden bereikt, zo gemakkelijk en toegankelijk neerzet.

Tip: Als aanbieder kan je dit regelen door een specifiek e-mailadres aan te maken (bijvoorbeeld: abuse@bedrijfsnaam.nl) wat gericht is op het behandelen van meldingen over abuse.

Je moet ook een apart centraal contactpunt voor jouw gebruikers instellen. Zij moeten volgens artikel 12 van de DSA op een gebruiksvriendelijke manier moeten communiceren met jouw organisatie.

Tip: Zorg ervoor dat jouw helpdesk voor klanten zo is ingericht dat zij via bijvoorbeeld een specifiek contactformulier meldingen kunnen sturen. Maak hierbij voor klanten ook duidelijk dat zij aangeven dat de melding een Notice & Takedown (NTD) melding betreft.

Algemene voorwaarden

In de algemene voorwaarden moet je voor jouw gebruikers zo helder mogelijk formuleren wat de eventuele gestelde beperkingen zijn voor het gebruik van de dienst. Die informatie omvat gegevens over eventuele beleidsmaatregelen, procedures, maatregelen en middelen die worden ingezet voor inhoudsmoderatie. Daarbij moet ook expliciet worden opgenomen of je hiervoor gebruikmaakt van algoritmische besluitvorming of menselijke controle.

Tip: Clean Networks heeft speciaal voor deelnemers van het initiatief templates beschikbaar voor een Abuse Policy en een Acceptable Use Policy (AUP). Wil je een of beide templates ontvangen? Neem dan contact op via bureau@cleannetworks.net voor meer informatie.

Jaarlijkse rapportage

In het kader van transparantie moet je als aanbieder jaarlijks minimaal één keer een rapport openbaar maken met daarin eventuele inhoudsmoderatie die tijdens die periode heeft plaatsgevonden.

Tip: Benieuwd hoe je dit zo efficiënt mogelijk kan doen? Bekijk dan het transparantierapport van Freedom Internet via deze link.

Aanbieders van tussenhandeldiensten moeten zorgen dat het rapport de volgende gegevens bevat:

Het aantal bevelen wat je hebt ontvangen van bevoegde autoriteiten, ingedeeld naar het type illegale inhoud en in welke tijdsduur je maatregelen hebt ondernomen om het bevel op te volgen. De getroffen maatregelen moeten ook staan vermeld in het rapport.
De geautomatiseerde middelen die je hebt gebruikt voor het detecteren en verwijderen van de illegale inhoud.
Het aantal klachten dat is ontvangen via jouw interne klachtenafhandelingssysteem die in lijn zijn met jouw algemene voorwaarden.

Aanbieders van hostingdiensten moeten in hun rapportage opnemen hoeveel meldingen van illegale inhoud zij hebben ontvangen van gebruikers én door ACM aangewezen zogenaamde betrouwbare melders: ‘trusted flaggers’. Ook hierbij geldt dat het aantal meldingen moet zijn verdeeld per specifiek type illegale inhoud. Verder moet je als aanbieder van hostingdiensten beschrijven in welke tijdsduur je maatregelen hebt genomen, de specifiek genomen maatregelen en het aantal meldingen dat is verwerkt met geautomatiseerde hulpmiddelen.

Aanvullende maatregelen voor hostingproviders

Naast de bovengenoemde plichten gelden specifiek voor aanbieders van hostingdiensten aanvullende maatregelen waaraan moet worden voldaan bij de bestrijding van illegale online inhoud. Hieronder vind je de aanvullende maatregelen:

Kennisgevings- en actiemechanismen (artikel 16)

Als aanbieder moet je systemen inrichten die ervoor zorgen dat gebruikers van jouw dienstverlening op eenvoudige en elektronische wijze meldingen kunnen doen van illegale inhoud. Je moet daarom nodige maatregelen nemen om dit mogelijk te maken, waarbij de melding de volgende gegevens moeten bevatten:

Een gemotiveerde verklaring van de redenen waarom een persoon of organisatie aanvoert dat de betrokken informatie illegale content bevat.
Een duidelijke vermelding van de exacte elektronische locatie van die informatie, zoals de exacte URL of URL’s, en, waar nodig, bijkomende informatie waarmee de illegale inhoud, afgestemd op het type inhoud en het specifieke type hostingdienst.
Naam en een e-mailadres van de persoon of organisatie die de melding doet. Dit geldt echter niet bij informatie waarvan wordt geacht dat de informatie strafbare feiten omvat volgens artikel 3 t/m 7 van de Europese Richtlijn ter bestrijding van seksueel misbruik en seksuele uitbuiting van kinderen en kinderpornografie.
Een verklaring van de melder waarin wordt aangegeven dat de beweringen nauwkeurig en volledig zijn.

Daarnaast moet je ervoor zorgen dat je de melder een ontvangstbevestiging van de gedane melding stuurt. Vervolgens breng je ook de melder op de hoogte van het besluit met betrekking tot de informatie waarop de melding betrekking heeft, en verstrek je informatie over de verhaalmogelijkheden in verband met het besluit.

Tip: Zorg dat je een specifieke websitepagina aanmaakt waarin de vier bovengenoemde punten staan vermeld, inclusief contactformulier. Hierdoor zorg je ervoor dat het voor gebruikers duidelijk is waar een melding aan moet voldoen. Je kan dit combineren met de genomen actie rondom het centrale contactpunt (artikel 12, DSA).

Let op: Gebruik je als aanbieder voor de verwerking of besluitvorming geautomatiseerde tools? Dan stel je de melder ook hiervan op de hoogte.

Motivering (artikel 17)

Wanneer je als aanbieder informatie verwijdert of jouw gebruikers (gedeeltelijk) een schorsing oplegt omdat zij zich niet aan de wet of aan jouw algemene voorwaarden houden, dan ben je verplicht om een motivering te sturen naar de desbetreffende gebruiker. Deze motivering moet zo specifiek en duidelijk mogelijk zijn opgeschreven. Verder dien je rekening te houden met de volgende aspecten:

Is er sprake van illegale content? Zorg dan dat je een verwijzing maakt naar de desbetreffende wetgeving die aangeeft waarom de informatie als illegale inhoud wordt beschouwd.

Word er inbreuk gemaakt op de algemene voorwaarden? Stuur dan ook een verwijzing door van de contractuele afspraken waarin dit staat vermeld, inclusief verklaringen waarom op basis hiervan de sanctie aan de gebruiker wordt opgelegd.

Kennisgeving van vermoedens van strafbare feiten (artikel 18)

Krijg je kennis van informatie die aanleiding geeft tot een vermoeden dat een (levensbedreigend) strafbaar feit is, wordt of waarschijnlijk wordt gepleegd? Breng dan als aanbieder direct de rechtshandhavings- of gerechtelijke autoriteiten van de betrokken lidstaat of lidstaten op de hoogte. Daarnaast verstrek je alle beschikbare relevante informatie hierover aan de bevoegde autoriteiten.

Clean Networks: samen strijden tegen abuse

De toename van misbruik op internet is groot. Denk niet enkel aan illegale inhoud, maar ook aan misbruik van op internet aangesloten digitale infrastructuur in brede zin. Daaronder vallen onder meer ook het misbruik van kwetsbare systemen, het versturen van spam, het verspreiden van malware, het runnen van een botnet en infrastructuur voor DDoS-aanvallen.

Daarom biedt Clean Networks – een initiatief van NBIP – een heldere gedragscode op basis van onder meer de DSA, die precies beschrijft wat aanbieders moeten doen tegen abuse. Deze gedragscode wordt breed in de sector gedragen. Clean Networks biedt daarnaast ook een Threat Intelligence platform waarmee aanbieders geautomatiseerd actuele informatie ontvangen over kwetsbaarheden en abuse in hun netwerken. Je ontvangt als aanbieder alleen meldingen die relevant zijn voor jouw netwerk, geprioriteerd op urgentie en impact.

Deelname aan Clean Networks zorgt er daarom voor dat je kan laten zien dat je bestrijding van abuse serieus neemt én aantoont compliant bent met de wet. Met heldere afspraken over detectie, reactie en preventie maak je jouw aanpak tegen abuse inzichtelijk en consistent.

Wil je meer weten over Clean Networks? Klik hier of stuur een mail naar bureau@cleannetworks.net voor meer informatie over hoe jouw organisatie kan deelnemen.